Come configurare Snort su Debian

• Aggiorna, aggiorna e riavvia
• Configurazione pre-installazione
• Installazione della libreria di acquisizione dati (DAQ)
• Installazione di Snort
• Snort non-root

Snort è un sistema di rilevamento delle intrusioni di rete gratuito (IDS). In termini meno ufficiali, ti consente di monitorare la tua rete per attività sospette in tempo reale . Attualmente Snort ha pacchetti per Fedora, CentOS, FreeBSD e sistemi basati su Windows. Il metodo di installazione esatto varia tra i sistemi operativi. In questo tutorial, installeremo direttamente dai file di origine per Snort. Questa guida è stata scritta per Debian.

Aggiorna, aggiorna e riavvia

Prima di mettere effettivamente le mani sulle fonti di Snort, dobbiamo assicurarci che il nostro sistema sia aggiornato. Possiamo farlo emettendo i seguenti comandi.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Configurazione pre-installazione

Una volta riavviato il sistema, è necessario installare numerosi pacchetti per essere sicuri di poter installare SBPP. Sono stato in grado di capire che un numero di pacchetti era necessario, quindi il comando di base è sotto.

sudo apt-get install flex bison build-essential checkinstall libpcap-dev libnet1-dev libpcre3-dev libnetfilter-queue-dev iptables-dev libdumbnet-dev zlib1g-dev -y

Una volta installati tutti i pacchetti, dovrai creare una directory temporanea per i tuoi file sorgente: possono essere ovunque tu voglia. Userò /usr/src/snort_src. Per creare questa cartella, devi aver effettuato l'accesso come rootutente o disporre delle sudoautorizzazioni: è rootsolo più semplice.

sudo mkdir /usr/src/snort_src
cd /usr/src/snort_src

Installazione della libreria di acquisizione dati (DAQ)

Prima di poter ottenere il sorgente per Snort, è necessario installare il DAQ. È abbastanza semplice da installare.

wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz

Estrarre i file dal tarball.

tar xvfz daq-2.0.6.tar.gz

Passare alla directory DAQ.

cd daq-2.0.6

Configurare e installare il DAQ.

./configure; make; sudo make install

L'ultima riga verrà eseguita per ./configureprima. Quindi verrà eseguito make. Infine, verrà eseguito make install. Usiamo la sintassi più breve qui solo per risparmiare un po 'sulla digitazione.

Installazione di Snort

Vogliamo assicurarci di essere di /usr/src/snort_srcnuovo nella directory, quindi assicurati di cambiare in quella directory con:

cd /usr/src/snort_src

Ora che ci troviamo nella directory dei sorgenti, scaricheremo il tar.gzfile per i sorgenti. Al momento in cui scrivo, la versione più recente di Snort è 2.9.8.0.

wget https://www.snort.org/downloads/snort/snort-2.9.8.0.tar.gz

I comandi per installare effettivamente lo snort sono molto simili a quelli usati per il DAQ, ma hanno diverse opzioni.

Estrarre i file di origine di Snort.

tar xvfz snort-2.9.8.0.tar.gz

Passare alla directory di origine.

cd snort-2.9.8.0

Configura e installa i sorgenti.

 ./configure --enable-sourcefire; make; sudo make install

Post-installazione di Snort

Una volta installato Snort, dobbiamo assicurarci che le nostre librerie condivise siano aggiornate. Possiamo farlo usando il comando:

sudo ldconfig

Dopo averlo fatto, prova l'installazione di Snort:

snort --version

Se questo comando non funziona, dovrai creare un collegamento simbolico. Puoi farlo digitando:

sudo ln -s /usr/local/bin/snort /usr/sbin/snort
snort --version

L'output risultante sarà simile al seguente:

   ,,_     -*> Snort! <*-
  o"  )~   Version 2.9.7.5 GRE (Build 262)
   ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
           Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.6.2
           Using PCRE version: 8.35 2014-04-04
           Using ZLIB version: 1.2.8

Snort non-root

Ora che abbiamo snort installato, non vogliamo che funzioni come root, quindi dobbiamo creare un snortutente e un gruppo. Per creare un nuovo utente e gruppo, possiamo usare questi due comandi:

sudo groupadd snort
sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort

Dal momento che abbiamo installato il programma usando il sorgente, dobbiamo creare i file di configurazione e le regole per snort.

sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo touch /etc/snort/rules/white_list.rules /etc/snort/rules/black_list.rules /etc/snort/rules/local.rules

Dopo aver creato le directory e le regole, ora è necessario creare la directory di registro.

sudo mkdir /var/log/snort

E infine, prima di poter aggiungere qualsiasi regola, abbiamo bisogno di un posto dove memorizzare le regole dinamiche.

sudo mkdir /usr/local/lib/snort_dynamicrules

Dopo aver creato tutti i file precedenti, impostare le autorizzazioni appropriate su di essi.

sudo chmod -R 5775 /etc/snort
sudo chmod -R 5775 /var/log/snort
sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules
sudo chown -R snort:snort /etc/snort
sudo chown -R snort:snort /var/log/snort
sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules

Impostazione dei file di configurazione

Per risparmiare un sacco di tempo e evitare di dover copiare e incollare tutto, basta copiare tutti i file nella directory di configurazione.

sudo cp /usr/src/snort_src/snort*/etc/*.conf* /etc/snort
sudo cp /usr/src/snort_src/snort*/etc/*.map /etc/snort

Ora che ci sono i file di configurazione, puoi fare una delle due cose:

• Puoi abilitare Barnyard2
• Oppure puoi semplicemente lasciare da solo i file di configurazione e abilitare selettivamente le regole desiderate.

Ad ogni modo, vorrai comunque cambiare alcune cose. Continua a leggere.

Configurazione

Nel /etc/snort/snort.conffile, dovrai modificare la variabile HOME_NET. Dovrebbe essere impostato sul blocco IP della tua rete interna in modo da non registrare i tentativi della tua rete di accedere al server. Questo può essere 10.0.0.0/24o 192.168.0.0/16. Nella riga 45 di /etc/snort/snort.confmodifica la variabile HOME_NETin quel valore del blocco IP della tua rete.

Sulla mia rete, si presenta così:

ipvar HOME_NET 192.168.0.0/16

Quindi, dovrai impostare la EXTERNAL_NETvariabile su:

any

Che si trasforma EXERNAL_NETin qualunque cosa tu HOME_NETnon sia.

Impostazione delle regole

Ora che è installata una grande maggioranza del sistema, dobbiamo configurare le nostre regole per questo porcellino. Da qualche parte intorno alla linea 104 nel /etc/snort/snort.conffile, si dovrebbe vedere una dichiarazione "var" e le variabili RULE_PATH, SO_RULE_PATH, PREPROC_RULE_PATH, WHITE_LIST_PATH, e BLACK_LIST_PATH. I loro valori dovrebbero essere impostati sui percorsi in cui abbiamo utilizzato Un-rooting Snort.

var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules

Dopo aver impostato tali valori, eliminare o commentare le regole correnti a partire dalla riga 548.

Ora, controlliamo per assicurarti che la tua configurazione sia corretta. Puoi verificarlo con snort.

 # snort -T -c /etc/snort/snort.conf

Vedrai un output simile al seguente (troncato per brevità).

 Running in Test mode

         --== Initializing Snort ==--
 Initializing Output Plugins!
 Initializing Preprocessors!
 Initializing Plug-ins!
 .....
 Rule application order: activation->dynamic->pass->drop->sdrop->reject->alert->log
 Verifying Preprocessor Configurations!

         --== Initialization Complete ==--

    ,,_     -*> Snort! <*-
   o"  )~   Version 2.9.8.0 GRE (Build 229) 
    ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
            Copyright (C) 2014-2015 Cisco and/or its affiliates. All rights reserved.
            Copyright (C) 1998-2013 Sourcefire, Inc., et al.
            Using libpcap version 1.7.4
            Using PCRE version: 8.35 2014-04-04
            Using ZLIB version: 1.2.8

            Rules Engine: SF_SNORT_DETECTION_ENGINE  Version 2.4  <Build 1>
            Preprocessor Object: SF_IMAP  Version 1.0  <Build 1>
            Preprocessor Object: SF_FTPTELNET  Version 1.2  <Build 13>
            Preprocessor Object: SF_SIP  Version 1.1  <Build 1>
            Preprocessor Object: SF_REPUTATION  Version 1.1  <Build 1>
            Preprocessor Object: SF_POP  Version 1.0  <Build 1>
            Preprocessor Object: SF_DCERPC2  Version 1.0  <Build 3>
            Preprocessor Object: SF_SDF  Version 1.1  <Build 1>
            Preprocessor Object: SF_GTP  Version 1.1  <Build 1>
            Preprocessor Object: SF_DNS  Version 1.1  <Build 4>
            Preprocessor Object: SF_SSH  Version 1.1  <Build 3>
            Preprocessor Object: SF_DNP3  Version 1.1  <Build 1>
            Preprocessor Object: SF_SSLPP  Version 1.1  <Build 4>
            Preprocessor Object: SF_SMTP  Version 1.1  <Build 9>
            Preprocessor Object: SF_MODBUS  Version 1.1  <Build 1>

 Snort successfully validated the configuration!
 Snort exiting

Ora che tutto è configurato senza errori, siamo pronti per iniziare a testare Snort.

Test Snort

Il modo più semplice per testare Snort è abilitando local.rules. Questo è un file che contiene le tue regole personalizzate.

Se hai notato nel snort.conffile, da qualche parte intorno alla linea 546, questa linea esiste:

include $RULE_PATH/local.rules

Se non lo hai, ti preghiamo di aggiungerlo intorno a 546. Puoi quindi utilizzare il local.rulesfile per il test. Come test di base, ho solo Snort per tenere traccia di una richiesta di ping (richiesta ICMP). Puoi farlo aggiungendo la seguente riga al tuo local.rulesfile.

 alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)

Dopo averlo inserito nel tuo file, salvalo e continua a leggere.

Esegui il test

Il comando seguente avvierà Snort e stamperà avvisi di "modalità veloce", mentre l'utente sbuffa, sotto lo snort di gruppo, usando la configurazione /etc/snort/snort.conf, e ascolterà sull'interfaccia di rete eno1. Dovrai passare eno1all'interfaccia di rete su cui il tuo sistema è in ascolto.

$ sudo /usr/local/bin/snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i eno1

Dopo averlo avviato, esegui il ping del computer. Inizierai a vedere un output simile al seguente:

01/07−16:03:30.611173 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
01/07−16:03:31.612174 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.104 -> 192.168.1.105
01/07−16:03:31.612202 [**] [1:10000001:0] ICMP test [**] [Priority: 0]  192.168.1.105 -> 192.168.1.104
^C*** Caught Int−Signal

Puoi premere Ctrl + C per uscire dal programma, e il gioco è fatto. Snort è tutto pronto. Ora puoi usare tutte le regole che desideri.

Infine, desidero notare che ci sono alcune regole pubbliche stabilite dalla community che è possibile scaricare dal sito ufficiale nella scheda "Community". Cerca "Snort", quindi appena sotto c'è un link alla community. Scaricalo, estrailo e cerca il community.rulesfile.