코골이가있는 앞마당 2 설정

• 시작하기 전에
• 업데이트, 업그레이드 및 재부팅
• 사전 설치 구성
• Barnyard2 설정
• 테스팅

Barnyard2는 Snort의 바이너리 출력을 MySQL 데이터베이스에 저장하고 처리하는 방법입니다.

시작하기 전에

시스템에 snort가 설치되어 있지 않은 경우, 데비안 시스템에 snort 를 설치하기 위한 안내서가 있습니다 . 이 시스템이 작동하려면 snort가 설치되어 있어야합니다.

업데이트, 업그레이드 및 재부팅

실제로 Snort (S) 소스에 손을 대기 전에 시스템이 최신 상태인지 확인해야합니다. 아래 명령을 실행하여이를 수행 할 수 있습니다.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

사전 설치 구성

MySQL이 설치되어 있지 않은 경우 다음 명령을 사용하여 설치할 수 있습니다.

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

IDS (Network Intrusion Detection System) Snort가 설치 및 구성되어 있지 않은 경우 설명서 설치 설명서 를 참조하십시오.

Barnyard2 설정

Barnyard를 설치하려면 Barnyard2의 github page 에서 소스를 가져와야합니다 .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

이제 우리는 앞 마당에 대한 출처를 얻었으므로 앞 마당에 필요합니다 autoreconf.

sudo autoreconf -fvi -I ./m4

시스템 라이브러리 참조 업데이트

완료되면 dnet으로 dumbnet 라이브러리에 심볼릭 링크를 만들어야합니다.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

본질적으로 새로운 시스템 라이브러리를 만들었으므로 시스템의 라이브러리 캐시를 업데이트해야합니다. 다음 명령을 실행하여 수행 할 수 있습니다.

sudo ldconfig

MySQL 용 Barnyard2 구성

이 부분은 시스템이 64 비트 시스템인지 또는 32 비트 시스템인지에 따라 다르므로 중요합니다.

시스템이 64 비트인지 32 비트인지 확실하지 않은 경우이를 사용 uname -m하거나 arch달성 할 수 있습니다 .

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

구성이 다음과 같아야합니다. ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

구성 복사

앞마당을 올바르게 설정하고 시스템에서 작동하게하려면 구성 파일을 복사해야합니다. 또한 이것을 테스트하는 동안 barnyard2에 대한 로그 디렉토리를 작성해야했습니다. 그렇지 않으면 실행하지 못할 것입니다.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

데이터베이스 생성

앞마당 인스턴스가 대부분 설정되었으므로 데이터베이스를 작성하고 설정과 연관시켜야합니다.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

MySQL과 함께 사용하도록 앞마당 구성

위 명령에서 비밀번호를 변경하지 않은 경우 mysql 명령을 다시 입력하고 다음을 입력하여 비밀번호를 재설정 할 수 있습니다.

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

/etc/snort/barnyard2.conf파일 맨 아래에 다음을 추가하고 위에서 설정 한 비밀번호를 편집하십시오.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

보안을 위해 데이터베이스 비밀번호가 일반 텍스트로 포함되어 있기 때문에 barnyard.conf 파일을 잠 가야합니다.

sudo chmod o-r /etc/snort/barnyard2.conf

테스팅

구성 파일을 사용하여 경고 모드로 실행하여 코골이를 테스트 할 수 있습니다.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

snort가 실행되면 다른 터미널을 열고 해당 시스템의 주소를 ping하면 기본 터미널에서 메시지를 볼 수 있습니다.

코골이 로그에 일부 데이터가 있으므로 앞마당을 테스트 할 수 있습니다.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

이 플래그는 기본적으로 다음을 의미합니다.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

앞마당을 시작한 후에 Waiting for new data나타나면 ctrl + cMySQL 서버에 다시 로그인하고 데이터베이스 의 event테이블에서 모두를 선택하여 MySQL 데이터베이스를 확인하기 위해 지금을 눌러 애플리케이션을 종료 할 수 있습니다 snort.

mysql -u snort -p snort
select count(*) from event;

카운트가 0보다 크면 모든 것이 제대로 작동했습니다!

그러나 카운트가 0이면 허용 된 IP와 일치하는 시스템에서 시스템을 핑 (ping)하는 것입니다. 이 경우 네트워크 외부에서 시스템을 핑 (ping)하여 외부 환경에 노출되도록하십시오.

축하합니다. 이제 탐지 된 침입을 읽고 추적 할 수 있습니다.