Instalação Barnyard 2 With Snort

• Antes de começarmos
• Atualizar, atualizar e reiniciar
• Pré-instalar configuração
• Configurando Barnyard2
• Teste

Barnyard2 é uma maneira de armazenar e processar as saídas binárias do Snort em um banco de dados MySQL.

Antes de começarmos

Observe que, se você não possui o snort instalado no seu sistema, temos um guia para instalar o snort nos sistemas debian . Você deve ter o snort instalado para que este sistema funcione.

Atualizar, atualizar e reiniciar

Antes de realmente colocarmos as mãos nas fontes do Snort (S), precisamos garantir que nosso sistema esteja atualizado. Podemos fazer isso emitindo os comandos abaixo.

sudo apt-get update
sudo apt-get upgrade -y
sudo reboot

Pré-instalar configuração

Se você não possui o MySQL instalado, pode instalá-lo com o seguinte comando:

sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool

Se você não possui o Snort do sistema de detecção de intrusão de rede (IDS) instalado e configurado, consulte a documentação de instalação da documentação

Configurando Barnyard2

Para instalar o Barnyard, precisamos pegar o código da página do github do Barnyard2 .

cd /usr/src
sudo git clone https://github.com/firnsy/barnyard2 barnyard_src
cd barnyard_src

Agora que temos a fonte para o curral, precisamos autoreconfcurral.

sudo autoreconf -fvi -I ./m4

Atualizar referências da biblioteca do sistema

Quando terminar, faça um link simbólico para a biblioteca dumbnet como dnet.

sudo ln -s /usr/include/dumbnet.h /usr/include/dnet.h

Como criamos essencialmente uma nova biblioteca do sistema, precisamos atualizar o cache da biblioteca do sistema. Isso pode ser feito emitindo o seguinte comando:

sudo ldconfig

Configurando o Barnyard2 para MySQL

Esta parte é importante porque depende se o sistema é ou não um sistema de 64 bits ou um sistema de 32 bits.

Se você não tiver certeza se seu sistema é ou não de 64 ou 32 bits, você pode usar uname -mou archpara conseguir isso.

cd /usr/src/barnyard_src
./configure --with-mysql --with-mysql-libraries=/usr/lib/YOUR-ARCH-HERE-linux-gnu

Portanto, essa configuração deve se parecer com ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu

make
sudo make install

Copiando configurações

Para configurar o curral adequadamente e deixá-lo funcionar com nosso sistema, precisamos copiar nossos arquivos de configuração. Além disso, observe que, enquanto eu testei isso, tive que criar o diretório de log para barnyard2, caso contrário, a execução falharia.

sudo cp etc/barnyard2.conf /etc/snort
sudo mkdir /var/log/barnyard2
sudo chown snort.snort /var/log/barnyard2
sudo touch /var/log/snort/barnyard2.bookmark
sudo chown snort.snort /var/log/snort/barnyard2.bookmark

Criando o banco de dados

Agora que nossa instância de curral foi configurada principalmente, precisamos criar e associar um banco de dados à nossa configuração.

 mysql -u root -p
 create database snort;
 use snort;
 source /usr/src/barnyard_src/schemas/create_mysql
 CREATE USER 'snort'@'localhost' IDENTIFIED BY 'MYPASSWORD';
 grant create, insert, select, delete, update on snort.* to snort@localhost;
 exit;

Configurando o curral para uso com o MySQL

Caso você não tenha alterado a senha no comando acima, você pode redefinir a senha digitando novamente o comando mysql e digitando

SET PASSWORD FOR 'snort'@'localhost' = PASSWORD( 'MYPASSWORD' );

Na parte inferior do seu /etc/snort/barnyard2.confarquivo, adicione o seguinte e edite a senha para o que você definiu acima.

output database: log, mysql, user=snort password=MYPASSWORD dbname=snort host=localhost

Por questões de segurança, precisamos bloquear nosso arquivo barnyard.conf porque ele contém a senha do banco de dados em texto não criptografado.

sudo chmod o-r /etc/snort/barnyard2.conf

Teste

Você pode testar o snort executando-o no modo de alerta usando seu arquivo de configuração.

sudo /usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0

Quando o snort estiver em execução, abra outro terminal e execute ping no endereço desse sistema, você poderá ver as mensagens no seu terminal principal.

Agora que você tem alguns dados em seus logs de snort, deve poder testar o curral contra eles.

sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.bookmark -g snort -u snort

Essas bandeiras basicamente significam o seguinte.

-c   specifies the config file.
-d   is the snort output directory
-f    specifies the file to look for.
-w   specifies the bookmark file.
-u / -g   tells barnyard to run as a specific user and group.

Depois de iniciar o curral, uma Waiting for new datavez que você aparece, você pode sair do aplicativo pressionando ctrl + cagora para verificar seu banco de dados MySQL efetuando login novamente no servidor MySQL e selecionando tudo da eventtabela em seu snortbanco de dados.

mysql -u snort -p snort
select count(*) from event;

Desde que a contagem seja superior a 0, tudo funcionou corretamente!

No entanto, se a contagem for 0, você provavelmente estará executando o ping do sistema em um sistema que corresponda a um ip na lista de permissões. Se for esse o caso, tente executar o ping do sistema de fora da rede e verifique se ele está exposto ao mundo externo.

Parabéns, agora você tem uma maneira de ler e acompanhar suas invasões detectadas.