Code: Select all
apt-get install snort
Dann werden wir nach einer IP gefragt:
217.160.???.???/32
Also deine IP Adresse mit /32 dahinter.
Die nächste Frage, an welchen User die Mails von Snort gehen sollen, ist denke ich mal selbsterklärend.
Dann ist ganz wichtig, dass wir Snort sofort wieder stoppen !
Code: Select all
/etc/init.d/snort stop
Code: Select all
nano /etc/init.d/snort
Code: Select all
/sbin/start-stop-daemon --start --quiet --exec $DAEMON --
-D
-S "HOME_NET=[$DEBIAN_SNORT_HOME_NET]"
-h "$DEBIAN_SNORT_HOME_NET"
-c /etc/snort/snort.conf
-l /var/log/snort
-b
-d
-u snort
-g snort
$DEBIAN_SNORT_OPTIONS >/dev/null
Code: Select all
/sbin/start-stop-daemon --start --quiet --exec $DAEMON --
-D
-S "HOME_NET=[$DEBIAN_SNORT_HOME_NET]"
-h "$DEBIAN_SNORT_HOME_NET"
-c /etc/snort/snort.conf
-l /var/log/snort
-b
-d
-p
-u snort
-g snort
$DEBIAN_SNORT_OPTIONS >/dev/null
Im Promiscuous mode reagiert die Netzwerkkarte auf jede Rebootanweisung innerhalb des Subnetzes, also rebootet dein Server, wenn zB die IP über dir einen Reboot macht, was wir natürlich nicht wollen ;)
Danach können wir beruhigt Snort wieder starten.
Code: Select all
/etc/init.d/snort start
Wer zu faul ist, die Logdateien per Hand durchzugehen, kann sich mit folgendem Befehl eine schöne Auswertung liefern lassen:
Code: Select all
(cat /var/log/snort/alert | snort-stat) >/var/www/snort.txt
Dann kann man sich per www ganz einfach die ausgewertete File ansehen.
Hier mal eine Beispiel File: (Portscan)
http://mitglied.lycos.de/legendz/snort.txt
Auch für dieses HowTo gilt wieder: (noch) ungetestet, wenn ihr euch was zerschiesst, ich hafte für nix :)
Ein paar Ergänzungen:
1. Snort kann auch verwendet werden, wenn man bereits IAM zum Loggen des Traffics benutzt. Die beiden Programme beinflussen sich nicht !
2. Es ist nur möglich, mit Snort Angriffe zu loggen, jedoch nicht, Angriffe zu blocken (glaube ich zumindest *gggg*). Will man die Angriffe blocken, muss man zB Portsentry benutzen, bzw andere "mächtigere" Tools. Diese greifen dann allerdings auch etwas stärker ins System ein, und sind schwerer zu konfigurieren. Zudem bringt das Blocken nur bedingt was, zB bei einem pingflood hat man trotzdem noch IN-coming Traffic, auch wenn man es durch Filter Rules blocken würde, da man den Traffic erst blocken kann, wenn er bereits von 1und1 "gezählt" wurde.
Edit: @Olfi: auch dieses HowTo darfst du natürlich genauso wie das Bind9 Howto in die FAQ aufnehmen, wenn du es für Bugfrei empfindest
