HowTo-Debian: Snort
Posted: 2003-01-29 01:39
Als erstes installieren wir Snort:
Bei der Frage, welches Device wir loggen, können wir eth0 lassen.
Dann werden wir nach einer IP gefragt:
217.160.???.???/32
Also deine IP Adresse mit /32 dahinter.
Die nächste Frage, an welchen User die Mails von Snort gehen sollen, ist denke ich mal selbsterklärend.
Dann ist ganz wichtig, dass wir Snort sofort wieder stoppen !
Dann öffnen wir das snort Startscript und müssen folgendes ändern:
Diese Textstelle suchen wir:
und machen daraus:
Kurz: Wir fügen also unter dem -d ein -p ein. Dies verhindert, dass die Netzwerkkarte in den Promiscuous mode geht.
Im Promiscuous mode reagiert die Netzwerkkarte auf jede Rebootanweisung innerhalb des Subnetzes, also rebootet dein Server, wenn zB die IP über dir einen Reboot macht, was wir natürlich nicht wollen ;)
Danach können wir beruhigt Snort wieder starten.
Die Logdateien von Snort befinden sich in /var/log/snort/.
Wer zu faul ist, die Logdateien per Hand durchzugehen, kann sich mit folgendem Befehl eine schöne Auswertung liefern lassen:
Das Verzeichnis /var/www/snort.txt muss man ggf abändern, wenn man seinen vHost zB in /var/www/web1/html/snort.txt hat.
Dann kann man sich per www ganz einfach die ausgewertete File ansehen.
Hier mal eine Beispiel File: (Portscan)
http://mitglied.lycos.de/legendz/snort.txt
Auch für dieses HowTo gilt wieder: (noch) ungetestet, wenn ihr euch was zerschiesst, ich hafte für nix :)
Ein paar Ergänzungen:
1. Snort kann auch verwendet werden, wenn man bereits IAM zum Loggen des Traffics benutzt. Die beiden Programme beinflussen sich nicht !
2. Es ist nur möglich, mit Snort Angriffe zu loggen, jedoch nicht, Angriffe zu blocken (glaube ich zumindest *gggg*). Will man die Angriffe blocken, muss man zB Portsentry benutzen, bzw andere "mächtigere" Tools. Diese greifen dann allerdings auch etwas stärker ins System ein, und sind schwerer zu konfigurieren. Zudem bringt das Blocken nur bedingt was, zB bei einem pingflood hat man trotzdem noch IN-coming Traffic, auch wenn man es durch Filter Rules blocken würde, da man den Traffic erst blocken kann, wenn er bereits von 1und1 "gezählt" wurde.
Edit: @Olfi: auch dieses HowTo darfst du natürlich genauso wie das Bind9 Howto in die FAQ aufnehmen, wenn du es für Bugfrei empfindest
Code: Select all
apt-get install snort
Dann werden wir nach einer IP gefragt:
217.160.???.???/32
Also deine IP Adresse mit /32 dahinter.
Die nächste Frage, an welchen User die Mails von Snort gehen sollen, ist denke ich mal selbsterklärend.
Dann ist ganz wichtig, dass wir Snort sofort wieder stoppen !
Code: Select all
/etc/init.d/snort stop
Code: Select all
nano /etc/init.d/snort
Code: Select all
/sbin/start-stop-daemon --start --quiet --exec $DAEMON --
-D
-S "HOME_NET=[$DEBIAN_SNORT_HOME_NET]"
-h "$DEBIAN_SNORT_HOME_NET"
-c /etc/snort/snort.conf
-l /var/log/snort
-b
-d
-u snort
-g snort
$DEBIAN_SNORT_OPTIONS >/dev/null
Code: Select all
/sbin/start-stop-daemon --start --quiet --exec $DAEMON --
-D
-S "HOME_NET=[$DEBIAN_SNORT_HOME_NET]"
-h "$DEBIAN_SNORT_HOME_NET"
-c /etc/snort/snort.conf
-l /var/log/snort
-b
-d
-p
-u snort
-g snort
$DEBIAN_SNORT_OPTIONS >/dev/null
Im Promiscuous mode reagiert die Netzwerkkarte auf jede Rebootanweisung innerhalb des Subnetzes, also rebootet dein Server, wenn zB die IP über dir einen Reboot macht, was wir natürlich nicht wollen ;)
Danach können wir beruhigt Snort wieder starten.
Code: Select all
/etc/init.d/snort start
Wer zu faul ist, die Logdateien per Hand durchzugehen, kann sich mit folgendem Befehl eine schöne Auswertung liefern lassen:
Code: Select all
(cat /var/log/snort/alert | snort-stat) >/var/www/snort.txt
Dann kann man sich per www ganz einfach die ausgewertete File ansehen.
Hier mal eine Beispiel File: (Portscan)
http://mitglied.lycos.de/legendz/snort.txt
Auch für dieses HowTo gilt wieder: (noch) ungetestet, wenn ihr euch was zerschiesst, ich hafte für nix :)
Ein paar Ergänzungen:
1. Snort kann auch verwendet werden, wenn man bereits IAM zum Loggen des Traffics benutzt. Die beiden Programme beinflussen sich nicht !
2. Es ist nur möglich, mit Snort Angriffe zu loggen, jedoch nicht, Angriffe zu blocken (glaube ich zumindest *gggg*). Will man die Angriffe blocken, muss man zB Portsentry benutzen, bzw andere "mächtigere" Tools. Diese greifen dann allerdings auch etwas stärker ins System ein, und sind schwerer zu konfigurieren. Zudem bringt das Blocken nur bedingt was, zB bei einem pingflood hat man trotzdem noch IN-coming Traffic, auch wenn man es durch Filter Rules blocken würde, da man den Traffic erst blocken kann, wenn er bereits von 1und1 "gezählt" wurde.
Edit: @Olfi: auch dieses HowTo darfst du natürlich genauso wie das Bind9 Howto in die FAQ aufnehmen, wenn du es für Bugfrei empfindest
