IDS com Snort + Guardian + Debian Lenny
Implementação de IDS com bloqueio automático de tentativas de invasão utilizando o Snort + Guardian em Debian Lenny com uma interface web para acompanhamento dos alertas gerados pelo IDS.
[ Hits: 111.079 ]
Por: Douglas Q. dos Santos em 15/03/2010 | Blog: http://wiki.douglasqsantos.com.br
Instalação do pré-requisitos para a instalação do Snort
Para o Snort funcionar gravando os seus logs em banco de dados precisamos instalar um gerenciador de banco de dados, eu vou optar pelo MySQL, mas o Snort dá suporte aos seguintes bancos: MySQL, PostgreSQL, MSSQL, Oracle, UnixODBC.
Vamos instalar o MySQL então:
# aptitude install mysql-common mysql-client mysql-server -y
Configure a senha para a sua base e ok.
Agora vamos instalar as outras ferramentas que vamos precisar para que a nossa interface de gerenciamento do Snort funcione corretamente.
# aptitude install apache2 libapache2-mod-php5 php5 php5-dev php5-gd php5-mysql php-pear libnet1 libnet1-dev libpcap-dev libpcap0.8 libpcap0.8-dev libpcre3 expect gobjc libpcre3-dev flex bison libmysql++-dev php5-cgi -y
Depois de instalar o servidor MySQL, existe um script embutido que vem com ele que podemos usar para proteger o MySQL servidor. Para isso faça o seguinte:
# mysql_secure_installation
Enter current password for root (enter for none): senha do root do banco
Change the root password? [Y/n] n
Remove anonymous users? [Y/n] y
Disallow root login remotely? [Y/n] y
Remove test database and access to it? [Y/n] y
Reload privilege tables now? [Y/n] y
Pronto, agora temos um servidor MySQL temos protegido.
Para verificar se o servidor está funcionando corretamente pode usar o seguinte comando:
# netstat -ntlp | grep mysql
Vamos instalar o MySQL então:
# aptitude install mysql-common mysql-client mysql-server -y
Configure a senha para a sua base e ok.
Agora vamos instalar as outras ferramentas que vamos precisar para que a nossa interface de gerenciamento do Snort funcione corretamente.
# aptitude install apache2 libapache2-mod-php5 php5 php5-dev php5-gd php5-mysql php-pear libnet1 libnet1-dev libpcap-dev libpcap0.8 libpcap0.8-dev libpcre3 expect gobjc libpcre3-dev flex bison libmysql++-dev php5-cgi -y
Depois de instalar o servidor MySQL, existe um script embutido que vem com ele que podemos usar para proteger o MySQL servidor. Para isso faça o seguinte:
# mysql_secure_installation
Enter current password for root (enter for none): senha do root do banco
Change the root password? [Y/n] n
Remove anonymous users? [Y/n] y
Disallow root login remotely? [Y/n] y
Remove test database and access to it? [Y/n] y
Reload privilege tables now? [Y/n] y
Pronto, agora temos um servidor MySQL temos protegido.
Para verificar se o servidor está funcionando corretamente pode usar o seguinte comando:
# netstat -ntlp | grep mysql
Páginas do artigo
1. O que é IDS2. O que é o Snort
3. A arquitetura e o funcionamento do Snort
4. Instalação do pré-requisitos para a instalação do Snort
5. Instalação do Snort
6. Arquivo de configuração snort.conf
7. Instalação e configuração do Basic Analysis and Security Engine (BASE)
8. Instalando e configurando o Guardian
9. Considerações finais
Outros artigos deste autor
Bonding para Heartbeat + Bonding para DRBD + OCFS2 + Debian Squeeze
Apache em chroot + MySQL + PHP + mod_security + mod_evasive + vsftpd + Fail2ban + Debian Squeeze
Debian + Postfix + MySQL + PostfixAdmin + MailScanner + Webmail + Quotas
Bind9 slave em chroot no Debian Lenny
Debian Lenny com Kernel 2.6.28 + Layer7 + Firewall
Leitura recomendada
Implementação de WAF mod_security e integração com Graylog utilizando Filebeat e Logstash
Código Aberto já não é uma questão de gosto
Segurança da Informação: Necessidades e mudanças de paradigma com o avanço da civilização
Atirando o pau no gato com Metasploit
Comentários
[1] Comentário enviado por douglas_dksh em 15/03/2010 - 18:44h
Olá.
Se tiverem problemas na instalação dos pacotes do PEAR, pode ser feito como abaixo.
#pear upgrade PEAR
#pear install Image_Canvas-alpha
#pear install Image_Graph-alpha --alldeps
#pear install Mail Mail_Mime Image_Color Log Numbers_Roman
#pear install Numbers_Words-0.16.1
Pois os pacotes possuem ordem de instalação.
Douglas.
Olá.
Se tiverem problemas na instalação dos pacotes do PEAR, pode ser feito como abaixo.
#pear upgrade PEAR
#pear install Image_Canvas-alpha
#pear install Image_Graph-alpha --alldeps
#pear install Mail Mail_Mime Image_Color Log Numbers_Roman
#pear install Numbers_Words-0.16.1
Pois os pacotes possuem ordem de instalação.
Douglas.
[2] Comentário enviado por leandrojpg em 16/03/2010 - 11:24h
Eu sou suspeito para falar, pois tenho seguido os tutoriais do douglas a algum tempo e asseguro que são bons demais.
Esse ai do Snort eu implementei, e funcioba bem legal, mas tem que quer fazer linha a linha,importante ler o material para entender bem o snort.
Eu sou suspeito para falar, pois tenho seguido os tutoriais do douglas a algum tempo e asseguro que são bons demais.
Esse ai do Snort eu implementei, e funcioba bem legal, mas tem que quer fazer linha a linha,importante ler o material para entender bem o snort.
[4] Comentário enviado por macvitor em 10/08/2010 - 11:44h
Como podemos saber se o Snort está rodando e funcionando perfeitamente? Em http://localhost/snort está tudo zerado(TCP, UDP, etc.) e ao usar o comando ps auwx |grep snort não retorna nada.
Como podemos saber se o Snort está rodando e funcionando perfeitamente? Em http://localhost/snort está tudo zerado(TCP, UDP, etc.) e ao usar o comando ps auwx |grep snort não retorna nada.
[5] Comentário enviado por epresman em 19/10/2010 - 15:39h
uso a distribuicao brasilfw e estoun com dificuldades para inslatar o snort
como e quem poderia me ajudar?
uso a distribuicao brasilfw e estoun com dificuldades para inslatar o snort
como e quem poderia me ajudar?
[6] Comentário enviado por removido em 21/10/2010 - 17:58h
Não consigo entrar na interface WEB do BASE, quando digito o endereço o navegador me dá opção de fazer o download:
Arquivo: PHTML
Site: 192.168.0.146
Esse endereço IP é o da minha eth0. Na instalação não surgiu nenhum erro. Foi tudo certinho. O apache está rodando perfeitamente. Podem me ajudar?
Não consigo entrar na interface WEB do BASE, quando digito o endereço o navegador me dá opção de fazer o download:
Arquivo: PHTML
Site: 192.168.0.146
Esse endereço IP é o da minha eth0. Na instalação não surgiu nenhum erro. Foi tudo certinho. O apache está rodando perfeitamente. Podem me ajudar?
[7] Comentário enviado por douglas_dksh em 26/10/2010 - 15:28h
Mande instalar este pacote para corrigir o erro que acontece quando é enviado o email.
# pear install Net_SMTP
# pear install --alldeps mail
Douglas
Mande instalar este pacote para corrigir o erro que acontece quando é enviado o email.
# pear install Net_SMTP
# pear install --alldeps mail
Douglas
[8] Comentário enviado por bvcoelho em 10/11/2010 - 10:31h
Estou com o mesmo problema do m1n3ro, quando eu entro no site "http://ip_servidor/snort " em vez de entrar na página de configuração ele manda salvar a pasta do snort.
Todos os outros passos foram seguidos sem nenhum erro. Sera que alguem pode da uma luz?
Estou com o mesmo problema do m1n3ro, quando eu entro no site "http://ip_servidor/snort " em vez de entrar na página de configuração ele manda salvar a pasta do snort.
Todos os outros passos foram seguidos sem nenhum erro. Sera que alguem pode da uma luz?
[9] Comentário enviado por bvcoelho em 10/11/2010 - 10:41h
Opa problema resolvido nada como um reboot system. :)
Opa problema resolvido nada como um reboot system. :)
[10] Comentário enviado por analistaslack em 29/11/2010 - 19:26h
Show de bola o tutorial, está rodando perfeitamente no meu Ubuntu 10.04 Server 64 bits. Valeu pelo tutorial!!!!
Show de bola o tutorial, está rodando perfeitamente no meu Ubuntu 10.04 Server 64 bits. Valeu pelo tutorial!!!!
[11] Comentário enviado por fabriciorodrigo em 25/02/2011 - 16:51h
Estou querendo implementar um ips .. porém, gostaria de saber se existem outros além do snort/guardian ...
achei o guardian descontinuado ... (pode ter sido impressão)
Pesquisando encontrei o HLBR ... pórem não consegui definir qual a melhor solução ...
Gostaria de ter sua opnião sobre ...
Desde já agradeço.
Parabéns pelo artigo.
Estou querendo implementar um ips .. porém, gostaria de saber se existem outros além do snort/guardian ...
achei o guardian descontinuado ... (pode ter sido impressão)
Pesquisando encontrei o HLBR ... pórem não consegui definir qual a melhor solução ...
Gostaria de ter sua opnião sobre ...
Desde já agradeço.
Parabéns pelo artigo.
[12] Comentário enviado por douglas_dksh em 25/02/2011 - 17:06h
OpenVas, Fail2ban dai vc tem que ver qual vai se adptar melhor ao seu ambiente.
O guardian so faz os bloqueios.
o que vc pode fazer é ler os arquivos de log do snort com algum script e ir bloqueando ou desbloqueando ips e por ai vai.
OpenVas, Fail2ban dai vc tem que ver qual vai se adptar melhor ao seu ambiente.
O guardian so faz os bloqueios.
o que vc pode fazer é ler os arquivos de log do snort com algum script e ir bloqueando ou desbloqueando ips e por ai vai.
[13] Comentário enviado por clebioms em 31/03/2011 - 17:47h
Ola, bem seguindo seu tutorial na parte que segue
# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha
quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:
pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed
Poderia me ajudar
Cordialmente.
Clebio
Ola, bem seguindo seu tutorial na parte que segue
# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha
quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:
pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed
Poderia me ajudar
Cordialmente.
Clebio
[14] Comentário enviado por ulisses.santos em 26/05/2011 - 17:14h
amigo estou com um erro parecido aqui quando colocao o ip 192.168.7.222/snort
aparece abrir ou salvar um arquivo, instalei o
pear install Net_SMTP
mas o outro da este erro
pear install --alldeps mail
pear/mail is already installed and is the same as the released version 1.2.0
install failed
alguma luz, desde ja agradeço e um dos melhores tutoriais que achei para ids.
amigo estou com um erro parecido aqui quando colocao o ip 192.168.7.222/snort
aparece abrir ou salvar um arquivo, instalei o
pear install Net_SMTP
mas o outro da este erro
pear install --alldeps mail
pear/mail is already installed and is the same as the released version 1.2.0
install failed
alguma luz, desde ja agradeço e um dos melhores tutoriais que achei para ids.
[15] Comentário enviado por douglas_dksh em 26/05/2011 - 17:25h
Cara quando acontece a primeira situação é quando o apache ainda não encontrou o módulo do php, como a página do base é em php ele te da a opção de abrir ou salvar o arquivo por que o apache ainda não consegue enterpretar o php.
Então para resolver isso só reinicie o seu apache, e se continuar tente abrir em outro navegador.
O segundo erro a resposta esta na saída dele o per/mail já esta instalado, por isso que apareceu a mensagem.
To colocando os materiais agora atualizados no meu site www.gmsecurity.com.br dai la vou conseguir atualizar quando precisar algo.
Douglas.
Cara quando acontece a primeira situação é quando o apache ainda não encontrou o módulo do php, como a página do base é em php ele te da a opção de abrir ou salvar o arquivo por que o apache ainda não consegue enterpretar o php.
Então para resolver isso só reinicie o seu apache, e se continuar tente abrir em outro navegador.
O segundo erro a resposta esta na saída dele o per/mail já esta instalado, por isso que apareceu a mensagem.
To colocando os materiais agora atualizados no meu site www.gmsecurity.com.br dai la vou conseguir atualizar quando precisar algo.
Douglas.
[16] Comentário enviado por jpfontoura em 28/06/2011 - 17:18h
Amigo instalei tudo conforme o tutorial, mas o base não mostra nada fica tudo zero, mas no log do snort tem as tentativas, pode me dar uma ajuda?
Amigo instalei tudo conforme o tutorial, mas o base não mostra nada fica tudo zero, mas no log do snort tem as tentativas, pode me dar uma ajuda?
[17] Comentário enviado por renatotec em 01/07/2011 - 10:55h
Bom dia Douglas...parabéns pelo TUTO!
Estou com uma dificuldade, tá tudo funcionando, só que o snort não está mais gravando informações no /var/log/snort/alert, grava apenas na base de dados, sendo assim o guardin não funciona.
Bom dia Douglas...parabéns pelo TUTO!
Estou com uma dificuldade, tá tudo funcionando, só que o snort não está mais gravando informações no /var/log/snort/alert, grava apenas na base de dados, sendo assim o guardin não funciona.
[18] Comentário enviado por tiagotrindade em 09/12/2011 - 08:58h
Estou com o mesmo problema do renato...
o Guardian não ta bloqueando nada :|
Estou com o mesmo problema do renato...
o Guardian não ta bloqueando nada :|
[19] Comentário enviado por douglas_dksh em 09/12/2011 - 10:28h
E ai galera.
Os logs do snort mudaram nas novas versões com isso o guardian não consegue ler mais o tipo de log.
o que pode ser feito é um script para ler os logs do banco de dados e gerar as regras.
Olhe em http://www.douglas.wiki.br/doku.php?id=snort_barnyard2_snorby_debian_squeeze a implementação do Snort mudou.
Até o momento eu não achei nenhuma ferramenta para efetuar o bloqueio, com isso tive que desenvolver a minha propria.
Douglas.
E ai galera.
Os logs do snort mudaram nas novas versões com isso o guardian não consegue ler mais o tipo de log.
o que pode ser feito é um script para ler os logs do banco de dados e gerar as regras.
Olhe em http://www.douglas.wiki.br/doku.php?id=snort_barnyard2_snorby_debian_squeeze a implementação do Snort mudou.
Até o momento eu não achei nenhuma ferramenta para efetuar o bloqueio, com isso tive que desenvolver a minha propria.
Douglas.
[20] Comentário enviado por alex_arantes8 em 23/04/2012 - 16:43h
Ola, bem seguindo seu tutorial na parte que segue
# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha
quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:
pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed
Isso tem PROBLEMA esse erro acima como resolver.grato
alexarantesti@gmail.com
Ola, bem seguindo seu tutorial na parte que segue
# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha
quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:
pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed
Isso tem PROBLEMA esse erro acima como resolver.grato
alexarantesti@gmail.com
[21] Comentário enviado por berneira em 17/10/2012 - 13:37h
Estou com esse problema ao Abrir o Base
Warning: strftime() [function.strftime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Sao_Paulo' for 'BRT/-3.0/no DST' instead in /var/www/snort/base_main.php on line 271
Queried on : Wed October 17, 2012 13:36:09
Database: snort@localhost (Schema Version: 107)
Time Window: no alerts detected
Estou com esse problema ao Abrir o Base
Warning: strftime() [function.strftime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Sao_Paulo' for 'BRT/-3.0/no DST' instead in /var/www/snort/base_main.php on line 271
Queried on : Wed October 17, 2012 13:36:09
Database: snort@localhost (Schema Version: 107)
Time Window: no alerts detected
[22] Comentário enviado por andyblessing em 14/09/2014 - 12:19h
Olá
muito bom tutorial
estou com um problema na parte de configurar acessei
http://192.168.0.1/snort/base-1.4.5/setup/setup2.php?action=check
coloco as configuraçoes e minha senha mas aparece o seguinte erro
Database connection failed!
Please try again!
Pode me ajudar
agradeço
Olá
muito bom tutorial
estou com um problema na parte de configurar acessei
http://192.168.0.1/snort/base-1.4.5/setup/setup2.php?action=check
coloco as configuraçoes e minha senha mas aparece o seguinte erro
Database connection failed!
Please try again!
Pode me ajudar
agradeço
[23] Comentário enviado por jmsb em 19/06/2015 - 18:58h
ola , vc poderia ajudar com o guardian , ele não esta executando da essa mensagem, com isso não gera as logs
OS shows Linux
Warning! Logfile is not writeable! Engaging debug mode, output to STDOUT
eth3 address and interface are: 192.168.2.201
Loaded 1 addresses from /etc/guardian.ignore
Running in debug mode..
ola , vc poderia ajudar com o guardian , ele não esta executando da essa mensagem, com isso não gera as logs
OS shows Linux
Warning! Logfile is not writeable! Engaging debug mode, output to STDOUT
eth3 address and interface are: 192.168.2.201
Loaded 1 addresses from /etc/guardian.ignore
Running in debug mode..
Patrocínio
Site hospedado pelo provedor RedeHost.
Destaques
Artigos
Enviar mensagem ao usuário trabalhando com as opções do php.ini
Meu Fork do Plugin de Integração do CVS para o KDevelop
Compartilhando a tela do Computador no Celular via Deskreen
Como Configurar um Túnel SSH Reverso para Acessar Sua Máquina Local a Partir de uma Máquina Remota
Configuração para desligamento automatizado de Computadores em um Ambiente Comercial
Dicas
Compartilhamento de Rede com samba em modo Público/Anônimo de forma simples, rápido e fácil
Cups: Mapear/listar todas as impressoras de outro Servidor CUPS de forma rápida e fácil
Criando uma VPC na AWS via CLI
Tópicos
Dificuldade para renderizar vídeo no kdenlive (6)
xubuntu sem sons de eventos (3)
Erro ao iniciar serviço samba4 como novo dc em um ambiente com ad [RES... (9)
Top 10 do mês
-
Xerxes
1° lugar - 68.376 pts -
Fábio Berbert de Paula
2° lugar - 50.624 pts -
Renato Michnik de Carvalho
3° lugar - 27.301 pts -
Buckminster
4° lugar - 17.914 pts -
Mauricio Ferrari
5° lugar - 15.330 pts -
Alberto Federman Neto.
6° lugar - 14.215 pts -
Diego Mendes Rodrigues
7° lugar - 14.027 pts -
Daniel Lara Souza
8° lugar - 13.934 pts -
edps
9° lugar - 11.832 pts -
Alessandro de Oliveira Faria (A.K.A. CABELO)
10° lugar - 11.289 pts
Scripts
A maior comunidade GNU/Linux da América Latina! Artigos, dicas, tutoriais, fórum, scripts e muito mais. Ideal para quem busca auto-ajuda.
Site hospedado por:
