IDS com Snort + Guardian + Debian Lenny

Implementação de IDS com bloqueio automático de tentativas de invasão utilizando o Snort + Guardian em Debian Lenny com uma interface web para acompanhamento dos alertas gerados pelo IDS.

[ Hits: 106.227 ]

Por: Douglas Q. dos Santos em 15/03/2010 | Blog: http://wiki.douglasqsantos.com.br


Instalação e configuração do Basic Analysis and Security Engine (BASE)



Agora vamos instalar uma ferramenta que vai nos auxiliar no monitoramento dos alertas do Snort.

Vamos entrar no diretório root do Apache e vamos baixar os arquivos necessários.

# cd /var/www
# wget -c
http://ufpr.dl.sourceforge.net/project/secureideas/BASE/base-1.4.5/base-1.4.5.tar.gz
# wget -c http://ufpr.dl.sourceforge.net/project/adodb/adodb-php5-only/adodb-510-for-php5/adodb510.tgz

Agora vamos descompactar o BASE:

# tar -xzvpf base-1.4.5.tar.gz

Vamos renomear o diretório do base para Snort para ficar mais fácil:

# mv base-1.4.5 snort

Ajustar as permissões:

# chown -R root:www-data snort/
# chmod -R g+w snort/


Agora vamos descompactar o Adodb:

# tar -xzvpf adodb510.tgz

Vamos ajustar as permissões:

# chown -R root:root adodb5

Pronto, já temos os pacotes que precisamos, mas antes precisamos instalar as dependências de algumas extensões para o PHP.

Vamos lá então.

# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha


Pronto, já temos um ambiente com o que precisamos.

Agora vamos acessar pelo navegador o nosso BASE.

http://ip_servidor/snort

Na tela principal de configuração, se não aparecer nem um erro a respeito de permissões vai ter um link "Continue", clique nele para continuarmos a nossa configuração.

Na próxima tela escolha o idioma e informe o caminho para o diretório Adodb: /var/www/adodb5

Na próxima tela temos que informar os dados da nossa base MySQL que configuramos nos pré-requisitos.

Como estamos utilizando o MySQL deixamos a primeira opção como está, as outras opções podem seguir o modelo abaixo.
  • Em Database Name: snort
  • Em Database Host: localhost
  • Database Port Leave blank for default!: 3306
  • Database User Name: snort
  • Database Password: senha que foi definida para o usuário snort "senha"

Agora pode clicar no botão continue no final da tela.

Na próxima tela não precisa informar nada, pois podemos efetuar essas configurações na tela do Snort mais tarde, só clique em continue.

Na próxima clique no botão Create BASE AG.

Ele vai criar a configuração e vai aparecer do lado esquerdo da tela o status.

Se não aparaceu nenhum erro é só clicar no link Now continue to step 5... no final da página.

Caso tenha ocorrido algum erro verifique se foi concedida as permissões necessárias para o usuário no banco de dados.

Se tudo ocorreu sem problemas essa é a tela de gerenciamento do Snort.

Não vou entrar em detalhes nesta tela pois não é o meu foco neste artigo.

Mas nesta tela podemos ver gráficos a respeito dos alertas por protocolos, podemos criar grupos de alertas.

Enviar emails dos alertas

Já que toquei no assunto de emails, antes de tentarem enviar emails dos alertas façam as configurações de smtp no arquivo /var/www/snort/base_conf.php.

Essas configurações estão ali pela linha 162 do arquivo. Elas tem que ser feitas caso você queira enviar emails dos alertas. Podemos informar o servidor smtp, um usuário valido e uma senha para a autenticação.

O arquivo está bem comentado e em /var/www/snort/docs temos vários arquivo explicando as configurações que podem ser feitas.

$action_email_smtp_host = 'smtp.example.com';
$action_email_smtp_localhost = 'localhost';
$action_email_smtp_auth = 1;
$action_email_smtp_user = 'username';
$action_email_smtp_pw = 'password';
$action_email_from = 'smtpuser@example.com';
$action_email_subject = 'BASE Incident Report';
$action_email_msg = '';
$action_email_mode = 0;

Quando for efetuar o envio de e-mail e gerar um erro a respeito da linha 316 em /usr/share/php/Mail/smtp.php. comente-a que não vai mais aparecer o erro.

Do Snort é isso, agora é só monitorar/acompanhar a tela do BASE para verificar se existe algum problema.

O Snort gera um arquivo em /var/log/snort/alert.

Exemplo de alerta gerado pelo Snort:

[**] [128:4:1] (spp_ssh) Protocol mismatch [**]
[Priority: 3]
03/11-12:51:02.455053 192.168.0.2:60094 -> 192.168.0.1:22
TCP TTL:127 TOS:0x0 ID:27834 IpLen:20 DgmLen:76 DF
***AP*** Seq: 0xE105D520 Ack: 0x9C5CDAD3 Win: 0x3EDC TcpLen: 20

Pode notar que temos uma origem que é o 192.168.0.2 na porta 60094 destino a 192.168.0.1:22 este é um alerta do pré-processador ssh.

Mas como temos essa informação de origem e destino podemos melhorar o nosso IDS, com o bloqueio automático de endereços baseados nos alertas. Porém tome cuidado com isso, pois podem haver falsos-positivos e falsos-negativos.

Para efetuarmos o bloqueio automático dos endereços que estão sendo acusados pelo nosso IDS vamos usar o Guardian.

Página anterior     Próxima página

Páginas do artigo
   1. O que é IDS
   2. O que é o Snort
   3. A arquitetura e o funcionamento do Snort
   4. Instalação do pré-requisitos para a instalação do Snort
   5. Instalação do Snort
   6. Arquivo de configuração snort.conf
   7. Instalação e configuração do Basic Analysis and Security Engine (BASE)
   8. Instalando e configurando o Guardian
   9. Considerações finais
Outros artigos deste autor

Servidor Jabber com Openfire + MySQL + Debian Lenny

Debian Lenny com Kernel 2.6.28 + Layer7 + Firewall

Bind9 em chroot no Debian Lenny

Apache em chroot + MySQL + PHP + mod_security + mod_evasive + vsftpd + Fail2ban + Debian Squeeze

Um pouco sobre IPtables

Leitura recomendada

From Deploy WAR (Tomcat) to Shell (FreeBSD)

Protegendo o ESB: Conceitos e técnicas de segurança para empresas de serviços web críticos

Matriz <-> Filial com o OpenVPN

Recuperação do arquivo sudoers - comandos su e sudo não funcionam mais [Resolvido]

Os 5 princípios básicos de segurança para empresas

  
Comentários
[1] Comentário enviado por douglas_dksh em 15/03/2010 - 18:44h

Olá.

Se tiverem problemas na instalação dos pacotes do PEAR, pode ser feito como abaixo.

#pear upgrade PEAR
#pear install Image_Canvas-alpha
#pear install Image_Graph-alpha --alldeps
#pear install Mail Mail_Mime Image_Color Log Numbers_Roman
#pear install Numbers_Words-0.16.1

Pois os pacotes possuem ordem de instalação.


Douglas.

[2] Comentário enviado por leandrojpg em 16/03/2010 - 11:24h

Eu sou suspeito para falar, pois tenho seguido os tutoriais do douglas a algum tempo e asseguro que são bons demais.
Esse ai do Snort eu implementei, e funcioba bem legal, mas tem que quer fazer linha a linha,importante ler o material para entender bem o snort.

[3] Comentário enviado por douglas_dksh em 16/03/2010 - 11:45h

Obrigado.

[4] Comentário enviado por macvitor em 10/08/2010 - 11:44h

Como podemos saber se o Snort está rodando e funcionando perfeitamente? Em http://localhost/snort está tudo zerado(TCP, UDP, etc.) e ao usar o comando ps auwx |grep snort não retorna nada.

[5] Comentário enviado por epresman em 19/10/2010 - 15:39h

uso a distribuicao brasilfw e estoun com dificuldades para inslatar o snort
como e quem poderia me ajudar?

[6] Comentário enviado por removido em 21/10/2010 - 17:58h

Não consigo entrar na interface WEB do BASE, quando digito o endereço o navegador me dá opção de fazer o download:

Arquivo: PHTML
Site: 192.168.0.146

Esse endereço IP é o da minha eth0. Na instalação não surgiu nenhum erro. Foi tudo certinho. O apache está rodando perfeitamente. Podem me ajudar?

[7] Comentário enviado por douglas_dksh em 26/10/2010 - 15:28h

Mande instalar este pacote para corrigir o erro que acontece quando é enviado o email.

# pear install Net_SMTP
# pear install --alldeps mail




Douglas

[8] Comentário enviado por bvcoelho em 10/11/2010 - 10:31h

Estou com o mesmo problema do m1n3ro, quando eu entro no site "http://ip_servidor/snort " em vez de entrar na página de configuração ele manda salvar a pasta do snort.
Todos os outros passos foram seguidos sem nenhum erro. Sera que alguem pode da uma luz?

[9] Comentário enviado por bvcoelho em 10/11/2010 - 10:41h

Opa problema resolvido nada como um reboot system. :)

[10] Comentário enviado por analistaslack em 29/11/2010 - 19:26h

Show de bola o tutorial, está rodando perfeitamente no meu Ubuntu 10.04 Server 64 bits. Valeu pelo tutorial!!!!

[11] Comentário enviado por fabriciorodrigo em 25/02/2011 - 16:51h

Estou querendo implementar um ips .. porém, gostaria de saber se existem outros além do snort/guardian ...
achei o guardian descontinuado ... (pode ter sido impressão)
Pesquisando encontrei o HLBR ... pórem não consegui definir qual a melhor solução ...

Gostaria de ter sua opnião sobre ...


Desde já agradeço.
Parabéns pelo artigo.

[12] Comentário enviado por douglas_dksh em 25/02/2011 - 17:06h

OpenVas, Fail2ban dai vc tem que ver qual vai se adptar melhor ao seu ambiente.
O guardian so faz os bloqueios.
o que vc pode fazer é ler os arquivos de log do snort com algum script e ir bloqueando ou desbloqueando ips e por ai vai.

[13] Comentário enviado por clebioms em 31/03/2011 - 17:47h

Ola, bem seguindo seu tutorial na parte que segue

# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha

quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:

pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed

Poderia me ajudar

Cordialmente.

Clebio

[14] Comentário enviado por ulisses.santos em 26/05/2011 - 17:14h

amigo estou com um erro parecido aqui quando colocao o ip 192.168.7.222/snort
aparece abrir ou salvar um arquivo, instalei o
pear install Net_SMTP

mas o outro da este erro
pear install --alldeps mail
pear/mail is already installed and is the same as the released version 1.2.0
install failed


alguma luz, desde ja agradeço e um dos melhores tutoriais que achei para ids.

[15] Comentário enviado por douglas_dksh em 26/05/2011 - 17:25h

Cara quando acontece a primeira situação é quando o apache ainda não encontrou o módulo do php, como a página do base é em php ele te da a opção de abrir ou salvar o arquivo por que o apache ainda não consegue enterpretar o php.
Então para resolver isso só reinicie o seu apache, e se continuar tente abrir em outro navegador.
O segundo erro a resposta esta na saída dele o per/mail já esta instalado, por isso que apareceu a mensagem.

To colocando os materiais agora atualizados no meu site www.gmsecurity.com.br dai la vou conseguir atualizar quando precisar algo.

Douglas.


[16] Comentário enviado por jpfontoura em 28/06/2011 - 17:18h

Amigo instalei tudo conforme o tutorial, mas o base não mostra nada fica tudo zero, mas no log do snort tem as tentativas, pode me dar uma ajuda?

[17] Comentário enviado por renatotec em 01/07/2011 - 10:55h

Bom dia Douglas...parabéns pelo TUTO!

Estou com uma dificuldade, tá tudo funcionando, só que o snort não está mais gravando informações no /var/log/snort/alert, grava apenas na base de dados, sendo assim o guardin não funciona.

[18] Comentário enviado por tiagotrindade em 09/12/2011 - 08:58h

Estou com o mesmo problema do renato...

o Guardian não ta bloqueando nada :|

[19] Comentário enviado por douglas_dksh em 09/12/2011 - 10:28h

E ai galera.

Os logs do snort mudaram nas novas versões com isso o guardian não consegue ler mais o tipo de log.

o que pode ser feito é um script para ler os logs do banco de dados e gerar as regras.

Olhe em http://www.douglas.wiki.br/doku.php?id=snort_barnyard2_snorby_debian_squeeze a implementação do Snort mudou.

Até o momento eu não achei nenhuma ferramenta para efetuar o bloqueio, com isso tive que desenvolver a minha propria.

Douglas.

[20] Comentário enviado por alex_arantes8 em 23/04/2012 - 16:43h

Ola, bem seguindo seu tutorial na parte que segue

# pear upgrade PEAR
# pear install Mail Mail_Mime Image_Color Log Numbers_Roman
# pear install channel://pear.php.net/Numbers_Words-0.16.1
# pear install Image_Graph-alpha
# pear install Image_Canvas-alpha

quando digito o comando pear install Image_Canvas-alpha recebe o mensagem abaixo:

pear/Image_Canvas is already installed and is the same as the released version 0.3.3
install failed

Isso tem PROBLEMA esse erro acima como resolver.grato
alexarantesti@gmail.com

[21] Comentário enviado por berneira em 17/10/2012 - 13:37h


Estou com esse problema ao Abrir o Base


Warning: strftime() [function.strftime]: It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected 'America/Sao_Paulo' for 'BRT/-3.0/no DST' instead in /var/www/snort/base_main.php on line 271
Queried on : Wed October 17, 2012 13:36:09
Database: snort@localhost (Schema Version: 107)
Time Window: no alerts detected

[22] Comentário enviado por andyblessing em 14/09/2014 - 12:19h

Olá
muito bom tutorial
estou com um problema na parte de configurar acessei

http://192.168.0.1/snort/base-1.4.5/setup/setup2.php?action=check

coloco as configuraçoes e minha senha mas aparece o seguinte erro
Database connection failed!
Please try again!

Pode me ajudar
agradeço

[23] Comentário enviado por jmsb em 19/06/2015 - 18:58h

ola , vc poderia ajudar com o guardian , ele não esta executando da essa mensagem, com isso não gera as logs
OS shows Linux
Warning! Logfile is not writeable! Engaging debug mode, output to STDOUT
eth3 address and interface are: 192.168.2.201
Loaded 1 addresses from /etc/guardian.ignore
Running in debug mode..


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts