Agora é hora de instalar o Snort:

# aptitude install snort-mysql

Durante a instalação, informe a faixa de rede e a máscara que sua rede usa. Depois você será questionado se deseja que seja criado uma base de dados para gravar os logs, selecione "Sim" e depois dê OK.

Agora acesse o diretório da documentação do Snort que contém as tabelas:

# cd /usr/share/doc/snort-mysql

Use o arquivo "create_mysql" para criar as tabelas na base Snort do banco:

# zcat create_mysql.gz | mysql -u snort -h localhost -p snort

Informe a senha do usuário "snort". Depois acesse a base Snort do banco e verifique se as tabelas foram criadas com sucesso:

# mysql -u snort -p

(Entre com a senha do usuário snort)

mysql> show databases;
mysql> use snort;
mysql> show tables;
mysql> status;
mysql> quit;

Vá ate o diretório onde estão os arquivos de configuração do Snort:

# cd /etc/snort

Renomeie o arquivo "snort.conf":

# mv snort.conf snort.conf.orig

Crie uma cópia do arquivo que acabamos de renomear sem os comentários, para o arquivo ficar menor e mais legível:

# cat snort.conf.orig | grep -v ^# | grep . > snort.conf

Agora vamos editar o arquivo "snort.conf":

# pico snort.conf

Na primeira linha (var HOME_NET any) remova o "any" e digite a faixa de rede/máscara:


Agora, quase no final do arquivo, abaixo da linha (output log_tcpdump: tcpdump.log), digite o seguinte:


Entendendo: Na primeira linha informamos o nome de usuário da banco, a senha, o nome da base e o host do banco. No exemplo estou usando localhost, mas é muito importante você colocar o banco de dados em outro servidor. Já na segunda linha, informamos o Snort para gerar os logs no arquivo alert.

Agora vá até o arquivo "snort.debian.conf" e dê uma olhada na linha (DEBIAN_SNORT_INTERFACE="eth0"), mude-a caso deseje que o Snort escute em outra interface.

Remova o arquivo de pendência de configuração do banco de dados:

# rm db-pending-config

Entre no arquivo /etc/snort/database.conf e comente a seguinte linha:


Depois disso, pode iniciar o Snort:

# /etc/init.d/snort start

Faça um teste, fique monitorando o arquivo de log do Snort:

# tail -f /var/log/snort/alert

E em outra máquina, use o Nmap para escanear o host do Snort:

# nmap -sX 192.168.0.1

Obs.: Esse é o IP do Snort no meu laboratório.

Fique acompanhando o arquivo "alert" e veja o que acontece.

Pronto. Até aqui já temos o Snort pronto para gerar os alertas e gravar no banco de dados, mas ele ainda não é capaz de bloquear nada, pois não está com o IPS Guardian. Vamos fazer isso agora.