Snort
Advertencia
Este documento es privado y es de uso exclusivo de sus autores y de SKINA TECH. Cualquier uso sin una autorización escrita es contra la ley de derechos de autor y de propiedad intelectual, y será motivo de una acción legal.
Descripción
Snort is an open source network intrusion prevention system, capable of performing real-time traffic analysis and packet logging on IP networks. It can perform protocol analysis, content searching/matching and can be used to detect a variety of attacks and probes, such as buffer overflows, stealth port scans, CGI attacks, SMB probes, OS fingerprinting attempts, and much more.
Prerequistos
Casi ninguno. Snort es un sniffer, pero lo recomendado es tener MySQL - MariaDB como almacen de datos y apache-php para los aplicativos de post-procesamiento.
Procedimiento
A. Instalación básica
Prefiero ir a la painga principal y bajar los rpms. Para otras arquitecturas, toca compilar el src.rpm.
Por defecto el src.rpm compila solo para archivos y no para MySQL - MariaDB. Lo que hago es bajar el tar.gz y compilo el ejecutable y lo copio como snort-mysq y pongo el vinculo de /sbin/snort apuntandole a este.
B. Configuración
1. Una accion
2. Segunda accion
Problemas
1. En 64 bits el tar.gz no corre configure para MySQL - MariaDB
NO encuentra la libreria en /lib64
- ./configure –with-MySQL - MariaDB –with-MySQL - MariaDB-libraries=/usr/lib64/
2. No registra a MySQL - MariaDB
Confirm that the command line arguments are not overriding the logging configuration. (an error of “WARNING: command line overrides rules file alert plugin!” should be displayed). Using “-A” or “-s” will override any database logging configuration. If multiple output targets are desired (e.g. logging to a file and the database), use the configuration file to setup these plugins.
Referencias
04-Febrero-2009 J.E.Gomez v1.0 Primera version