Snort+BASE

[Gundos]

http://www.snort.org/

Данное руководство писалось с учётом, что читатель имеет в своём распоряжении рабочий LAMP.

sudo apt-get install snort-mysql  #Ставим сенсор. Он должен потянуть за собой всё необходимое.
Во время настройки будет задана пара вопросов. Их можно пропустить.

sudo gedit /etc/snort/snort.debian.conf
  правим...
-----------------
DEBIAN_SNORT_STARTUP="boot"
DEBIAN_SNORT_HOME_NET="83.211.204.151/32,10.5.14.186/32" # Список доверенных сетей
DEBIAN_SNORT_OPTIONS="" # По желанию после прокуривания MANуалов
DEBIAN_SNORT_INTERFACE="any"  # Прослушиваемые интерфейсы
DEBIAN_SNORT_SEND_STATS="true"
DEBIAN_SNORT_STATS_RCPT="root"
DEBIAN_SNORT_STATS_THRESHOLD="1"
-----------------

sudo ifconfig eth0 promisc # Переводим интерфейс(ы) в promisc режим
sudo gedit /etc/snort/snort.conf
  правим...
найти строку и дописать
-----------------
#было:
output database: log, mysql
#стало:
output database: log, mysql, user=snort password=snort dbname=snort host=127.0.0.1 # no comments
-----------------
По адресу /usr/share/doc/snort-mysql лежит архив create_mysql.gz, в нём файл структуры таблиц MySQL базы snort. Его надо импортировать в предварительно созданную базу snort (user=snort password=snort dbname=snort). Удобнее всего это, на мой взгляд, сделать через phpMyAdmin. Затруднений быть не должно.

sudo rm /etc/snort/<какой-та файл с буквами [db] в названии (не пригодится)>

Далее...

wget http://downloads.sourceforge.net/secureideas/base-1.3.9.tar.gz?modtime=1195646853&big_mirror=0
wget http://easynews.dl.sourceforge.net/sourceforge/adodb/adodb462.tgz #Это тоже надо
cp base-1.3.9.tar.gz /var/www
cp adodb462.tgz /var/www/
cd /var/www/
tar -xvzf adodb462.tgz
rm -rf adodb462.tgz
tar -xvzf base-1.3.9.tar.gz
rm -rf base-1.3.9.tar.gz
http://localhost/base-1.3.9 # Честно отвечаем на вопросы инсталятора, на втором шаге указываем локальный путь до ADODB (например /var/www/adodb) в конце должны создаться необходимые таблицы в базе и открыться глазам аскетичная админка.

sudo /etc/init.d/snort start

Вроде ничего не напутал...

Если всё зделано правильно в списке процессов появится snort а в syslog на будет Fatal error от snort=)

Рекомендуется к прокуриванию http://heanet.dl.sourceforge.net/sourceforge/secureideas/snort_base_centos4.pdf