Snort

Snort

“Open Source IDS”

April 25, 2010 LINUX.CO.KR 이창목

1. Snort ?
  Snort는 Martin Roesch가 개발한 소프트웨어 기반의 리얼타임 침입탐지 시스템입니다.
  Network Intrusion Detection System(네트워크 침입탐지 시스템)는 네트워크에 부당한 접속자나, 권한이 없는 데이타가 생겼을 때 그것을 탐지할수 있으며, 가능성있는 침입시도에 대해서 관리자에게 알려주는 기능을 가지고 있습니다.

2. 다운로드
  - snort
wget http://www.snort.org/dl/current/snort-2.8.5.3.tar.gz
위 url에서 다운로드 가능하며 2010년 4월 현재 최신버젼은 snort-2.8.5.3.tar.gz 입니다.

  - BASE (Basic Analysis and Security Engine )
wget http://surfnet.dl.sourceforge.net/sourceforge/secureideas/base-1.2.5.tar.gz

  ADOdb - (ADOdb Database Abstraction Library for PHP (and Python).)
wget http://surfnet.dl.sourceforge.net/sourceforge/adodb/adodb490.tgz

  - snortrules
wget http://bent.latency.net/bent/git/snortrules/src/snortrules-pr-2.4.tar.gz

3. 설치환경 및 설치
  -설치환경

  OS : SULinux2.0
  KERNEL : 2.6.18-92.el5PAE
  CPU : Intel(R) Pentium(R) 4 CPU 3.20GHz
  MEMORY : 1G
  APACHE_2.0.63
  PHP_5.2.5
  MYSQL_5.0.51
  libpcap-0.9.4-12.SUL2
  pcre-6.6-2.SUL2.7

  (참고) SULinux2.0에서 apm_tools로 apache+php+mysql을 위와 같은버젼으로 설치를 하였습니다. 그러므로 snort에서 필요로하는 진하게 표시된 2개의 패키지가 기본 설치 되어있기 때문에 따로 설치할 필요가 없습니다.

4. 설치
  shell〉tar xvfz snort-2.8.5.3.tar.gz
  shell〉cd snort-2.8.5.3
  shell〉./configure --with-mysql=/usr/local/mysql
  shell〉make
  shell〉make install
  configure 옵션으로 mysql 설치디렉토리를 지정한후 컴파일 한다.

  shell〉tar xvfz base-1.2.5.tar.gz
  shell〉mv base-1.2.5 /usr/local/apache/htdocs/
  BASE 압축해제후 /usr/local/apache/htdocs/ 디렉토리로 이동 시킨다.

  shell〉tar xvfz adodb490.tgz
  shell〉mv adodb /usr/local/apache/htdocs/
  ADODB 압축헤재후 /usr/local/apache/htdocs/ 디렉토리로 이동 시킨다.

  shell〉tar xvfz snortrules-pr-2.4.tar.gz
  shell〉cd rules
  shell〉mkdir -p /etc/snort
  shell〉mkdir -p /etc/snort/rules
  shell〉mkdir -p /var/log/snort
  shell〉cp * /etc/snort/rules
  snortrules

  BASE web page setup
  BASE 셋업전에 mysql에서 DB : snort DBID:snort DBPW:snort HOST:localhost 로 생성을 해주었습니다.

  http://your_url/base-1.2.5/setup/

   1)adodb 설치디렉토리 /usr/local/apache/adodb를 입력

   
  2)mysql 계정 정보를 입력

  3)base 페이지에 접속시 Authentication 접속 정보 입력

  4)base 데이터베이스 생성

  5) base base_conf 파일을 복사후 /usr/local/apache/htdocs/base-1.2.5/base_conf 생성

  shell〉/usr/local/bin/snort -c /etc/snort/snort.conf -i eth0 -g root -D
  snot 데몬 실행

  http://210.127.253.114/base-1.2.5/base_main.php

  그래프로 탐지 알림을 표시하기 위해 pear를 이용하여 Image_Canvas-0.3.0, Image_Graph-0.7.2를 설치합니다.

  shell〉/usr/local/php/bin/pear channel-update pear.php.net
  shell〉/usr/local/php/bin/pear install Image_Canvas-0.3.0
  shell〉/usr/local/php/bin/pear install Image_Graph-0.7.2

5.참조
  http://www.certcc.or.kr/tools/Snort.html
  http://www.snort.org