Snort

2008-05-12T14:44:20Z

Raf64flo : /* Installation des règles SNORT */ -- Mise à jour du lien téléchargement des règles

[[Category:Sécurité]]
= Installation de l'IDS SNORT =

<div class="leatitre">Installation de l'IDS SNORT</div><div class="leapar">par [mailto:guitarparts chez fr point st julien Lecubin]</div>
----

== Introduction ==

Ce document va tenter d'expliquer les différentes étapes pour mettre en place le détecteur d'intrusions SNORT à partir des sources. Un détecteur d'intrusions s'appelle aussi "IDS" pour Intrusion Detection System. SNORT est un système de détection d'intrusions réseau en OpenSource, capable d'effectuer l'analyse du trafic en temps réel. On l'utilise en général pour détecter une variété d'attaques et de scans tels que des débordements de tampons, des scans de ports furtifs, des attaques CGI, des scans SMB, des tentatives d'identification d'OS, et bien plus.

Avant de commencer l'installation de SNORT, vous devez avoir installé :

{|
| '''PACKAGES'''
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>MySQL</code>
| valign="top" | La base de données MySQL
|-
| valign="top" | <code>MySQL-client</code>
| valign="top" | La partie cliente de mysql (connexion BD)
|-
| valign="top" | <code>php-mysql</code>
| valign="top" | le module php de mysql
|-
| valign="top" | <code>Apache</code>
| valign="top" | Le serveur web Apache
|-
| valign="top" | <code>mod_php</code>
| valign="top" | Le module php pour Apache
|-
| valign="top" | <code>libpcap/libpcap0-devel</code>
| valign="top" |
Librairie utilisée par SNORT pour capturer les paquets (rpm téléchargeable sur [http://www.rpmfind.net rpmfind.net])
|-
| valign="top" | <code>gcc</code>
| valign="top" | indispensable pour compiler les sources de SNORT
|}

Si vous n'avez pas encore installé le trio Apache/PHP/MySQL, il y a un article sur Lea vous expliquant comment le faire. C'est [../reseau/Apache_PHP_MySQL.php3 ici].

Les étapes pour l'installation de SNORT sont les suivantes :

* Installation de l'outil SNORT
* Installation des règles SNORT
* Liaison Mysql et SNORT
* Mise en place de ACID (Interface php pour visualiser les logs SNORT)

== Installation de SNORT ==

{{Preferer un paquetage|snort}}

Téléchargez la dernière release de SNORT à l'adresse suivante : http://www.SNORT.org/dl . La compilation de ce programme reste traditionnelle :

{|
| valign="top" | '''COMMANDES'''
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>cd /usr/local/snort</code>
| valign="top" | ...
|-
| valign="top" | <code>tar -xvzf SNORT-1.9.*.tar.gz</code>
| valign="top" | Décompacte l'application
|-
| valign="top" | <code>./configure --with-mysql=/usr/lib/mysql</code>
| valign="top" | Retirez l'argument <code>--with-mysql</code> si vous ne souhaitez pas rediriger les logs SNORT vers une base de données mysql *
|-
| valign="top" | <code>make</code>
| valign="top" | Compilation
|-
| valign="top" | <code>make install</code>
| valign="top" | Installation
|}

Pour l'argument <code>--with-mysql</code>, vous pouvez l'adapter si vous utilisez une base de données autre que MySQL :

* <code>--with-odbc=$PATH_ODBC</code> : pour une base de données Microsoft SQL server
* <code>--with-postgresql=$PATH_POSTGRE</code> : pour une base PostegreSQL
* <code>--with-oracle=$ORACLE_HOME</code> : pour une base de données Oracle.

== Installation des règles SNORT ==

Maitenant, il faut télécharger les règles de SNORT. En effet, SNORT utilise des règles pour détecter les intrusions. Il existe aujourd'hui environ 1200 règles différentes. Ces règles se caractérisent par un ensemble de fichiers (ftp.rules, p2p.rules,telnet.rules etc...). Vous devez téléchargez les sources de ces règles à l'adresse suivante :<br />[http://www.snort.org/pub-bin/downloads.cgi http://www.snort.org/pub-bin/downloads.cgi]

Créez le répertoire de configuration SNORT, et installez-y les règles :

{|
| valign="top" | '''COMMANDES'''
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>mkdir /etc/snort</code>
| valign="top" | Création du répertoire contenant la configuration SNORT
|-
| valign="top" | <code>cp /usr/local/snort*/etc/snort.conf /etc/snort</code>
| valign="top" | Copie du fichier de config snort dans /etc/snort
|-
| valign="top" | <code>cp snortrules.tar.gz /etc/snort</code>
| valign="top" | Mise en place des règles dans le répertoire de configuration SNORT
|-
| valign="top" | <code>cd /etc/snort</code>
| valign="top" | On se place dans le répertoire de configuration SNORT
|-
| valign="top" | <code>tar -xvzf snortrules.tar.gz</code>
| valign="top" | Décompactage des règles
|}

Les règles SNORT sont alors placées dans le répertoire <code>/etc/snort/rules</code>.

Maintenant, Il faut éditer le fichier de configuration snort (<code>/etc/snort/snort.conf</code>) et spécifier le réseau sur lequel l'IDS travaille. Il faut pour cela modifier la variable <code>HOME_NET</code> :

<div class="exemple"><code>var HOME_NET [10.1.1.0/24] # SNORT travaille sur le réseau 10.1.1.0</code></div><div class="exemple"><code>var HOME_NET (10.1.1.0/24,192.168.1.0/24] # Si votre carte réseau possède 2 alias</code></div>

Dans le fichier de configuration de SNORT (<code>/etc/snort/snort.conf</code>), vous avez toute une série de include. Il s'agit des règles utilisées par SNORT pour détecter d'éventuelles intrusions. Il y a des règles de telnet, ICMP, FTP, ... Bref, commentez celles que vous ne voulez pas et décommentez celles qui vous parait utile. Conseil : Décommentez les règles ICMP, car elles ne cessent pas de vous remonter des alarmes très souvent inutiles.

Pour des explications plus détaillées concernant les règles SNORT, allez voir [http://www.groar.org/trad/snort/snort-faq/writing_snort_rules.html ici].

== Lancement de SNORT ==

Deux possibilités s'offrent à nous. Soit vous lancez SNORT tout seul, et dans ce cas, il génerera ces logs dans un fichier plat. Soit vous décidez de l'interfacer avec une base de données. Suivant le cas, SNORT ne se lancera pas de la même façon.

<div class="exemple"><u>Sans Mysql</u> :<br /><code>/usr/local/snort*/src/snort -c /etc/snort/snort.conf -i eth0 -D</code></div><div class="exemple"><u>Avec Mysql</u> :<br /><code>/usr/local/snort*/src/snort -c /etc/snort/snort.conf</code></div><div class="note">Remarque : Si vous souhaitez interfacer SNORT avec une base de données, ne lancez pas SNORT avec l'argument <code>-L</code> qui spécifie l'emplacement des logs.</div>

== Lier les logs SNORT avec MySQL ==

Maintenant, nous allons éditer le fichier de configuration de SNORT afin de lui indiquer qu'il faut rediriger les logs dans une base de données (ici MySQL). Avec vos yeux de lynx, retrouvez la ligne suivante dans le fichier de configuration SNORT <code>/etc/snort/snort.conf</code> :

<div class="code"><nowiki>#output database:log,mysql,user=root password=test dbname=SNORT host=localhost</nowiki></div>

Décommentez et modifiez cette ligne par :

<div class="code">output database:log,mysql,user=user_snort password=snort_pwd dbname=snort host=localhost</div>

Ici, l'utilisateur MySQL accédant à la base de données s'appelle "user_snort", son password associé est "snort_pwd", le nom de la base MySQL utilisée par snort est "snort" et la machine qui fait tourner la base Mysql est la même que celle où SNORT tourne.

== Création de la base de données SNORT ==

Au préalable, assurez-vous d'avoir installé :

{|
| valign="top" | PACKAGES
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>MySQL-client-*</code>
| valign="top" | partie cliente de MySQL
|-
| valign="top" | <code>MySQL-devel-*</code>
| valign="top" |
|}

Astuce : La commande "rpm -qa | grep client" vous permet de vérifier que votre station Linux possède bien ces packages installés.

Suivez alors les instructions suivantes :

{|
| valign="top" | '''COMMANDES'''
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>cd /usr/local/snort*/contrib</code>
| valign="top" | on se place à l'endroit du fichier contenant les tables SQL de SNORT
|-
| valign="top" | <code>mysql -u root -p</code>
| valign="top" | Connexion à la base de données en tant qu'administrateur (au passage, si ce n'est pas encore fait, définissez un password pour l'administrateur de la base par la commande 'set password for root@localhost=PASSWORD('totomdp');
|-
| valign="top" | <code>create database SNORT;</code>
| valign="top" | Création de la base de données SNORT
|-
| valign="top" | <code>use mysql;</code>
| valign="top" | On se place ici pour créer l'utilisateur MySQL qui gérera la base de données snort
|-
| valign="top" | <code>insert into user values('localhost', 'user_snort', password('snort_pwd'),
'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y',
'Y', 'Y', 'Y', 'Y', 'Y', 'Y', 'Y', '', '', '', '', 'Y', 'Y', 'Y');</code>
| valign="top" | Création utilisateur MySQL "user_snort". Attention le nombre de 'Y' dépend de votre version de MySQL. (faites un <code>select * from user;</code> pour voir combien il faut en mettre)
|-
| valign="top" | <code>grant ALL PRIVILEGES ON SNORT.* TO user_snort@localhost IDENTIFIED BY 'snort_pwd' WITH GRANT OPTION;</code>
| valign="top" | Attribution des droits de la base "snort" à l'utilisateur "user_snort"
|-
| valign="top" | <code>flush privileges;</code>
| valign="top" | Recharge les tables de droits pour prendre en compte les nouvelles modifications
|-
| valign="top" | <code>use snort;</code>
| valign="top" | on se place dans la base où l'on veut créer les tables pour SNORT
|-
| valign="top" | <code>Source create_mysql</code>
| valign="top" | Création des tables pour SNORT
|}

Vérifiez que les tables sont bien créées. Allez voir dans <code>/var/lib/mysql/snort</code> et vous y verrez tout un tas de fichiers correspondant au nom des tables de la base de données SNORT (il doit y avoir 3 fichiers par tables).

Lancez SNORT. Désormais, SNORT envoie les informations dans la base de données (astuce : installez PhpMyAdmin, et vérifiez la taille de la base de données SNORT. Si tout fonctionne, vous la voyez augmenter si bien évidemment il y a du trafic !).

== Installation/Configuration ACID ==

ACID est une interface PHP qui permet de visualiser les remontées d'alarmes générées par SNORT. Cette partie sous-entend que vous avez une base de données qui récupère les informations envoyées par SNORT. Avant de suivre l'installation de cette application, assurez-vous d'avoir téléchargé :

* [http://php.weblogs.com/adodb Adodb] : Contient des scripts PHP génériques de gestion de bases de données. L'installer dans la racine d'apache (<code>/var/www/html/adodb par exemple</code>)
* [http://www.phplot.com PHPlot] : librairie de scripts PHP utilisée par ACID pour présenter graphiquement certaines données statistiques (optionnel)

Le téléchargement de ACID se fait [http://www.andrew.cmu.edu/~rdanyliw/snort/snortacid.html ici]. Imaginons que la racine de votre serveur web est /var/www/html. Installez ACID dans la racine d'apache :

{| cellspacing="4"
| valign="top" | '''COMMANDES'''
| valign="top" | '''REMARQUES'''
|-
| valign="top" | <code>cd /var/www/html</code>
| valign="top" | Placez-vous dans la racine du serveur web
|-
| valign="top" | <code>tar -xvzf acid*</code>
| valign="top" | Décompactage de ACID
|-
| valign="top" | <code>tar -xvzf adodb*</code>
| valign="top" | Décompactage de AdoDB
|-
| valign="top" | <code>tar -xvzf phplot*</code>
| valign="top" | Décompactage de PHPlot
|-
| valign="top" | <code>vi /var/www/html/acid/acid_conf.php</code>
| valign="top" |
Renseignez les champs suivants :

* <code>$DBlib_path="../adodb";</code>
* <code>$Chartlin_path="../phplot";</code>
* <code>alert_dbname="snort"</code>
* <code>alert_host="localhost"</code>
* <code>alert_user="user_snort"</code>
* <code>alert_password="snort_pwd"</code>
|}

Voilà, maintenant vous pouvez vérifier que ACID est bien configuré (allez voir sur http://localhost/acid). Si vous le souhaitez, L'accès peut se faire via certificat SSL de manière à crypter l'échange entre vous et le détecteur d'intrusions.

Sachez que ce document a pour but de vous apporter quelques éléments de réponse concernant l'installation et la configuration de l'IDS SNORT. Il est loin d'être parfait. Vos remarques sont les bienvenues. Je prévois de modifier le présent document suivant les remarques que vous y apporterez.

Pour me contacter : [mailto:guitarparts chez fr point st guitarparts chez fr point st]

<div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par Julien Lecubin le 15/04/2003.</div>

= Copyright =
Copyright © 15/04/2003, Julien Lecubin
{{CC-BY-NC-SA}}

Lea Linux - Contributions [fr]

Snort