Newsgroup: it.comp.os.linux.iniziare
Titolo: SNORT: aiuto...

Qualcuno può darmi una mano con SNORT?
E' leggermente complicatuccio :(
Ho un PC Linux che mi fa da firewall tra la rete interna ed internet (il 
PC Linux è collegato tramite una scheda ethernet ad un modem adsl).
Vorrei monitorare il traffico in ingresso tramite snort...
In pratica vorrei beccare tutti quelli che provano a fare un portscan, 
uno sniff, ecc. ecc.
P.S.
www.snort.org
 lo conosco...
Ma non è di molto aiuto per uno che vede snort per la prima volta...
-- 
---> 
ra...@bigfoot.com
                                    ICQ:11928715
----------------------------------------------------------------------
ATTENZIONE:
Utilizzate l'indirizzo qui sopra per rispondere.

 Vorrei monitorare il traffico in ingresso tramite snort...
I files di configurazione sono in /etc/snort/ , modificali in maniera
adeguata e vedrai che funziona. Nel mio caso cmq ho dovuto fare ben
poche modifiche, il file di configurazione era gia' in gran parte ben
configurato.
Ciao
  Andrea

 
Per quanto riguarda lo sniff, puoi fare ben poco. Ad ogni modo la cosa piu' 
semplice e' installare l'RPM di snort che trovi in Mandrake.
Per farlo partire o per fermarlo usi lo script /etc/rc.d/init.d/snort
Snort ti scrive i log normalmente in /var/log/snort/alerts (a meno che non 
lo lanci con l'opzione di loggare in /var/log/messages)
Per avere un bel report puoi utilizzare snarfsnort. E' uno script perl che 
puoi lanciare dal crontab.
Piu' in dettaglio,
[root@devil root]# more /etc/cron.hourly/snarfsnort
#!/bin/sh
#
# Update IDS output.
cd /PATH PER L'OUTPUT DI SNORTSNARF/SnortSnarf
./
snortsnarf.pl
 /var/log/snort/alert
Se vuoi vedere cosa fa puoi andare sul mio sito
Ciao
Stefano
-- 
----------------------
 Please visit my site
 
http://www.crapa.org

 configurato.
Perfetto...
A me non si accorge di niente...
Mi faccio un portscan da solo, e non se ne rende conto...
Appunto volevo un aiuto...


 Se vuoi vedere cosa fa puoi andare sul mio sito
Carino :)
Grazie!!


 Mi faccio un portscan da solo, e non se ne rende conto...
Mument: snort non e' un pischello, se ti fai uno scan dalla tua macchina
snort non lo rileva come tentativo di attacco perche' suppone che seduto
davanti al monitor della tuo computer ci sia un autente autorizzato. Per
questo devi farti fare lo scan da un host che non sta sulla tua HOME_NET
che altrimenti l'effetto e' sempre lo stesso: nessun allarme.
Poi ovviamente tu sai dove snort va a ficcare gli alert, vero? (a questo
proposito e' bene se controlli - ps aux - con che opzioni viene lanciato
snort dalla tua distribuzione).
Ciao
  Andrea

 snort dalla tua distribuzione).
Per la verità quando non riuscivo proprio a farlo andare provavo a 
lanciarlo a mano.
Invece lanciandolo con "/etc/rc.d/init.d/snortd start" (oppure con 
service snortd start) parte tranquillamente, solo che:
1) non appare nell'elenco dei processi con ps aux
2) se cerco di farlo ripartire mi dice (giustamente): "already running"
2) se cerco di fermarlo (/etc/rc.d/init.d/snortd start) mi becco un bel 
"failed"
Boh...
Ed inoltre non mi becca né i portscan, né niente altro...
C'ho la gente che prova ad entrarmi dall'FTP e lui non se ne accorge...


 "failed"
I conti tornano: se non sta girando e tu cerchi di killarlo non ci
riesci -> messaggio d'errore.
Dovresti lanciare snort a mano con le ozioni che gli passa lo script di
avvio per vedere dove sta l'errore.
Ciao
  Andrea 

 avvio per vedere dove sta l'errore.
Mo' ci provo...
Era un problema di permessi sui file...
Adesso l'ho risolto: tramite lo script snort parte (con ps è 
visualizzato).
Però continua a non loggare niente...
A questo punto mi viene un dubbio... passo alla spiegazione.
Io ho 2 schede di rete, eth0 per la rete locale (192.168.0.X), ed eth1 
per il modem adsl (10.0.0.X). Poi c'è l'interfaccia ppp0 che è quella 
del collegamento ad internet (che ha l'IP dinamico).
Come HOME_NET ho messo 
192.168.0.1/24
 (perché è quella).
Come EXTERNAL_NET ho messo any
1) L'interfaccia che devo monitorare dove si imposta nello snort.conf?
2) Qual'è l'interfaccia che devo monitorare: eth1 o ppp0?
3) Come faccio a dire a snort.conf che l'IP è dinamico?
Le FAQ dicono che è disponibile la variabile <interface>_ADDRESS.
Ma non dicono dove bisogna piazzarla...
Grazie :)


 "failed"
Non vorrei essere "banale", però hai verificato che non si sia impiantato
magari sul file PID? A me è capitato con altri programmi che lanciati si
scrivono il loro bel file .PID, ma che se crashano non riescono a ripartire
finchè non gli cancelli a mano tale file...
Se mi sbaglio ditemelo!