安全的 log 紀錄服務器

• Stealth sniffer
• stealth NIDS porbe
• stealth logger

編輯文件 /etc/sysconfig/network-scripts/ifcfg-eth0

vim /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
USERCTL=no
ONBOOT=yes
BOOTPROTO=
BROADCAST=
NETWORK=
NETMASK=
IPADDR=

存檔後,用 ifconfig 來 active 我們的 eth0 介面.

現在我們運行
snort -dvi eth0

這裡 -d 的選項告訴 snort 對資料進行 decode （解碼）
-v 告訴 snort 將結果顯示在屏幕上面
-i 則是指定所需要的 interface

可以用 -C 選項告訴 snort 只顯示 ASCII 部份. 忽略 hexadecimal 資料.

$snort -dviC eth0

Log directory= /var/log/snort

Initializing Network Interface eth0
kernel filter, protocol ALL, TURBO mode
(63 frames), raw packet socket

	--== Initializing Snort ==--
Decoding Ethernet on interface eth0

	--== Initialization Complate ==--

-*> Snort! <*-

Version 1.8.4 (Build 99)
By Martin Roesch (roesch@sourcefire.com, 
www.snort.org)

......
......
......

首先,我們需要更改一下 /etc/snort/snort.conf 具體需要參照您自己的機器來設定.

#設定 log 存放的地方
config logdir: /var/log/snort

#設定網路
var HOME_NET 192.168.1.0/24
var EXTERNAL_NET any
var SMTP $HOME_NET
var HTTP_SERVERS $HOME_NET
var SQL_SERVERS $HOME_NET
var DNS_SERVERS 192.168.1.250/32
var RULE_PATH ./

#設定 preprocessors
preprocessor frag2
preprocessor stream4: detect_scans
preprocessor stream4_reassemblt
preprocessor portscan: $HOME_NET 4 3 portscan.log

#設定 output
output database: log, mysql, user=root
dbname-snort host=localhost

#rules 
alert tcp $HOME_NET 7161 -> $EXTERNAL_NET any
(msg: "MISC Cisco Catalyst Remote Access";
flags: SA; reference:arachnids, 129;
reference:cve, CVE-1999-0430;
classtype:bad-unknow; sid:513; rev:1;)

#設定 patch , 這些都是些附加的 rules 的文件
include $RULE_PATH/bad-traffic.rules
include $RULE_PATH/exploit.rules
include $RULE_PATH/scan.rules
include $RULE_PATH/ftp.rules

#這些 rule 其實還有很多.您可以自己去寫,也可以找人家寫好的下載拿來用.

現在讓我們把 snort 跑起來：

snort -c /etc/snort/snort.conf -D -i eth0

現在 snort NIDS 的模式跑起來了. 在 default 的情況下：
alerts 會放在 /var/log/snort/alert 中
port-scanning 會放在 /var/log/snort/portscan.log

加入 snortd
chkconfig --add snortd

打開 snortd
chkconfig snortd on
或者
chkconfig --level 3 snortd on
這裡的 level 請自行更改到您所跑的 runlevel 
您可以用 cat /etc/inittab  | grep id 來看自己在哪個
runlevel 上面.
cat /etc/inittab  | grep id
id:5:initdefault:
這裡就是說跑在 run level 5 上面.

vim /etc/syslog.conf 
加入
*.info	@192.168.1.123

如果您的系統是用 syslog-ng 的話
vim /etc/syslog-ng/syslog-ng.conf

destination d_loghost { udp(ip(192.168.123)
port (514)); };
filter f_info { level(info); };
log {filter(f_info); destination(d_loghost);};

我們這裡加入我們 logger 服務器的真實 MAC 地址就可以了.

arp -s 192.168.1.123 00:D0:B7:DB:BF:95

在 Logger 服務器設定 snort

/etc/snort/snort.conf

var EXTERNAL_NET any

#等於 snort -d
config dump_payload

#等於 snort -C
config dump_chars_only

#設定 log 存放的 path
config logdir: /var/log/snort

# frag2 所做的動作就是把 fragmented 給我們 re-assembly 
preprocessor frag2

log udp 192.168.1.1/32 any -> 192.168.1.123/32 514
(logto: "logged-packets";)