Detección de Intrusiones Con BASE Y Snort

Este tutorial muestra cómo instalar y configurar BASE (Motor de Análisis y Seguridad Básico) y el sistema de detección de intrusiones Snort (IDS) en un sistema Debian Sarge. BASE proporciona una interfaz web para consultar y analizar las alertas provenientes de un sistema IDS Snort. Con BASE puedes realizar análisis de intrusiones que Snort ha detectado en tu red.

Escenario: Un servidor linux ejecutando Debian Sarge 3.1 configurado de acuerdo con Falko - La Configuración Perfecta - Debian Sarge (3.1).
Supongamos que tenemos un sitio web en funcionamiento ( www.example.com) y que la raíz del documento es: /var/www/www.example.com/web
La IP del servidor es 192.168.0.5 y está utilizando eth0 como nombre de interfaz de red.

Programas y archivos necesarios

Snort
Reglas de Snort
PCRE (Expresiones Regulares Compatibles con Perl)
LIBPCAP
BASE (Motor de Análisis y Seguridad Básico)
ADOdb (Biblioteca de Abstracción de Base de Datos ADOdb para PHP (y Python).)

Descargando y descomprimiendo

Necesitamos un lugar temporal para todos los archivos que vamos a descargar y descomprimir.
Para mantener las cosas simples, crearemos un directorio en /root llamado snorttemp. (Es obvio que este directorio de descarga puede tener cualquier nombre y estar en cualquier lugar)

cd /root
mkdir snorttemp
cd snorttemp

Ahora necesitas obtener Snort.
La última versión en el momento de escribir esto es 2.6.0

wget http://www.snort.org/dl/current/snort-2.6.0.tar.gz

Cuando la descarga haya terminado, descomprime el archivo:

tar -xvzf snort-2.6.0.tar.gz

Y eliminemos el archivo tar:

rm snort-2.6.0.tar.gz

¡También necesitamos las reglas de Snort!
Ve a: http://www.snort.org/pub-bin/downloads.cgi y desplázate hacia abajo hasta que veas las reglas “Sourcefire VRT Certified Rules - The Official Snort Ruleset (unregistered user release)”
(Si eres miembro del foro, también puedes descargar la - versión para usuarios registrados):

wget http://www.snort.org/pub-bin/downloads.cgi/Download/vrt_pr/snortrules-pr-2.4.tar.gz

Mueve el snortrules-pr-2.4.tar.gz al mapa de snort-2.6.0:

mv snortrules-pr-2.4.tar.gz /root/snorttemp/snort-2.6.0

y cd en snort-2.6.0:

cd snort-2.6.0

Descomprime el archivo snortrules-pr-2.4.tar.gz:

tar -xvzf snortrules-pr-2.4.tar.gz

Elimina el archivo tar:

rm snortrules-pr-2.4.tar.gz

Hemos terminado de descargar los archivos necesarios para que Snort funcione.

Para hacer que snort funcione con BASE, ¡necesitamos más!

PCRE - Expresiones Regulares Compatibles con Perl.

Ve a: http://www.pcre.org/ y selecciona un enlace de descarga para el archivo pcre-6.3tar.gz para descargar PCRE (en el momento de escribir esto es pcre-6.3.tar.gz)
cd de vuelta al mapa snorttemp:

cd /root/snorttemp

y descarga el archivo pcre-6.3.tar.gz:

wget http://surfnet.dl.sourceforge.net/sourceforge/pcre/pcre-6.3.tar.gz

Descomprime el archivo:

tar -xvzf pcre-6.3.tar.gz

Elimina el tar:

rm pcre-6.3.tar.gz