Détection d'intrusion avec BASE et Snort

Détection d’intrusion avec BASE et Snort

Ce tutoriel montre comment installer et configurer BASE (Basic Analysis and Security Engine) et le système de détection d’intrusion Snort (IDS) sur un système Debian Sarge. BASE fournit une interface web pour interroger et analyser les alertes provenant d’un système IDS Snort. Avec BASE, vous pouvez effectuer une analyse des intrusions que Snort a détectées sur votre réseau.

Scénario : Un serveur Linux exécutant Debian Sarge 3.1 configuré selon le guide de Falko - The Perfect Setup - Debian Sarge (3.1).
Supposons que nous avons un site web fonctionnel ( www.example.com) et que le document root est : /var/www/www.example.com/web
L’IP du serveur est 192.168.0.5 et il utilise eth0 comme nom d’interface réseau.

Programmes et fichiers nécessaires

Snort
Règles Snort
PCRE (Expressions régulières compatibles Perl)
LIBPCAP
BASE (Basic Analysis and Security Engine)
ADOdb (Bibliothèque d’abstraction de base de données ADOdb pour PHP (et Python).)

Téléchargement et décompression

Nous avons besoin d’un endroit temporaire pour tous les fichiers que nous allons télécharger et décompresser.
Pour simplifier les choses, nous allons créer un répertoire dans /root nommé snorttemp. (Il est évident que ce répertoire de téléchargement peut avoir n’importe quel nom et être n’importe où)

cd /root
mkdir snorttemp
cd snorttemp

Maintenant, vous devez obtenir Snort.
La dernière version au moment de la rédaction est 2.6.0

wget http://www.snort.org/dl/current/snort-2.6.0.tar.gz

Lorsque le téléchargement est terminé, décompressez le fichier :

tar -xvzf snort-2.6.0.tar.gz

Et supprimons le fichier tar :

rm snort-2.6.0.tar.gz

Nous avons également besoin des règles Snort !
Allez sur : http://www.snort.org/pub-bin/downloads.cgi et faites défiler vers le bas jusqu’à ce que vous voyiez les règles “Sourcefire VRT Certified Rules - The Official Snort Ruleset (version utilisateur non enregistrée)”
(Si vous êtes membre du forum, vous pouvez également télécharger la version - utilisateur enregistré) :

wget http://www.snort.org/pub-bin/downloads.cgi/Download/vrt_pr/snortrules-pr-2.4.tar.gz

Déplacez le fichier snortrules-pr-2.4.tar.gz dans le répertoire snort-2.6.0 :

mv snortrules-pr-2.4.tar.gz /root/snorttemp/snort-2.6.0

et cd dans snort-2.6.0 :

cd snort-2.6.0

Décompressez le fichier snortrules-pr-2.4.tar.gz :

tar -xvzf snortrules-pr-2.4.tar.gz

Supprimez le fichier tar :

rm snortrules-pr-2.4.tar.gz

Nous avons terminé de télécharger les fichiers nécessaires pour faire fonctionner Snort.

Pour faire fonctionner Snort avec BASE, nous avons besoin de plus !

PCRE - Expressions régulières compatibles Perl.

Allez sur : http://www.pcre.org/ et sélectionnez un lien de téléchargement pour le fichier pcre-6.3tar.gz afin de télécharger PCRE (au moment de la rédaction, il s’agit de pcre-6.3.tar.gz)
cd de retour dans le répertoire snorttemp :

cd /root/snorttemp

et téléchargez le fichier pcre-6.3.tar.gz :

wget http://surfnet.dl.sourceforge.net/sourceforge/pcre/pcre-6.3.tar.gz

Décompressez le fichier :

tar -xvzf pcre-6.3.tar.gz

Supprimez le tar :

rm pcre-6.3.tar.gz