Detecção de Intrusão Com BASE E Snort

Este tutorial mostra como instalar e configurar o BASE (Basic Analysis and Security Engine) e o sistema de detecção de intrusão Snort (IDS) em um sistema Debian Sarge. O BASE fornece uma interface web para consultar e analisar os alertas provenientes de um sistema IDS Snort. Com o BASE, você pode realizar a análise de intrusões que o Snort detectou em sua rede.

Cenário: Um servidor Linux rodando Debian Sarge 3.1 configurado de acordo com o Falko - A Configuração Perfeita - Debian Sarge (3.1).
Vamos supor que temos um site funcionando ( www.example.com) e que o diretório raiz do documento é: /var/www/www.example.com/web
O IP do servidor é 192.168.0.5 e está usando eth0 como nome da interface de rede.

Programas e arquivos necessários

Snort
Regras do Snort
PCRE (Expressões Regulares Compatíveis com Perl)
LIBPCAP
BASE (Basic Analysis and Security Engine)
ADOdb (Biblioteca de Abstração de Banco de Dados ADOdb para PHP (e Python).)

Baixando e descompactando

Precisamos de um lugar temporário para todos os arquivos que vamos baixar e descompactar.
Para manter as coisas simples, criaremos um diretório em /root chamado snorttemp. (É óbvio que este diretório de download pode ter qualquer nome e estar em qualquer lugar)

cd /root
mkdir snorttemp
cd snorttemp

Agora você precisa obter o Snort.
A versão mais recente no momento da redação é 2.6.0

wget http://www.snort.org/dl/current/snort-2.6.0.tar.gz

Quando o download estiver concluído, descompacte o arquivo:

tar -xvzf snort-2.6.0.tar.gz

E vamos remover o arquivo tar:

rm snort-2.6.0.tar.gz

Nós também precisamos das regras do Snort!
Vá para: http://www.snort.org/pub-bin/downloads.cgi e role para baixo até ver as regras “Sourcefire VRT Certified Rules - The Official Snort Ruleset (unregistered user release)”
(Se você é membro do fórum, também pode baixar a - versão para usuários registrados):

wget http://www.snort.org/pub-bin/downloads.cgi/Download/vrt_pr/snortrules-pr-2.4.tar.gz

Mova o snortrules-pr-2.4.tar.gz para o diretório snort-2.6.0:

mv snortrules-pr-2.4.tar.gz /root/snorttemp/snort-2.6.0

e cd para snort-2.6.0:

cd snort-2.6.0

Descompacte o arquivo snortrules-pr-2.4.tar.gz:

tar -xvzf snortrules-pr-2.4.tar.gz

Remova o arquivo tar:

rm snortrules-pr-2.4.tar.gz

Terminamos de baixar os arquivos necessários para fazer o Snort funcionar.

Para fazer o snort funcionar com o BASE, precisamos de mais!

PCRE - Expressões Regulares Compatíveis com Perl.

Vá para: http://www.pcre.org/ e selecione um link de download para o arquivo pcre-6.3tar.gz para baixar o PCRE (no momento da redação, é pcre-6.3.tar.gz)
cd de volta para o diretório snorttemp:

cd /root/snorttemp

e baixe o arquivo pcre-6.3.tar.gz:

wget http://surfnet.dl.sourceforge.net/sourceforge/pcre/pcre-6.3.tar.gz

Descompacte o arquivo:

tar -xvzf pcre-6.3.tar.gz

Remova o tar:

rm pcre-6.3.tar.gz