snort konfigurieren

Dieses Thema im Forum "Security Talk" wurde erstellt von g0t0, 22.12.2006.

  1. g0t0

    g0t0

    Dabei seit:
    25.05.2006
    Beiträge:
    313
    Zustimmungen:
    0
    Hi,

    Also ich habe schon bei google geushct aber nichts passendes gefunden, wie bekomm ich snort dazu lediglich auf wlan0 alles zu protokollieren?
    Derzeit ist das der Snort Start:

    Code:
    ***
    *** interface device lookup found: eth0
    ***
    Running in IDS mode with inferred config file: ./snort.conf
    
    Initializing Network Interface eth0
    OpenPcap() device eth0 network lookup:
            eth0: no IPv4 address assigned
    
            --== Initializing Snort ==--
    Initializing Output Plugins!
    Decoding Ethernet on interface eth0
    Initializing Preprocessors!
    Initializing Plug-ins!
    Parsing Rules file ./snort.conf
    
    +++++++++++++++++++++++++++++++++++++++++++++++++++
    Initializing rule chains...
    ,-----------[Flow Config]----------------------
    | Stats Interval:  0
    | Hash Method:     2
    | Memcap:          10485760
    | Rows  :          4099
    | Overhead Bytes:  16400(%0.16)
    `----------------------------------------------
    Frag3 global config:
        Max frags: 65536
        Fragment memory cap: 4194304 bytes
    Frag3 engine config:
        Target-based policy: FIRST
        Fragment timeout: 60 seconds
        Fragment min_ttl:   1
        Fragment ttl_limit: 5
        Fragment Problems: 1
        Bound Addresses: 0.0.0.0/0.0.0.0
    Stream4 config:
        Stateful inspection: ACTIVE
        Session statistics: INACTIVE
        Session timeout: 30 seconds
        Session memory cap: 8388608 bytes
        Session count max: 8192 sessions
        Session cleanup count: 5
        State alerts: INACTIVE
        Evasion alerts: INACTIVE
        Scan alerts: INACTIVE
        Log Flushed Streams: INACTIVE
        MinTTL: 1
        TTL Limit: 5
        Async Link: 0
        State Protection: 0
        Self preservation threshold: 50
        Self preservation period: 90
        Suspend threshold: 200
        Suspend period: 30
        Enforce TCP State: INACTIVE
        Midstream Drop Alerts: INACTIVE
        Server Data Inspection Limit: -1
    WARNING ./snort.conf(372) => flush_behavior set in config file, using old static flushpoints (0)
    Stream4_reassemble config:
        Server reassembly: INACTIVE
        Client reassembly: ACTIVE
        Reassembler alerts: ACTIVE
        Zero out flushed packets: INACTIVE
        Flush stream on alert: INACTIVE
        flush_data_diff_size: 500
        Reassembler Packet Preferance : Favor Old
        Packet Sequence Overlap Limit: -1
        Flush behavior: Small (<255 bytes)
        Ports: 21 23 25 42 53 80 110 111 135 136 137 139 143 445 513 1433 1521 3306
        Emergency Ports: 21 23 25 42 53 80 110 111 135 136 137 139 143 445 513 1433 1521 3306
    HttpInspect Config:
        GLOBAL CONFIG
          Max Pipeline Requests:    0
          Inspection Type:          STATELESS
          Detect Proxy Usage:       NO
          IIS Unicode Map Filename: ./unicode.map
          IIS Unicode Map Codepage: 1252
        DEFAULT SERVER CONFIG:
          Ports: 80 8080 8180
          Flow Depth: 300
          Max Chunk Length: 500000
          Inspect Pipeline Requests: YES
          URI Discovery Strict Mode: NO
          Allow Proxy Usage: NO
          Disable Alerting: NO
          Oversize Dir Length: 500
          Only inspect URI: NO
          Ascii: YES alert: NO
          Double Decoding: YES alert: YES
          %U Encoding: YES alert: YES
          Bare Byte: YES alert: YES
          Base36: OFF
          UTF 8: OFF
          IIS Unicode: YES alert: YES
          Multiple Slash: YES alert: NO
          IIS Backslash: YES alert: NO
          Directory Traversal: YES alert: NO
          Web Root Traversal: YES alert: YES
          Apache WhiteSpace: YES alert: NO
          IIS Delimiter: YES alert: NO
          IIS Unicode Map: GLOBAL IIS UNICODE MAP CONFIG
          Non-RFC Compliant Characters: NONE
    rpc_decode arguments:
        Ports to decode RPC on: 111 32771
        alert_fragments: INACTIVE
        alert_large_fragments: ACTIVE
        alert_incomplete: ACTIVE
        alert_multiple_requests: ACTIVE
    telnet_decode arguments:
        Ports to decode telnet on: 21 23 25 119
    Portscan Detection Config:
        Detect Protocols:  TCP UDP ICMP IP
        Detect Scan Type:  portscan portsweep decoy_portscan distributed_portscan
        Sensitivity Level: Low
        Memcap (in bytes): 10000000
        Number of Nodes:   36900
    
    X-Link2State Config:
        Ports: 25 691
    2834 Snort rules read...
    2834 Option Chains linked into 196 Chain Headers
    0 Dynamic rules
    +++++++++++++++++++++++++++++++++++++++++++++++++++
    
    Warning: flowbits key 'ms_sql_seen_dns' is checked but not ever set.
    Warning: flowbits key 'smb.tree.create.llsrpc' is set but not ever checked.
    Warning: flowbits key 'dce.bind.veritas' is set but not ever checked.
    Warning: flowbits key 'realplayer.playlist' is checked but not ever set.
    
    +-----------------------[thresholding-config]----------------------------------
    | memory-cap : 1048576 bytes
    +-----------------------[thresholding-global]----------------------------------
    | none
    +-----------------------[thresholding-local]-----------------------------------
    | gen-id=1      sig-id=3542       type=Threshold tracking=src count=5   seconds=2
    | gen-id=1      sig-id=2494       type=Both      tracking=dst count=20  seconds=60
    | gen-id=1      sig-id=2275       type=Threshold tracking=dst count=5   seconds=60
    | gen-id=1      sig-id=3273       type=Threshold tracking=src count=5   seconds=2
    | gen-id=1      sig-id=2496       type=Both      tracking=dst count=20  seconds=60
    | gen-id=1      sig-id=3152       type=Threshold tracking=src count=5   seconds=2
    | gen-id=1      sig-id=3543       type=Threshold tracking=src count=5   seconds=2
    | gen-id=1      sig-id=3527       type=Limit     tracking=dst count=5   seconds=60
    | gen-id=1      sig-id=2924       type=Threshold tracking=dst count=10  seconds=60
    | gen-id=1      sig-id=2523       type=Both      tracking=dst count=10  seconds=10
    | gen-id=1      sig-id=2923       type=Threshold tracking=dst count=10  seconds=60
    | gen-id=1      sig-id=2495       type=Both      tracking=dst count=20  seconds=60
    +-----------------------[suppression]------------------------------------------
    | none
    -------------------------------------------------------------------------------
    Rule application order: ->activation->dynamic->drop->alert->pass->log
    Log directory = /var/log/snort
    
            --== Initialization Complete ==--
    
       ,,_     -*> Snort! <*-
      o"  )~   Version 2.4.5 (Build 29) i386
       ''''    By Martin Roesch & The Snort Team: http://www.snort.org/team.html
               (C) Copyright 1998-2005 Sourcefire Inc., et al.
     NOTE: Snort's default output has changed in version 2.4.1!
           The default logging mode is now PCAP, use "-K ascii" to activate
           the old default logging mode.
    
    Da wird aber auf eth0 geachtet nicht auf wlan0.
    Da ich aber ncihtmal eine Lan Verbindung ahbe ist das nicht gerade sehr nützlich, darum möchte ich das er nur auf wlan0 aufpasst.
     
  2. Anzeige

    Schau dir mal diesen Ratgeber an. Viele Antworten inkl. passender Shell-Befehle!
    Registrieren bzw. einloggen, um diese und auch andere Anzeigen zu deaktivieren
  3. theton

    theton Bitmuncher

    Dabei seit:
    27.05.2004
    Beiträge:
    4.820
    Zustimmungen:
    0
    Ort:
    Berlin, Germany
    Indem du Snort als EXTERNAL_NET die IP deines wlan0 angibst. Einfach mal die Kommentare in der snort.conf lesen.
    Code:
    ###################################################
    # Step #1: Set the network variables:
    #
    # You must change the following variables to reflect your local network. The
    # variable is currently setup for an RFC 1918 address space.
    #
    # You can specify it explicitly as:
    #
    # var HOME_NET 10.1.1.0/24
    #
    # or use global variable $<interfacename>_ADDRESS which will be always
    # initialized to IP address and netmask of the network interface which you run
    # snort at.  Under Windows, this must be specified as
    # $(<interfacename>_ADDRESS), such as:
    # $(\Device\Packet_{12345678-90AB-CDEF-1234567890AB}_ADDRESS)
    #
    # var HOME_NET $eth0_ADDRESS
    #
    ...
    
    selbiges funktioniert auch bei EXTERNAL_NET.
     
  4. g0t0

    g0t0

    Dabei seit:
    25.05.2006
    Beiträge:
    313
    Zustimmungen:
    0
    Das habe ich schon gelesen, steht ja ganz am Anfang in der config aber wie lautet die IP des Wlans, ist damit die IP gemeint auf der ich den Router anpinge oder die IP die mir vom Provider zugewiesen wird?
     
  5. theton

    theton Bitmuncher

    Dabei seit:
    27.05.2004
    Beiträge:
    4.820
    Zustimmungen:
    0
    Ort:
    Berlin, Germany
    Damit ist die IP gemeint, die dein wlan0-Device hat. Siehe Output von 'ifconfig'.
     
  6. g0t0

    g0t0

    Dabei seit:
    25.05.2006
    Beiträge:
    313
    Zustimmungen:
    0
    Hab mir mal die Outpuuts von Snort genau angesehen:

    Code:
    Check /etc/sysconfig/snort for more details on theSNORT_ACTIVATE entry
    
    Kommt bei jeden Start. Habe mir einfach mal die Datei angeguckt udn siehe da, eine einfache Variable zum einstellen des Interfaces.
    eth0 ist da standard, brauchte die nur durch wlan0 ersetzten snort neustarten und nun "lauscht" snort auf wlan0.
     
  7. theton

    theton Bitmuncher

    Dabei seit:
    27.05.2004
    Beiträge:
    4.820
    Zustimmungen:
    0
    Ort:
    Berlin, Germany
    Naja, dass du SuSE oder Fedora nutzt, hättest du dazu sagen sollen. Da wird das Interface nämlich über sysconfig gesetzt. Bei der Installation von Snort aus dem Source und auf Debian-basierten Distros ist das nicht so.
     
  8. mcas

    mcas Routinier

    Dabei seit:
    29.12.2005
    Beiträge:
    398
    Zustimmungen:
    0
    snort -i wlan0?
     
  9. Anzeige

    Vielleicht findest du HIER Antworten.
    Registrieren bzw. einloggen, um diese und auch andere Anzeigen zu deaktivieren
  10. g0t0

    g0t0

    Dabei seit:
    25.05.2006
    Beiträge:
    313
    Zustimmungen:
    0
    Mach ich beim nächstenmal.
    Häätest du aber acuh aus meiner Signatur und meinem Profil entnehmen können. :P
     
  11. theton

    theton Bitmuncher

    Dabei seit:
    27.05.2004
    Beiträge:
    4.820
    Zustimmungen:
    0
    Ort:
    Berlin, Germany
    Wenn ich bei jedem, dem ich antworte erst in's Profil schauen müsste, wäre ich den halben Tag mit Profile lesen beschäftigt. ;) Und auf Signaturen achte ich nur noch selten, gerade wenn sie sie so unauffällig sind. :)
     
Thema: snort konfigurieren
Besucher kamen mit folgenden Suchen
  1. snort konfigurieren

Die Seite wird geladen...

snort konfigurieren - Ähnliche Themen

  1. Cisco fügt Anwendungserkennung zu Snort hinzu

    Cisco fügt Anwendungserkennung zu Snort hinzu: Cisco als neuer offizieller Eigentümer der Einbruchsverhinderungs-Software Snort hat unter dem Namen OpenAppID eine Anwendungserkennung...
  2. isco fügt Anwendungserkennung zu Snort hinzu

    isco fügt Anwendungserkennung zu Snort hinzu: Cisco als neuer offizieller Eigentümer der Einbruchsverhinderungs-Software Snort hat unter dem Namen OpenAppID eine Anwendungserkennung...
  3. Snort normalisierung funktioniert nicht

    Snort normalisierung funktioniert nicht: Hallo Commmunity, ich versuche gerade Snort 2.9.0.3 auf meinem 11.3 Suse (64 Bit) ans laufen zu bekommen, aber bekomme immer die Meldung Unkown...
  4. AirSnort unter Suse 10.3

    AirSnort unter Suse 10.3: Moinsen, und erstmal Frohe Weihnachten. Ich versuche jetzt schon seid längeren Airsnort zu installieren, leider will es mir nicht gelingen....
  5. snort log

    snort log: Folgende Meldung bekomme ich von snort wenn ich mich mitm Firefox bei web.de einlogge und das find ich doch leicht besorgniserregend und da Google...