PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : snort konfigurieren



g0t0
22.12.2006, 10:50
Hi,

Also ich habe schon bei google geushct aber nichts passendes gefunden, wie bekomm ich snort dazu lediglich auf wlan0 alles zu protokollieren?
Derzeit ist das der Snort Start:



***
*** interface device lookup found: eth0
***
Running in IDS mode with inferred config file: ./snort.conf

Initializing Network Interface eth0
OpenPcap() device eth0 network lookup:
eth0: no IPv4 address assigned

--== Initializing Snort ==--
Initializing Output Plugins!
Decoding Ethernet on interface eth0
Initializing Preprocessors!
Initializing Plug-ins!
Parsing Rules file ./snort.conf

++++++++++++++++++++++++++++++++++++++++++++++++++ +
Initializing rule chains...
,-----------[Flow Config]----------------------
| Stats Interval: 0
| Hash Method: 2
| Memcap: 10485760
| Rows : 4099
| Overhead Bytes: 16400(%0.16)
`----------------------------------------------
Frag3 global config:
Max frags: 65536
Fragment memory cap: 4194304 bytes
Frag3 engine config:
Target-based policy: FIRST
Fragment timeout: 60 seconds
Fragment min_ttl: 1
Fragment ttl_limit: 5
Fragment Problems: 1
Bound Addresses: 0.0.0.0/0.0.0.0
Stream4 config:
Stateful inspection: ACTIVE
Session statistics: INACTIVE
Session timeout: 30 seconds
Session memory cap: 8388608 bytes
Session count max: 8192 sessions
Session cleanup count: 5
State alerts: INACTIVE
Evasion alerts: INACTIVE
Scan alerts: INACTIVE
Log Flushed Streams: INACTIVE
MinTTL: 1
TTL Limit: 5
Async Link: 0
State Protection: 0
Self preservation threshold: 50
Self preservation period: 90
Suspend threshold: 200
Suspend period: 30
Enforce TCP State: INACTIVE
Midstream Drop Alerts: INACTIVE
Server Data Inspection Limit: -1
WARNING ./snort.conf(372) => flush_behavior set in config file, using old static flushpoints (0)
Stream4_reassemble config:
Server reassembly: INACTIVE
Client reassembly: ACTIVE
Reassembler alerts: ACTIVE
Zero out flushed packets: INACTIVE
Flush stream on alert: INACTIVE
flush_data_diff_size: 500
Reassembler Packet Preferance : Favor Old
Packet Sequence Overlap Limit: -1
Flush behavior: Small (<255 bytes)
Ports: 21 23 25 42 53 80 110 111 135 136 137 139 143 445 513 1433 1521 3306
Emergency Ports: 21 23 25 42 53 80 110 111 135 136 137 139 143 445 513 1433 1521 3306
HttpInspect Config:
GLOBAL CONFIG
Max Pipeline Requests: 0
Inspection Type: STATELESS
Detect Proxy Usage: NO
IIS Unicode Map Filename: ./unicode.map
IIS Unicode Map Codepage: 1252
DEFAULT SERVER CONFIG:
Ports: 80 8080 8180
Flow Depth: 300
Max Chunk Length: 500000
Inspect Pipeline Requests: YES
URI Discovery Strict Mode: NO
Allow Proxy Usage: NO
Disable Alerting: NO
Oversize Dir Length: 500
Only inspect URI: NO
Ascii: YES alert: NO
Double Decoding: YES alert: YES
%U Encoding: YES alert: YES
Bare Byte: YES alert: YES
Base36: OFF
UTF 8: OFF
IIS Unicode: YES alert: YES
Multiple Slash: YES alert: NO
IIS Backslash: YES alert: NO
Directory Traversal: YES alert: NO
Web Root Traversal: YES alert: YES
Apache WhiteSpace: YES alert: NO
IIS Delimiter: YES alert: NO
IIS Unicode Map: GLOBAL IIS UNICODE MAP CONFIG
Non-RFC Compliant Characters: NONE
rpc_decode arguments:
Ports to decode RPC on: 111 32771
alert_fragments: INACTIVE
alert_large_fragments: ACTIVE
alert_incomplete: ACTIVE
alert_multiple_requests: ACTIVE
telnet_decode arguments:
Ports to decode telnet on: 21 23 25 119
Portscan Detection Config:
Detect Protocols: TCP UDP ICMP IP
Detect Scan Type: portscan portsweep decoy_portscan distributed_portscan
Sensitivity Level: Low
Memcap (in bytes): 10000000
Number of Nodes: 36900

X-Link2State Config:
Ports: 25 691
2834 Snort rules read...
2834 Option Chains linked into 196 Chain Headers
0 Dynamic rules
++++++++++++++++++++++++++++++++++++++++++++++++++ +

Warning: flowbits key 'ms_sql_seen_dns' is checked but not ever set.
Warning: flowbits key 'smb.tree.create.llsrpc' is set but not ever checked.
Warning: flowbits key 'dce.bind.veritas' is set but not ever checked.
Warning: flowbits key 'realplayer.playlist' is checked but not ever set.

+-----------------------[thresholding-config]----------------------------------
| memory-cap : 1048576 bytes
+-----------------------[thresholding-global]----------------------------------
| none
+-----------------------[thresholding-local]-----------------------------------
| gen-id=1 sig-id=3542 type=Threshold tracking=src count=5 seconds=2
| gen-id=1 sig-id=2494 type=Both tracking=dst count=20 seconds=60
| gen-id=1 sig-id=2275 type=Threshold tracking=dst count=5 seconds=60
| gen-id=1 sig-id=3273 type=Threshold tracking=src count=5 seconds=2
| gen-id=1 sig-id=2496 type=Both tracking=dst count=20 seconds=60
| gen-id=1 sig-id=3152 type=Threshold tracking=src count=5 seconds=2
| gen-id=1 sig-id=3543 type=Threshold tracking=src count=5 seconds=2
| gen-id=1 sig-id=3527 type=Limit tracking=dst count=5 seconds=60
| gen-id=1 sig-id=2924 type=Threshold tracking=dst count=10 seconds=60
| gen-id=1 sig-id=2523 type=Both tracking=dst count=10 seconds=10
| gen-id=1 sig-id=2923 type=Threshold tracking=dst count=10 seconds=60
| gen-id=1 sig-id=2495 type=Both tracking=dst count=20 seconds=60
+-----------------------[suppression]------------------------------------------
| none
-------------------------------------------------------------------------------
Rule application order: ->activation->dynamic->drop->alert->pass->log
Log directory = /var/log/snort

--== Initialization Complete ==--

,,_ -*> Snort! <*-
o" )~ Version 2.4.5 (Build 29) i386
'''' By Martin Roesch & The Snort Team: http://www.snort.org/team.html
(C) Copyright 1998-2005 Sourcefire Inc., et al.
NOTE: Snort's default output has changed in version 2.4.1!
The default logging mode is now PCAP, use "-K ascii" to activate
the old default logging mode.


Da wird aber auf eth0 geachtet nicht auf wlan0.
Da ich aber ncihtmal eine Lan Verbindung ahbe ist das nicht gerade sehr nützlich, darum möchte ich das er nur auf wlan0 aufpasst.

theton
22.12.2006, 11:54
Indem du Snort als EXTERNAL_NET die IP deines wlan0 angibst. Einfach mal die Kommentare in der snort.conf lesen.


################################################## #
# Step #1: Set the network variables:
#
# You must change the following variables to reflect your local network. The
# variable is currently setup for an RFC 1918 address space.
#
# You can specify it explicitly as:
#
# var HOME_NET 10.1.1.0/24
#
# or use global variable $<interfacename>_ADDRESS which will be always
# initialized to IP address and netmask of the network interface which you run
# snort at. Under Windows, this must be specified as
# $(<interfacename>_ADDRESS), such as:
# $(\Device\Packet_{12345678-90AB-CDEF-1234567890AB}_ADDRESS)
#
# var HOME_NET $eth0_ADDRESS
#
...

selbiges funktioniert auch bei EXTERNAL_NET.

g0t0
22.12.2006, 14:56
Das habe ich schon gelesen, steht ja ganz am Anfang in der config aber wie lautet die IP des Wlans, ist damit die IP gemeint auf der ich den Router anpinge oder die IP die mir vom Provider zugewiesen wird?

theton
22.12.2006, 15:34
Damit ist die IP gemeint, die dein wlan0-Device hat. Siehe Output von 'ifconfig'.

g0t0
22.12.2006, 16:11
Hab mir mal die Outpuuts von Snort genau angesehen:



Check /etc/sysconfig/snort for more details on theSNORT_ACTIVATE entry


Kommt bei jeden Start. Habe mir einfach mal die Datei angeguckt udn siehe da, eine einfache Variable zum einstellen des Interfaces.
eth0 ist da standard, brauchte die nur durch wlan0 ersetzten snort neustarten und nun "lauscht" snort auf wlan0.

theton
22.12.2006, 16:13
Naja, dass du SuSE oder Fedora nutzt, hättest du dazu sagen sollen. Da wird das Interface nämlich über sysconfig gesetzt. Bei der Installation von Snort aus dem Source und auf Debian-basierten Distros ist das nicht so.

mcas
22.12.2006, 18:58
snort -i wlan0?

g0t0
22.12.2006, 21:14
Naja, dass du SuSE oder Fedora nutzt, hättest du dazu sagen sollen. Da wird das Interface nämlich über sysconfig gesetzt. Bei der Installation von Snort aus dem Source und auf Debian-basierten Distros ist das nicht so.

Mach ich beim nächstenmal.
Häätest du aber acuh aus meiner Signatur und meinem Profil entnehmen können. :P

theton
22.12.2006, 22:35
Wenn ich bei jedem, dem ich antworte erst in's Profil schauen müsste, wäre ich den halben Tag mit Profile lesen beschäftigt. ;) Und auf Signaturen achte ich nur noch selten, gerade wenn sie sie so unauffällig sind. :)