蚊章汇 - IDS
type: channel
link: https://linuxcn.bwsl.wang/tag/IDS/
items: 如何在 Linux 系统上安装 Suricata 入侵检测系统
items: 在 Ubuntu 15.04 中如何安装和使用 Snort
items: 在CentOS上配置基于主机的入侵检测系统（IDS）

如何在 Linux 系统上安装 Suricata 入侵检测系统
type: item
date: 2016-02-07T18:10:00+08:00
description: 随着安全威胁的不断发生，入侵检测系统（IDS）在如今的数据中心环境中显得尤为必要。然而，随着越来越多的服务器将他们的网卡升级到10GB/40GB以太网，对如此线路上的硬件进行计算密集型的入侵检测越来越困难。其中一种提升入侵检测系统性能的途径是多线程入侵检测系统，它将 CPU 密集型的深度包检测工作并行的分配给多个并发任务来完成。这样的并行检测可以充分利用多核硬件的优势来轻松提升入侵检测系统的吞吐量。在这方面有两个知名的开源项目，分别是 Suricata 和 Bro。这个教程里，我会向大家演示如何在 Linux 服务器上安装和配置 Suricata 入侵检测系统。在 Linux 上安装 Suricata IDS让我们从源文件来构建 Suricata，但在此之前，需要按如下所示先安装几个依赖包。在 Debian, Ubuntu 或者 Linux Mint 操作系统上安装依赖包$ sudo apt-get install wget build-essential libpcre3-dev libpcre3-dbg automake autoconf libtool libpcap-dev libnet1-dev libyaml-dev zlib1g-dev libcap-ng-dev libjansson-dev 在 CentOS, Fedora 或者 RHEL 操作系统上安装依赖包$ sudo yum install wget libpcap-devel libnet-devel pcre-devel gcc-c++ automake autoconf libtool make libyaml-devel zlib-devel file-devel jansson-devel nss-devel 一旦将所有依赖包安装完毕，我们就可以继续安装 Suricata 了。首先从 http://suricata-ids.org/download/ 下载 Suricata 源代码，然后构建它。撰写这篇文章的时候，其最新版本号为 2.0.8 。$ wget http://www.openinfosecfoundation.org/download/suricata-2.0.8.tar.gz $ tar -xvf suricata-2.0.8.tar.gz $ cd suricata-2.0.8 $ ./configure --sysconfdir=/etc --localstatedir=/var 以下是配置信息的样例。Suricata Configuration: AF_PACKET support: yes PF_RING support: no NFQueue support: no NFLOG support: no IPFW support: no DAG enabled: no Napatech enabled: no Unix socket enabled: yes Detection enabled: yes libnss support: yes libnspr support: yes libjansson support: yes Prelude support: no PCRE jit: yes LUA support: no libluajit: no libgeoip: no Non-bundled htp: no Old barnyard2 support: no CUDA enabled: no 现在可以编译、安装了。$ make $ sudo make install Suricata 源代码带有默认的配置文件。按照如下方法安装这些默认配置文件即可。$ sudo make install-conf 正如你所料，如果没有IDS规则集的话，Suricata 什么用也没有。幸好 Makefile 为我们提供了 IDS 规则集的安装选项。安装方法如下。$ sudo make install-rules 以上的规则安装命令会从 EmergingThreats.net 上下载可用的社区规则集快照，并且将其存储在 /etc/suricata/rules 目录下。首次配置 Suricata IDS现在到了配置 Suricata 的时候了。配置文件的位置是 /etc/suricata/suricata.yaml。参照以下命令，用文本编辑器打开这个文件。$ sudo vi /etc/suricata/suricata.yaml 文件中有一些运行所需的基本配置。为default-log-dir关键字指定 Suricata 日志文件所在的位置。default-log-dir: /var/log/suricata/ 在vars部分下方，…

在 Ubuntu 15.04 中如何安装和使用 Snort
type: item
date: 2015-09-03T17:07:00+08:00
description: 对于网络安全而言入侵检测是一件非常重要的事。入侵检测系统（IDS）用于检测网络中非法与恶意的请求。Snort是一款知名的开源的入侵检测系统。其 Web界面（Snorby）可以用于更好地分析警告。Snort使用iptables/pf防火墙来作为入侵检测系统。本篇中，我们会安装并配置一个开源的入侵检测系统snort。Snort 安装要求snort所使用的数据采集库（DAQ）用于一个调用包捕获库的抽象层。这个在snort上就有。下载过程如下截图所示。解压并运行./configure、make、make install来安装DAQ。然而，DAQ要求其他的工具，因此，./configure脚本会生成下面的错误。flex和bison错误libpcap错误因此在安装DAQ之前先安装flex/bison和libcap。如下所示安装libpcap开发库安装完必要的工具后，再次运行./configure脚本，将会显示下面的输出。make和make install 命令的结果如下所示。成功安装DAQ之后，我们现在安装snort。如下图使用wget下载它。使用下面的命令解压安装包。#tar -xvzf snort-2.9.7.3.tar.gz 创建安装目录并在脚本中设置prefix参数。同样也建议启用包性能监控（PPM）的sourcefire标志。#mkdir /usr/local/snort #./configure --prefix=/usr/local/snort/ --enable-sourcefire 配置脚本会由于缺少libpcre-dev、libdumbnet-dev 和zlib开发库而报错。配置脚本由于缺少libpcre库报错。配置脚本由于缺少dnet（libdumbnet）库而报错。配置脚本由于缺少zlib库而报错如下所示，安装所有需要的开发库。# aptitude install libpcre3-dev # aptitude install libdumbnet-dev # aptitude install zlib1g-dev 安装完snort需要的库之后，再次运行配置脚本就不会报错了。运行make和make install命令在/usr/local/snort目录下完成安装。# make # make install 最后，从/usr/local/snort/bin中运行snort。现在它对eth0的所有流量都处在promisc模式（包转储模式）。如下图所示snort转储流量。Snort的规则和配置从源码安装的snort还需要设置规则和配置，因此我们需要复制规则和配置到/etc/snort下面。我们已经创建了单独的bash脚本来用于设置规则和配置。它会设置下面这些snort设置。在linux中创建用于snort IDS服务的snort用户。在/etc下面创建snort的配置文件和文件夹。权限设置并从源代码的etc目录中复制数据。从snort文件中移除规则中的#(注释符号)。#!/bin/bash# # snort源代码的路径 snort_src="/home/test/Downloads/snort-2.9.7.3" echo "adding group and user for snort..." groupadd snort &> /dev/null useradd snort -r -s /sbin/nologin -d /var/log/snort -c snort_idps -g snort &> /dev/null#snort configuration echo "Configuring snort..."mkdir -p /etc/snort mkdir -p /etc/snort/rules touch /etc/snort/rules/black_list.rules touch /etc/snort/rules/white_list.rules touch /etc/snort/rules/local.rules mkdir /etc/snort/preproc_rules mkdir /var/log/snort mkdir -p /usr/local/lib/snort_dynamicrules chmod -R 775 /etc/snort chmod -R 775 /var/log/snort chmod -R 775 /usr/local/lib/snort_dynamicrules chown -R snort:snort /etc/snort chown -R snort:snort /var/log/snort chown -R snort:snort /usr/local/lib/sn…

在CentOS上配置基于主机的入侵检测系统（IDS）
type: item
date: 2014-11-18T06:22:08+08:00
description: 所有系统管理员想要在他们生产服务器上首先要部署的安全手段之一，就是检测文件篡改的机制——不仅仅是文件内容，而且也包括它们的属性。AIDE （“高级入侵检测环境”的简称）是一个开源的基于主机的入侵检测系统。AIDE通过检查大量文件属性的不一致性来检查系统二进制文件和基本配置文件的完整性，这些文件属性包括权限、文件类型、索引节点、链接数、链接名、用户、组、文件大小、块计数、修改时间、添加时间、创建时间、acl、SELinux安全上下文、xattrs，以及md5/sha校验值在内的各种特征。AIDE通过扫描一台（未被篡改）的Linux服务器的文件系统来构建文件属性数据库，以后将服务器文件属性与数据库中的进行校对，然后在服务器运行时对被修改的索引了的文件发出警告。出于这个原因，AIDE必须在系统更新后或其配置文件进行合法修改后重新对受保护的文件做索引。对于某些客户，他们可能会根据他们的安全策略在他们的服务器上强制安装某种入侵检测系统。但是，不管客户是否要求，系统管理员都应该部署一个入侵检测系统，这通常是一个很好的做法。在 CentOS或RHEL 上安装AIDEAIDE的初始安装（同时是首次运行）最好是在系统刚安装完后，并且没有任何服务暴露在互联网甚至局域网时。在这个早期阶段，我们可以将来自外部的一切闯入和破坏风险降到最低限度。事实上，这也是确保系统在AIDE构建其初始数据库时保持干净的唯一途径。（LCTT 译注：当然，如果你的安装源本身就存在安全隐患，则无法建立可信的数据记录）出于上面的原因，在安装完系统后，我们可以执行下面的命令安装AIDE： # yum install aide 我们需要将我们的机器从网络断开，并实施下面所述的一些基本配置任务。配置AIDE默认配置文件是/etc/aide.conf，该文件介绍了几个示例保护规则（如FIPSR，NORMAL，DIR，DATAONLY），各个规则后面跟着一个等号以及要检查的文件属性列表，或者某些预定义的规则（由+分隔）。你也可以使用此种格式自定义规则。FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256 NORMAL = FIPSR+sha512 例如，上面的例子说明，NORMAL规则将检查下列属性的不一致性：权限（p）、索引节点（i）、链接数（n）、用户（u）、组（g）、大小（s）、修改时间（m）、创建时间（c）、ACL（acl）、SELinux（selinux）、xattrs（xattr）、SHA256/SHA512校验和（sha256和sha512）。定义的规则可灵活地用于不同的目录和文件（用正则表达式表示）。条目之前的感叹号（！）告诉AIDE忽略子目录（或目录中的文件），对于这些可以另外定义规则。在上面的例子中，PERMS是用于/etc机器子目录和文件的默认规则。然而，对于/etc中的备份文件（如/etc/.*~）则不应用任何规则，也没有规则用于/etc/mtab文件。对于/etc中的其它一些选定的子目录或文件，使用NORMAL规则替代默认规则PERMS。定义并应用正确的规则到系统中正确的位置，是使用AIDE最难的一部分，但作一个好的判断是一个良好的开始。作为首要的一条规则，不要检查不必要的属性。例如，检查/var/log或/var/spool里头的文件的修改时间将导致大量误报，因为许多的应用程序和守护进程经常会写入内容到该位置，而这些内容都没有问题。此外，检查多个校验值可能会加强安全性，但随之而来的是AIDE的运行时间的增加。可选的，如果你使用MAILTO变量指定电子邮件地址，就可以将检查结果发送到你的邮箱。将下面这一行放到/etc/aide.conf中的任何位置即可。MAILTO=root@localhost 首次运行AIDE运行以下命令来初始化AIDE数据库： # aide --init 根据/etc/aide.conf生成的/var/lib/aide/aide.db.new.gz文件需要被重命名为/var/lib/aide/aide.db.gz，以便AIDE能读取它： # mv /var/lib/aide/aide.db.new.gz /var/lib/aide.db.gz 现在，是时候来将我们的系统与数据库进行第一次校对了。任务很简单，只需运行： # aide 在没有选项时，AIDE假定使用了--check选项。如果在数据库创建后没有对系统做过任何修改，AIDE将会以OK信息来结束本次校对。生产环境中管理AIDE在构建了一个初始AIDE数据库后，作为不断进行的系统管理活动，你常常需要因为某些合法的理由更新受保护的服务器。每次服务器更新后，你必须重新构建AIDE数据库，以更新数据库内容。要完成该任务，请执行以下命令： # a…