Snort

Questi sono appunti preliminari, sappiatelo

• Installo dai sorgenti perche` la versione debian e` vecchia muffa. Al momento la versione e` 2.6.0.2.
• Voglio la funzionalita` inline per fare IPS oltre che IDS

Installazione

• scaricare il sorgente di snort
• installare su Sarge i pacchetti delle librerie per poter compilare snort:

  • apt-get install libpcap-dev libpcre3-dev iptables-dev libnet0-dev

• Scaricare libdnet da qui: http://kent.dl.sourceforge.net/sourceforge/libdnet/libdnet-1.11.tar.gz

• Installare libdnet:

  • tar zvxf libdnet-1.11.tar.gz
    cd libdnet-1.11
    ./configure
    make
    make install

• Configurare e installare Snort:

  • cd snort-2.6.0.2
    
    ./configure --enable-inline --enable-flexresp2 --enable-react --with-libipq-libraries=/usr/lib/ --with-libipq-includes=/usr/include/libipq/ --with-libnet-includes=/usr/include/
    
    make
    make install

• Creare le directory e quant'altro serve:

  • mkdir /etc/snort
    mkdir /var/log/snort
    adduser --disabled-password snort
    chown snort. /var/log/snort

• Scaricare le regole e scompattarle dentro /etc/snort (si creano le loro subdirectory da sole)

• Copiare /usr/src/snort<versione>/etc/*.conf ed *.map in /etc/snort