Phenquestions
Setelah menyiapkan server apa pun di antara langkah-langkah biasa pertama yang terkait dengan keamanan adalah firewall, pembaruan dan peningkatan, kunci ssh, perangkat keras. Tetapi kebanyakan sysadmin tidak memindai server mereka sendiri untuk menemukan titik lemah seperti yang dijelaskan dengan OpenVas atau Nessus, mereka juga tidak mengatur honeypots atau Intrusion Detection System (IDS) yang dijelaskan di bawah ini.
Ada beberapa IDS di pasaran dan yang terbaik gratis, Snort adalah yang paling populer, saya hanya tahu Snort dan OSSEC dan saya lebih suka OSSEC daripada Snort karena memakan lebih sedikit sumber daya tetapi saya pikir Snort masih yang universal. Opsi tambahannya adalah: Suricata , Bro IDS, Security Onion.
Penelitian paling resmi tentang efektivitas IDS sudah cukup lama, dari tahun 1998, tahun yang sama di mana Snort awalnya dikembangkan, dan dilakukan oleh DARPA, menyimpulkan sistem seperti itu tidak berguna sebelum serangan modern. Setelah 2 dekade, TI berkembang pada perkembangan geometris, keamanan juga dan semuanya hampir mutakhir, mengadopsi IDS sangat membantu untuk setiap sysadmin.
Snort IDS
Snort IDS bekerja dalam 3 mode berbeda, sebagai sniffer, sebagai pencatat paket dan sistem deteksi intrusi jaringan. Yang terakhir adalah yang paling serbaguna yang menjadi fokus artikel ini.
Menginstal Snort
apt-get install libpcap-dev bison flexKemudian kita jalankan:
apt-get install snortDalam kasus saya perangkat lunak sudah diinstal, tetapi tidak secara default, begitulah yang diinstal pada Kali (Debian).
Memulai dengan mode sniffer Snort
Mode sniffer membaca lalu lintas jaringan dan menampilkan terjemahan untuk pemirsa manusia.
Untuk mengujinya ketik:
Opsi ini tidak boleh digunakan secara normal, menampilkan lalu lintas membutuhkan terlalu banyak sumber daya, dan hanya diterapkan untuk menampilkan keluaran perintah.
Di terminal kita dapat melihat header lalu lintas yang terdeteksi oleh Snort antara pc, router, dan internet. Snort juga melaporkan kurangnya kebijakan untuk bereaksi terhadap lalu lintas yang terdeteksi.
Jika kita ingin Snort menampilkan data juga ketik:
Untuk menampilkan header layer 2 jalankan:
# mendengus -v -d -eSama seperti parameter "v", "e" juga merupakan pemborosan sumber daya, penggunaannya harus dihindari untuk produksi.
Memulai dengan mode Packet Logger Snort
Untuk menyimpan laporan Snort, kita perlu menentukan ke Snort sebuah direktori log, jika kita ingin Snort hanya menampilkan header dan mencatat lalu lintas pada jenis disk:
#mkdir snortlogs# snort -d -l snortlogs
Log akan disimpan di dalam direktori snortlogs.
Jika Anda ingin membaca jenis file log:
# snort -d -v -r nama file log.catatan.xxxxxx
Memulai dengan mode Network Intrusion Detection System (NIDS) Snort
Dengan perintah berikut Snort membaca aturan yang ditentukan dalam file /etc/snort/snort.conf untuk memfilter lalu lintas dengan benar, menghindari membaca seluruh lalu lintas dan berfokus pada insiden tertentu
dirujuk dalam dengusan.conf melalui aturan yang dapat disesuaikan.
Parameter “-A console” menginstruksikan snort untuk mengingatkan di terminal.
# snort -d -l snortlog -h 10.0.0.0/24 -Konsol -c mendengus.konf
Terima kasih telah membaca teks pengantar penggunaan Snort ini.
