平行地球: 2012

29.12.12

ubuntu12.04 + snort_inline 2.8.6.1 輕量型IPS "補完"

Snort_inline只支援到2.8.X.X版本
版本2.8.5以上可支援ipv6 "--enable-ipv6"

敬告:因2.8.X.X版本過舊搭配新的規則檔2931時有一些規則必須新增或微調，目前暫時先讓它能動起來測試

Snort_inline架構

19.12.12

飛瑞 UPS C-1000 供電切換問題

''無電學基礎者有風險 , 請自行斟酌''

飛瑞的UPS城堡系列 , 真的是超耐用的
直到換了幾次電池後 , 突然供電切換異常 , 然後旁邊的散熱孔 , 冒火花出來...@@
超扯 , 好加在即時停機 , 不然會燒起來...

16.12.12

Ubuntu1204 + mrtg-mysql-load 用MRTG來觀看Mysql負載

須先安裝apache2 php5 mysql-server snmp snmpd mrtg
記得port 3306要開

cd /usr/local/bin //切換到usr/local/bin資料夾
wget http://www.bitbybit.dk/mysql/mrtg-mysql-load/mrtg-mysql-load-1.02.tar.gz //下載
tar zxvf mrtg-mysql-load-1.02.tar.gz //解壓縮
//檔案在原目錄不會產生新目錄

SNMPv1 SNMPv2 SNMPv3

本文的MRTG是用來觀察localhost的流量
SNMPv3設定看這

apt-get install snmp snmpd //安裝snmp , snmpd元件
vi /etc/snmp/snmpd.conf //編輯snmpd.conf設定檔

#rocommunity public localhost //找到這行
rocommunity public default -v //預設值
rocommunity public localhost //rocommunity 訪問權限
//public 帳號
//localhost 監控點IP 本機可用localhost ro 127.0.0.1取代

9.12.12

ubuntu12.04+Snort+Snortsensor 主從端設置

在收集Snort Log的主機 Mysql資料庫裡新增Snortsensor主機的帳號
mysql -u root -p //以root登入mysql
use snort; //進入snort資料庫裡
grant insert, select, update on snort.* to snortsensor01@192.168.10.11 identified by "1234";

4.12.12

如果用Open source 來取代Cisco IPS 4200 系列

Cisco IPS 4200 特點

佈署參考圖

詳細規格

價錢

如果要用Open source IDS/IPS 來取代的話，來看一下佈署圖

3.12.12

Snort主機佈署在區網內的方式

入侵檢測系統（Intrusion-detection system「IDS」）是一種對網路傳輸進行即時監視，在發現可疑傳輸時發出警報的網路安全設備。IDS最早出現在1980年4月。該年，James P. Anderson為美國空軍做了一份題為《Computer Security Threat Monitoring and Surveillance》的技術報告，在其中他提出了IDS的概念。1980年代中期，IDS逐漸發展成為入侵檢測專家系統（IDES）。1990年，IDS分化為基於網路的N-IDS和基於主機的H-IDS。後又出現分布式D-IDS。詳情請參考維基 http://zh.wikipedia.org/wiki/入侵检测系统

如果你只是想在區網內建立一台Snort主機做監測
可參考，這兩篇文章建立

Ubutu12.04+Snort 2.9.2+mysql (一)

Ubutu12.04+Snort 2.9.2+mysql (二)

然後找一台有支援port mirroring的 Switch 或 Router，把所有有接線的Port 鏡像到所指定的Port上，連接Snort主機做分析或將Linux主機，架成路由器或安裝bridge套件，成為橋接器，將Snort佈署在上面偵測

21.11.12

Raspberry Pi 開機文 (初始化)

先把基本周邊的接腳接上

20.11.12

遇到鳥事了，"Raspberry Pi" SD卡不相容問題，被我遇到了

得知有Raspberry Pi這東西，美金$25的小電腦，趕緊拿來玩看看
可搭載Linux與Android系統

三星的晶片，CPU與GPU整合的架構

維基有詳細介紹

http://zh.wikipedia.org/wiki/Raspberry_Pi

官網

www.raspberrypi.org

系統下載網址

http://www.raspberrypi.org/downloads

9.11.12

Snort-Web介面 SnortReport

系統要先有LAMP "Linux + Apache + MySQL + PHP"架構，加上Snort
在Ubuntu12.04下，安裝套件
apt-get install apache2 php5

安裝Jpgraph
wget http://hem.bredband.net/jpgraph/jpgraph-1.27.1.tar.gz //下載
mkdir /var/www/jpgraph //建立目錄
tar zxvf jpgraph-1.27.1.tar.gz //解壓縮
cp -r jpgraph-1.27.1/src /var/www/jpgraph/ //複製

安裝SnortReport
wget http://fossies.org/unix/privat/snortreport-1.3.3.tar.gz //下載
tar zxvf snortreport-1.3.3.tar.gz -c /var/www/ //解壓縮
vi /var/www/snortreport-1.3.3/srconf.php //編輯設定檔

4.11.12

snort 2.9.2+guardian-1.7"實現輕量化的IPS架構"

guardian能及時讀取snort的alert檔，並通知IPtables防火牆寫入規則，阻擋攻擊這種架構不需安裝mysql

30.10.12

Ubutu12.04+Snort 2.9.2+mysql (二)

執行apt-get install mysql-server 安裝mysql
前一章，有提到要安裝snort-mysql這一個套件，不然等等就沒有create_mysql.gz可匯資料表
安裝mysql的過程中，會要你輸入資料庫root的密碼
安裝好mysql後，以root登入
mysql -u root -p //以root登入mysql
mysql> create database snort; //建立snort資料庫
mysql> use snort; //進入snort資料庫
mysql> grant all on snort.* to snortuser@localhost; //建立使用者("snortuser")
mysql> set password for snortuser@localhost=password('****'); //建立snortuser的密碼("****")
mysql>exit //登出

Ubutu12.04+Snort 2.9.2+mysql (一)

在Ubutu 上可用apt-get指令安裝Snort，Snort版本是2.9.2
一般使用上有兩種套件
1. apt-get install snort //單純只有Snort
2. apt-get install snort-mysql //Snort加MYSQL

注意
1. 這兩套差別在於Snort-mysql這一套件內有create_mysql.gz，這是Snort在MYSQL的資料表，需匯入資料庫。
2. 將Alert存入MYSQL資料庫的路徑，已不是寫在Snort的設定檔Snort.conf裡面而是改寫在database.conf裡面。
3. 執行apt-get install snort-mysql安裝時，在安裝MYSQL時，請選擇"否"，另外安裝MYSQL資料庫 apt-get install mysql-server，有時這樣安裝起來後，在要設定資料庫時，會找不到資料庫。

一般都是用root執行，可以輸入sudo su切換為root腳色，命令前可省略再打sudo