Version de cette publication: 26 Juin 2015

Transcription

1 Version de cette publication: 26 Juin 2015 [Ebook écrit par Marc ARNAERT ] Page 1

2 EBOOK Collection: Appliance de Sécurité Virtuelle Gratuite Comment réaliser vous-même : Un serveur Snort / NIDS sous Linux Debian 8+ Auteur de cet Ebook : Marc ARNAERT Contact: ou bien marc@arnaert.com Résumé : Ce document va vous permettre de mettre en place une solution de détection d intrusion en installant une sonde IDS Snort sur un serveur Debian. Ainsi il sera possible d être alerté sur des tentatives d intrusions réseau et de prendre les mesures de blocages adéquates. Le document est réalisé en utilisant un logiciel de virtualisation Vmware mais vous pouvez utiliser une autre solution de virtualisation [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 2

3 Table des matières 1 INTRODUCTION PRESENTATION : PREREQUIS : MATERIEL & LOGICIELS : DUREE NECESSAIRE : PREPARATION DE LA MACHINE VIRTUELLE PREPARATION PARAMETRAGE INITIAL : DECLARATION D UNE IP FIXE : INSTALLATION DE MYSQL PREPARATION DE LA DB INSTALLATION DE APACHE ET PHP INSTALLATION DE SNORT INSTALLATION DU PROGRAMME CONFIGURATION MYSQL POUR SNORT EXECUTION EN MODE VISUALISATION RECONFIGURATION EN MODE MYSQL EXECUTION EN MODE CAPTURE INSTALLATION DE BASE INSTALLATION DU PAQUET ADODB AJOUT DES PACKAGES BASE CONFIGURATION DU FICHIER BASE CONFIGURATION EN MODE NAVIGATEUR CONSOLE BASE POUR SNORT LANCEMENT DE BASE TESTS DE SNORT CONCLUSION ANNEXES REPONSES - INSTALLATION DE SNORT [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 3

4 1 Introduction 1.1 Présentation : On va installer proprement un serveur de détection d intrusion IDS : Snort sur une base DEBIAN Nous allons utiliser une solution de virtualisation afin de monter un serveur Snort et une détection d intrusion IDS qui sera propre et que nous allons pouvoir ensuite utiliser en production. Notre virtualisation s oriente vers Vmware mais vous pouvez utiliser d autres solutions existantes (Xen, Virtual Pc ) 1.2 Prérequis : - Avoir des bases de connaissances sur les réseaux, les résolutions de noms - Avoir des connaissances de bases de Linux, sur l éditeur vi - Facultatif : Savoir utiliser le logiciel de virtualisation VmWare Player ou équivalent 1.3 Matériel & Logiciels : - Avoir une machine windows avec un lecteur de DVD, 8go de mémoire (4Go possible) - La machine doit avoir un accès à Internet. - Avoir les fichiers.iso de la distribution de Debian (Au moins le 1 er fichier.iso) Avoir le package Vmware pour pouvoir l installer (Le player est gratuit). - Avoir une copie virtuelle Vmware d une base DEBIAN 8 ou ultérieur [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 4

5 1.4 Durée nécessaire : Durée approximative pour mener à bien cette procédure : Suivant la rapidité de connexion à Internet : 1 heure 30 [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 5

6 2 Préparation de la machine virtuelle 2.1 Préparation Copier votre template debian 8+(fichier vmdk et vmx) Renommez-les : snort.xxx dans un dossier snort Importez sous Vmware player cette copie de base de serveur Debian 8+ (Open a VM) 2.2 Paramétrage initial : Avant de démarrer votre virtuelle, assignez 1Go de ram et 2 processeurs [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 6

7 Renommez votre virtuelle : snort : Démarrez votre machine et pointez vers le bon vmx : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 7

8 Répondez que vous l avez copié : Cliquez sur Remind Me Later : ouvrez votre session par défaut. Ouvrez une fenêtre terminal, passez en root et relevez votre configuration ip : Ifconfig -a Qa1 : Quelle est l adressage ip et le nom réseau de votre machine? Réaliser une capture d écran à joindre au compte rendu [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 8

9 2.3 Déclaration d une IP Fixe : Editez le réseau (donc les fichiers de configuration) et adaptez-le au votre Voici un exemple de configuration pour : /etc/network/interfaces contient la configuration réseau des cartes : auto lo iface lo inet loopback auto eth0 iface eth0 inet static address netmask gateway /etc/hosts contient le FQDN (ici la machine s appelle snort) : localhost snort.labs.intra snort /etc/resolv.conf contient les adresses ip des Dns : search labs.intra nameserver nameserver nameserver nameserver /etc/hostname (contient le nom de votre serveur (ici snort) : snort Pour redémarrer le réseau vous pouvez utiliser ces commandes : ifconfig lo up Service networking restart Qa2: Quelle est l adresse IP, le nom et les dns que vous placez en fixe? Allez remplir l annexe avec les informations demandées [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 9

10 2.4 Installation de mysql On commence par installer mysql-server, qui doit être présent avant l installation du logiciel. # apt-get install mysql-server mysql-common libmysqlclient-dev mysql-client Entrez le mot de passe (Pour notre serveur, nous choisirons : MysqlPassword ) [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 10

11 Qa3 : Quel est le mot de passe root choisi pour MySql? Allez remplir l annexe avec les informations demandées Vérifier la bonne installation de version avec la commande mysql -V. Qa4 : Quel est la version de MySql que vous avez installé? Réaliser une capture d écran à joindre au compte rendu [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 11

12 2.5 Préparation de la Db On commence par se connecter en administrateur du serveur MySQL : mysql -u root -p Dans MySQL, on crée la base snort, l utilisateur snort et on lui donne tous les droits sur cette base. On donne un mot de passe pour sécuriser l utilisateur snort puis on quitte : mysql> create database snort; mysql> grant all on snort.* to snort@localhost; mysql> set password for snort@localhost=password("snortpassword") ; mysql> flush privileges; mysql> exit Qa5 : Quel est le mot de passe pour Snort choisi? Allez remplir l annexe avec les informations obtenues [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 12

13 2.6 Installation de Apache et PHP On installe Apache2 par la commande suivante : apt-get install apache2 Ensuite on installe PHP par la commande suivante : apt-get install php5 php5-gd Editer et changez max_allowed_packet dans /etc/mysql/my.cnf vi /etc/mysql/my.cnf max_allowed_packet = 32M Creez /etc/apache2/conf.d/fqdn et ajouter dedans : ServerName snort vi /etc/apache2/conf.d/fqdn ServerName snort [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 13

14 3 Installation de Snort 3.1 Installation du programme Il faut rajouter le lien vers le dépôt car il a été supprimé en Debian 8 Editez le fichier /etc/apt/sources.list Rajouter à la fin la ligne suivante : deb wheezy main Faire une mise à jour des repositories par une commande apt-get update Installer le logiciel snort : apt-get install snort-mysql Finalisez l installation en adaptant les questions au paramétrage de votre machine : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 14

15 [Ebook écrit par Marc ARNAERT ] Page 15

16 3.2 Configuration mysql pour Snort On construit la structure de la base snort grâce au template de la source, cd /usr/share/doc/snort-mysql/ zcat create_mysql.gz mysql -u snort -p snort -h localhost Entrez le mot de passe pour la Db de Snort (Par défaut : SnortPassword) [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 16

17 3.3 Exécution en mode visualisation Lancez snort en affichage texte : snort -i eth0 -v Puis de votre Pc, lancez un Ping vers la virtuelle. Qa6 : Quel est le résultat affiché par snort lors du ping en mode visualisation? Réaliser une capture d écran à joindre au compte rendu Arrêtez Snort par un CTRL puis C Ouvez la console Mysql et afficher les tables de snort : mysql -u snort -p snort Entrez le mot de passe (Par défaut : SnortPassword) show tables ; Qa7 : Combien de tables sont présentes pour snort? Réaliser une capture d écran à joindre au compte rendu On peut vérifier si des évènements sont enregistrés par la commande : select count(*) from event ; exit Qa8 : Combien avez-vous d entrées dans la table event pour le premier ping? Réaliser une capture d écran à joindre au compte rendu [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 17

18 Editez le fichier snort.conf par la commande suivante : vi /etc/snort/snort.conf Ajoutez la ligne en début du fichier : output unified2: filename merged.log, limit 128 Comme ceci : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 18

19 3.4 Reconfiguration en mode mysql Relancez la reconfiguration par la commande suivante : dpkg-reconfigure snort-mysql [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 19

20 [Ebook écrit par Marc ARNAERT ] Page 20

21 [Ebook écrit par Marc ARNAERT ] Page 21

22 [Ebook écrit par Marc ARNAERT ] Page 22

23 3.5 Exécution en mode capture On peut alors exécuter snort en mode capture snort -c /etc/snort/snort.conf De votre Pc, lancez un Ping test la virtuelle. Que se passe-t-il? Qa9 : Quel est le résultat affiché par snort lors du ping en mode capture? Allez remplir l annexe avec les informations obtenues Arrêtez Snort par un CTRL puis C mysql -u snort -p snort Entrez le mot de passe (Par défaut : SnortPassword) Select count(*) from event ; quit Qa10 : Combien avez-vous d entrées pour la table event? Réaliser une capture d écran à joindre au compte rendu Enfin, éditez /etc/rc.local : vi /etc/rc.local rajoutez AVANT EXIT 0 la ligne suivante : /usr/local/bin/snort -D -c /etc/snort/snort.conf [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 23

24 4 Installation de BASE 4.1 Installation du paquet ADODB Lancez la commande suivante : apt-get install libphp-adodb Le chemin d installation par défaut de adodb est : /usr/share/php/adodb : Validez le Ok lors de l installation Editer le fichier : /etc/php5/apache2/php.ini vi /etc/php5/apache2/php.ini Rechercher Common Values (Page 21) : Dé commenter : E_ALL &-E_NOTICE comme ci-dessous (enlever le ; en début de ligne) Ajouter dans le paragraphe «Dynamic Extensions» (page 42) : extension=mysql.so extension=gd.so [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 24

25 4.2 Ajout des packages BASE Créer le répertoire ids cd /var/www/html mkdir ids cd ids Télécharger dans /var/www/html/ids les packets suivants acidbase_1.4.5.orig.tar.gz 1Mo jpgraph tar.gz 10.5Mo Ils se trouvent soient sur Soit sur : Les décompresser : tar -xvzf acidbase_1.4.5.orig.tar.gz tar -xvzf jpgraph tar.gz chmod 777 base-1.4.5/ [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 25

26 4.3 Configuration du fichier base Editez le fichier de configuration : vi /var/www/html/ids/base-1.4.5/includes/base_action.inc.php Effacez les 2 lignes en début de fichier : include_once("mail.php"); // r.rioux added for PEAR::Mail include_once("mail/mime.php"); //r.rioux added for PEAR::Mail attachments comme ci-dessous : Redémarrer Apache2 par la commande : service apache2 restart [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 26

27 4.4 Configuration en mode navigateur Ouvrez un navigateur sur Cliquez sur le répertoire : base-1.4.5, vous ne devez pas avoir d erreur Cliquez sur continue : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 27

28 Renseigner la langue et le chemin : /usr/share/php/adodb/ Complétez : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 28

29 Renseigner un login (admin) et un mot de passe (admin) puis un nom : Cliquez sur : Create BASE AG: Et voilà, il ne reste plus qu à cliquer sur step 5 en bas : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 29

30 5 Console Base pour Snort 5.1 Lancement de BASE Redémarrez la machine Ouvrez un navigateur sur voilà la console : Qa11: Quel est le résultat affiché dans Nombre Total d Alertes de BASE? Réaliser une capture d écran à joindre au compte rendu [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 30

31 5.2 Tests de snort 20 faire un «ping t ipvirtuelle» de votre machine windows vers la virtuelle Revenir dans snort et rafraichir l écran dans le navigateur Réaliser une capture d écran à joindre au compte rendu Commentez 21 - faire un «net view \\ipvirtuelle» de votre machine windows vers la virtuelle Revenir dans snort et rafraichir l écran dans le navigateur Réaliser une capture d écran à joindre au compte rendu Commentez 22 - Installer ipscan24.exe et lancer un scan de votre virtuelle Revenir dans snort et rafraichir l écran dans le navigateur Réaliser une capture d écran à joindre au compte rendu Commentez 23-Proposer de faire un test provoquant un traffic TCP Réalisez votre test Revenir dans snort et rafraichir l écran dans le navigateur Réaliser une capture d écran à joindre au compte rendu Commentez 6 Conclusion Nous possédons maintenant une machine avec Snort opérationnel, la prochaine opération serait d intégrer snort à un SIEM genre Prelude [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 31

32 7 Annexes 7.1 Réponses - Installation de SNORT Votre Nom & Prénom : La date et l heure de début : Qa1 : Quelle est l adressage ip et le nom réseau de votre machine? Qa2: Quelle est l adresse IP, le nom et les dns que vous placez en fixe? Qa3 : Quel est le mot de passe root choisi pour MySql? Qa4 : Quel est la version de MySql que vous avez installé? Qa5 : Quel est le mot de passe pour Snort choisi? Qa6 : Quel est le résultat affiché par snort lors du ping en mode visualisation? Qa7 : Combien de tables sont présentes pour snort? Qa8 : Combien avez-vous d entrées dans la table event pour le premier ping? Qa9 : Quel est le résultat affiché par snort lors du ping en mode capture? Qa10 : Combien avez-vous d entrées pour la table event? Qa11: Quel est le résultat affiché dans Nombre Total d Alertes de BASE? Qa20: Capture d écran snort du ping vers la virtuelle Qa21: Capture d écran snort du Netview Qa22: Capture d écran snort du ipscan24 Qa23: Capture d écran snort pour du traffic TCP L heure de fin de ce TP : [Ebook écrit par Marc ARNAERT marc@arnaert.com ] Page 32