Snort 환경 구축

목차

• winpcap
• snort
• xampp
• AdoDB
• base
• Notepad++
• snort.conf
• snort DB 연동 설정
• PING 테스트

 

Winpcap

 

 

• Winpcap: 자신의 컴퓨터 NIC로 흘러 들어오는 패킷들을 확인할 수 있는 윈도우 전용 패킷 분석 프로그램
  • 어플리케이션 계층에서 NIC 직접 접근이 가능하도록 해줌
  • 해당 프로그램이 있어야 Snort에서 패킷을 읽어들일 수 있음

 

Snort

Snort_2_9_2_3_Installer.exe

3.50MB

 

 

• Snort 2.9.2.3 ver 설치
• 3 버젼은 리눅스 전용이며, 윈도우에서는 2.9.20이 최신 버젼이기는 하지만, 안정적이지 않으며, 오류가 많음
• 그보다 구버젼인 2.9.2.3은 안정적이며 나아가 자체적으로 스키마 파일을 제공해주는 가장 마지막 버젼이기도함.

 

 

• 설치하는데 딱히 다른 설정 건드리지 않고, Next 눌러 진행

 

Xampp

 

 

• 크로스 플랫폼 웹 서버 자유 소프트웨어 패키지
• Apache Web Server, MySQL, PHP를 사용할 수 있는 프로그램을 단기간에 빠르게 설치 가능하게함.
• Snort 로그 파일이 2진수 형태로 저장되기에 분석하는데 힘듦으로 Snort를 DB와 연동시켜 좀 더 쉽게 분석하기 위함

 

 

 

 

 

Service Section 아래 3가지 체크항목 무조건 체크

 

adodb5

 

 

 

• php 데이터베이스 클래스 라이브러리
• PHP DB 관리하는데 유용한 라이브러리

 

 

 

압축해제 한 뒤, xampp/htdocs 폴더안에 넣기

Base 1.4.5

 

 

• Snort 시스템 탐지 로그를 분석하는데 웹 프로트 엔드를 제공해주는 파일

 

 

 

확장자가 gz이므로 7.zip 프로그램으로 압축 해제

 

 

 

 

확장자가 tar이므로 WInRAR 프로그램으로 압축해제

 

 

 

• 압축해제한 base 프로그램을 해당 경로에 복사 붙여넣기하면 끝
• 그러면 base 프로그램이 adodb5 라이브러리를 이용하여 snort db에 접근한 뒤, 저장된 탐지로그를 불러와서 웹 프론트엔드상에 집계를 해줌

 

Notepad++

 

• Notepad++가 있어야 snort.conf 수정이라든가 snort.rule 생성등을 할 수가 있음
• 메모장으로 열면 해당 파일이 깨짐

 

Snort.conf 수정

 

ipvar -> var

 

portvar -> var

 

 

• snort 설정 파일이 애초에 리눅스에 맞게 설정되어 있어서 윈도우에 맞게 설정해줘야함

 

실제 경로로 수정

 

 

so_rules가 없으니 따로 생성

 

 

 

경로 및 폴더와 파일 이름도 실제에 맞게 수정

 

 

 

snort_dynamicrules 폴더도 없었으니 따로 생성

 

 

 

윈도우 Snort는 따로 IPS를 제공하지 않으므로 265~269 주석처리

 

 

 

 

 

경로에 맞게 해당 파일들도 생성

 

 

snort 프로그램이 DB 연결을 할 수 있도록한 설정

 

 

 

 

rule 파일 가져오기

 

경로에 맞는 룰 파일도 생성

 

 

 

• icmp 프로토콜 패킷 올 시 탐지할 수 있도록 설정
• => 나중에 PING 테스트시 사용할 예정

 

Snort DB 연동 설정

 

 

• XAMPP 설치 후 MYSQL 초기 비번이 설정되어 있지 않기에 화면에 보이는 명령어를 통해 비번 설정을 해야함.
• 특수문자 입력시 snort.conf 파일 검증시 에러가 뜨니 주의

 

Snort안에 있는 스키마 파일을 복사해서

 

 

 

해당 경로에 붙여넣기

 

 

 

 

• 저렇게 붙여넣기를 해주어야 snort DB 생성후 해당 DB 안에 create_mysql 스키마가 적용됨

 

 

• Report 부분을 Mail로 보내주는 소스코드인데 해당 파일이 없어서 오류가 뜨기에 주석처리

 

크롬 켜서 해당 경로 접속

 

 

 

DB 연결

 

 

 

 

 

Ping 테스트

 

• snort.exe가 있는 폴더에 들어가서
• 네트워크 인터페이스 현황 확인한 뒤,
• 마지막 명령어를 통해 T 옵션으로 Snort.conf 검증 테스트 하기

 

 

• -t 옵션을 -c 옵션으로 바꿔서 명령어를 입력하면, 실시간으로 snort 가동시켜 패킷 탐지하기
• 이때, test.rule 파일을 통해 ICMP 패킷을 탐지하도록함.

 

 

• Victim 이라는 가상컴퓨터 따로 생성
• Victim에서 Server로 PING 보내기

 

 

 

• 위 경로에 접속시, ICMP가 집게 된 것을 확인 출발지: Victim 가상 PC 목적지: Snort 환경 구성한 서버 PC