IDS/Prelude - Historique des versions

Didier : /* Introduction */

2012-10-01T10:59:43Z

Introduction

← Version précédente		Version du 1 octobre 2012 à 10:59
Ligne 10 :		Ligne 10 :
	Prérequis :		Prérequis :

	# CentOS fresh install.		* CentOS fresh install.
	# Dépôt yum b2pweb.		* Dépôt yum b2pweb.

	= Installation du système de détection d'intrusion =		= Installation du système de détection d'intrusion =

Didier : /* Installation de suricata */

2012-10-01T10:58:49Z

Installation de suricata

← Version précédente		Version du 1 octobre 2012 à 10:58
Ligne 210 :		Ligne 210 :
	SURICATA_UID=`cat /etc/passwd \| grep "^suricata" \| awk -F ':' '{print $3}'` ; SURICATA_GID=`cat /etc/group \| grep "^suricata" \| awk -F ':' '{print $3}'` ; echo "suricata: uid=${SURICATA_UID}, gid=${SURICATA_GID}"		SURICATA_UID=`cat /etc/passwd \| grep "^suricata" \| awk -F ':' '{print $3}'` ; SURICATA_GID=`cat /etc/group \| grep "^suricata" \| awk -F ':' '{print $3}'` ; echo "suricata: uid=${SURICATA_UID}, gid=${SURICATA_GID}"

	deux shells en parallèle		Ouverture de '''deux''' shells en parallèle

	<nowiki># prelude-admin registration-server prelude-manager</nowiki>		<nowiki># prelude-admin registration-server prelude-manager</nowiki>

Didier : /* Installation de snort */

2012-10-01T10:58:33Z

Installation de snort

← Version précédente		Version du 1 octobre 2012 à 10:58
Ligne 166 :		Ligne 166 :
	SNORT_UID=`cat /etc/passwd \| grep "^snort" \| awk -F ':' '{print $3}'` ; SNORT_GID=`cat /etc/group \| grep "^snort" \| awk -F ':' '{print $3}'` ; echo "snort: uid=${SNORT_UID}, gid=${SNORT_GID}"		SNORT_UID=`cat /etc/passwd \| grep "^snort" \| awk -F ':' '{print $3}'` ; SNORT_GID=`cat /etc/group \| grep "^snort" \| awk -F ':' '{print $3}'` ; echo "snort: uid=${SNORT_UID}, gid=${SNORT_GID}"

	deux shells en parallèle		Ouverture de '''deux''' shells en parallèle

	<nowiki># prelude-admin registration-server prelude-manager</nowiki>		<nowiki># prelude-admin registration-server prelude-manager</nowiki>

Didier : /* Installation ossec */

2012-10-01T10:58:12Z

Installation ossec

← Version précédente		Version du 1 octobre 2012 à 10:58
Ligne 78 :		Ligne 78 :
	enregistrement d'ossec comme sonde prelude		enregistrement d'ossec comme sonde prelude

	deux shells en parallèle		Ouverture de '''deux''' shells en parallèle

	<nowiki># prelude-admin registration-server prelude-manager</nowiki>		<nowiki># prelude-admin registration-server prelude-manager</nowiki>

Didier : /* Suricata / snort */

2012-10-01T10:57:31Z

Suricata / snort

← Version précédente		Version du 1 octobre 2012 à 10:57
Ligne 472 :		Ligne 472 :
	La sonde ne détecte rien du tout :		La sonde ne détecte rien du tout :

	affecter une adresse IP ( non attribuée de préférence )		affecter une adresse IP ( non attribuée dans le plan IP de préférence {{Admon/smiley\|;)}})

	ifconfig eth1 inet 192.168.0.131 netmask 255.255.255.0 -promisc		ifconfig eth1 inet 192.168.0.131 netmask 255.255.255.0 -promisc

Didier : /* Installation de suricata */

2012-10-01T10:56:03Z

Installation de suricata

← Version précédente		Version du 1 octobre 2012 à 10:56
Ligne 212 :		Ligne 212 :
	deux shells en parallèle		deux shells en parallèle

	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin registration-server prelude-manager</nowiki>		<nowiki># prelude-admin registration-server prelude-manager</nowiki>
	The "105g5ukk" password will be requested by "prelude-admin register"		The "105g5ukk" password will be requested by "prelude-admin register"
	in order to connect. Please remove the quotes before using it.		in order to connect. Please remove the quotes before using it.
Ligne 224 :		Ligne 224 :
	<nowiki>Approve registration? [y/n]: y</nowiki>		<nowiki>Approve registration? [y/n]: y</nowiki>
	::ffff:127.0.0.1:44183 successfully registered.		::ffff:127.0.0.1:44183 successfully registered.
	~~<nowiki>[root@vmdidier1 ~]#</nowiki>~~

			<nowiki># prelude-admin register suricata "idmef:w admin:r" 127.0.0.1 --uid 105 --gid 105</nowiki>
	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin register suricata "idmef:w admin:r" 127.0.0.1 --uid 105 --gid 105</nowiki>
	Generating 1024 bits RSA private key... This might take a very long time.		Generating 1024 bits RSA private key... This might take a very long time.
	<nowiki>[Increasing system activity will speed-up the process].</nowiki>		<nowiki>[Increasing system activity will speed-up the process].</nowiki>
Ligne 240 :		Ligne 238 :
	Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.		Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.
	Successful registration to 127.0.0.1:5553.		Successful registration to 127.0.0.1:5553.

	~~<nowiki>[root@vmdidier1 ~]#</nowiki>~~

	=== Création d'un script de démarrage et d'un fichier sysconfig ===		=== Création d'un script de démarrage et d'un fichier sysconfig ===

Didier : /* Installation de snort */

2012-10-01T10:55:33Z

Installation de snort

Didier : /* Installation de la suite prelude */

2012-10-01T10:54:08Z

Installation de la suite prelude

← Version précédente		Version du 1 octobre 2012 à 10:54
Ligne 36 :		Ligne 36 :
	prelude-admin add "prelude-manager" --uid 0 --gid 0		prelude-admin add "prelude-manager" --uid 0 --gid 0
	/etc/init.d/prelude-manager start		/etc/init.d/prelude-manager start
			{{Admon/important\|Enregistrement des sondes\|L'enregistrement nécessite l'ouverture de deux shells en parallèle:
			* un shell pour fournir un mot de passe '''one-shot''' à la connexion avec le prelude-manager
			* un autre pour enregistrer la sonde}}

	== Installation de prewikka ==		== Installation de prewikka ==

Didier : /* Installation ossec */

2012-10-01T10:48:56Z

Installation ossec

← Version précédente		Version du 1 octobre 2012 à 10:48
Ligne 89 :		Ligne 89 :
	<nowiki>Approve registration? [y/n]: y</nowiki>		<nowiki>Approve registration? [y/n]: y</nowiki>
	::ffff:127.0.0.1:34094 successfully registered.		::ffff:127.0.0.1:34094 successfully registered.
	~~<nowiki>#</nowiki>~~

	<nowiki># prelude-admin register ossec "idmef:w admin:r" 127.0.0.1 --uid 0 --gid 0</nowiki>		<nowiki># prelude-admin register ossec "idmef:w admin:r" 127.0.0.1 --uid 0 --gid 0</nowiki>

	You now need to start "prelude-admin" registration-server on 127.0.0.1:		You now need to start "prelude-admin" registration-server on 127.0.0.1:
	example: "prelude-admin registration-server prelude-manager"		example: "prelude-admin registration-server prelude-manager"
Ligne 101 :		Ligne 100 :
	Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.		Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.
	Successful registration to 127.0.0.1:5553.		Successful registration to 127.0.0.1:5553.

	~~<nowiki>#</nowiki>~~

	~~<nowiki>~~On modifie la configuration d'ossec, dans le fichier /var/ossec/etc/ossec.conf, rajouter à <global></nowiki>		On modifie la configuration d'ossec, dans le fichier <path>/var/ossec/etc/ossec.conf</path>, rajouter à la balise <nowiki><global></nowiki>

	<nowiki><global></nowiki>		<nowiki><global></nowiki>

Didier : /* Installation ossec */

2012-10-01T10:47:48Z

Installation ossec

← Version précédente		Version du 1 octobre 2012 à 10:47
Ligne 76 :		Ligne 76 :

	deux shells en parallèle		deux shells en parallèle
	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin registration-server prelude-manager</nowiki>
			<nowiki># prelude-admin registration-server prelude-manager</nowiki>
	The "app4yb0m" password will be requested by "prelude-admin register"		The "app4yb0m" password will be requested by "prelude-admin register"
	in order to connect. Please remove the quotes before using it.		in order to connect. Please remove the quotes before using it.
Ligne 88 :		Ligne 89 :
	<nowiki>Approve registration? [y/n]: y</nowiki>		<nowiki>Approve registration? [y/n]: y</nowiki>
	::ffff:127.0.0.1:34094 successfully registered.		::ffff:127.0.0.1:34094 successfully registered.
	<nowiki>~~[root@vmdidier1 ~]~~#</nowiki>		<nowiki>#</nowiki>

	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin register ossec "idmef:w admin:r" 127.0.0.1 --uid 0 --gid 0</nowiki>		<nowiki># prelude-admin register ossec "idmef:w admin:r" 127.0.0.1 --uid 0 --gid 0</nowiki>

	You now need to start "prelude-admin" registration-server on 127.0.0.1:		You now need to start "prelude-admin" registration-server on 127.0.0.1:
Ligne 101 :		Ligne 102 :
	Successful registration to 127.0.0.1:5553.		Successful registration to 127.0.0.1:5553.

	<nowiki>~~[root@vmdidier1 ~]~~#</nowiki>		<nowiki>#</nowiki>

	<nowiki>On modifie la configuration d'ossec, dans le fichier /var/ossec/etc/ossec.conf, rajouter à <global></nowiki>		<nowiki>On modifie la configuration d'ossec, dans le fichier /var/ossec/etc/ossec.conf, rajouter à <global></nowiki>

← Version précédente		Version du 1 octobre 2012 à 10:55
Ligne 168 :		Ligne 168 :
	deux shells en parallèle		deux shells en parallèle

	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin registration-server prelude-manager</nowiki>		<nowiki># prelude-admin registration-server prelude-manager</nowiki>
	The "105g5ukk" password will be requested by "prelude-admin register"		The "105g5ukk" password will be requested by "prelude-admin register"
	in order to connect. Please remove the quotes before using it.		in order to connect. Please remove the quotes before using it.
Ligne 180 :		Ligne 180 :
	<nowiki>Approve registration? [y/n]: y</nowiki>		<nowiki>Approve registration? [y/n]: y</nowiki>
	::ffff:127.0.0.1:44183 successfully registered.		::ffff:127.0.0.1:44183 successfully registered.
	~~<nowiki>[root@vmdidier1 ~]# </nowiki>~~


	<nowiki>~~[root@vmdidier1 ~]~~# prelude-admin register snort "idmef:w admin:r" 127.0.0.1 --uid 500 --gid 500</nowiki>		<nowiki># prelude-admin register snort "idmef:w admin:r" 127.0.0.1 --uid 500 --gid 500</nowiki>
	Generating 1024 bits RSA private key... This might take a very long time.		Generating 1024 bits RSA private key... This might take a very long time.
	<nowiki>[Increasing system activity will speed-up the process].</nowiki>		<nowiki>[Increasing system activity will speed-up the process].</nowiki>
Ligne 196 :		Ligne 194 :
	Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.		Connecting to registration server (127.0.0.1:5553)... Authentication succeeded.
	Successful registration to 127.0.0.1:5553.		Successful registration to 127.0.0.1:5553.

	~~<nowiki>[root@vmdidier1 ~]#</nowiki>~~

	On Commente ALERTMODE dans /etc/sysconfig/snort ( sinon prelude ne reconnaît pas snort ) et on le démarre		On Commente ALERTMODE dans /etc/sysconfig/snort ( sinon prelude ne reconnaît pas snort ) et on le démarre

IDS/Prelude - Historique des versions

Didier : /* Introduction */

Didier : /* Installation de suricata */

Didier : /* Installation de snort */

Didier : /* Installation ossec */

Didier : /* Suricata / snort */

Didier : /* Installation de suricata */

Didier : /* Installation de snort */

Didier : /* Installation de la suite prelude */

Didier : /* Installation ossec */

Didier : /* Installation ossec */

Didier : /* Introduction */

Didier : /* Installation de suricata */

Didier : /* Installation de snort */

Didier : /* Installation ossec */

Didier : /* Suricata / snort */

Didier : /* Installation de suricata */

Didier : /* Installation de snort */

Didier : /* Installation de la suite prelude */

Didier : /* Installation ossec */

Didier : /* Installation ossec */