Snort. Snorby 2.2.1 un front-end para análisis y gestión de alertas para Snort. Insta-Snorby 0.6

Ya vimos, sobre Snorby, como instalarlo a través de Snorby Virtual Appliance y una breve explicación de su funcionamiento, configuración y resolución de problemas.

En estra ocasión vamos a instalar el Appliance correspondiente a la versión Snorby 2.2.1 a través de Insta-Snorby 0.6. Esta versión es mucho más estable, flexible, avanzada y se corrigen diversos bugs de versiones anteriores. Además, prácticamente no necesita configuración. Con los datos aportados en su instalación es suficiente, independientemente de la configuración de snort.conf.

Instalación con Insta-Snorby 0.6

Una vez descargada la appliance y desde VMware Player, por ejemplo, cargamos la .iso. Antes modificamos la configuración de hardware según nuestras necesidades (en mi caso Bridget).

Descargamos la .iso desde aquí:

• http://www.snorby.org/Insta-Snorby-0.6.0.iso

Snorby en su instalación nos hará una serie de preguntas relativas a passwords de root, password mysql y configuración de red. Tambíen datos sobre Oink Code, y otros relativos a Snort.

En la primera pantalla :

antes del Install to hard disk, elegimos el Keymap con F3.

Los siguiente pasos importantes serán:

• Configuración de área geográfica y zona horaria
• Introducción de nuestro Oink Code.
• Habilitar Pulled Pork (hablaremos de ello en otro artículo) para la actualización de reglas snort o snort rules.
• Configuración de Red. Que puede ser con IP dinámica o estática (en mi caso la última).
• reiniciamos y si todo está bien debe aparecer las formas de conexión y acceso a la interface Snorby Dashboard:

Configuración de Snorby.

Modificación del usuario por defecto.

En la interface introducimos el usuario y password por defecto que son snorby@snorby.org / snorby. Pero como buena práctica lo cambiaremos en:

• Setting sobre todo el password:

Aún así, podemos crear otros usuarios sin el rol de administrador. si pulsamos el botón rojo rectangular Administration, tenemos un menú a la derecha: Administrator Menu:

• General Setting (el lugar donde nosencontramos al pulsar Administration)
• Classifications IDs de clsassificación de eventos
• Sensors Lista de sensores
• Severities Clasificación por rango de importancia de eventos. Se puede editar.
• Users gestión de usuario
• Worked & Job Queue trabajos programados.. (lo veremos más adelante).

Usando Snorby.

Aquí no me detendré mucho.  Es tan intuitivo y facil que tan solo tendréis que trastear un poco para ver todo lo que puede ofrecer este front-end para alertas Snort.

Una vez instalado,a los 30 minutos ya podremos ver en Dashborad los datos de los eventos, estádisticas , etc:

Acabo de realizar un scan nmap a algunos puertos, el puerto SSH. Si vamos a Eventos y elegimos uno de ellos:

Ya os digo que es muy intutitivo, así que a trastear…

Exportar reportes a PDF.

En Dasboard tenemos, a la derecha More Options. Se desplegará una serie de opciones… entre ellas:

• Export to PDF.

Exportará a pdf y en varias páginas un reporte de sensores, estádisticas, gráficas, IPs destino y origen de alertas, etc  correspondientes al día en curso.

Algunas notas y sobre resolución de problemas con Snorby.

Es posible que la interface que seleccione Snorby sea lo y no eth0 / eth1, lo podemos arreglar editando el archivo 88snortstart que se encuentra en:

• /usr/lib/inithooks/everyboot.d/88snortstart

y sustituiremos lo por lo que proceda, en micaso eth0.

También tendríamos que modificar la interface en:

• /etc/snort/barnyard2.conf

Y reboot.

Cuando invoquemos la URL de la interface Snorby / Dashbord, veremos que ya tenemos nuestra interface, en mi caso, eth0.

Snorby captura los paquetes pero actualiza cada cierto tiempo. En el Dashboard veréis una línea: Last Updated con fecha y hora de última actualización.

El Dashboard se actualiza cada 30 minutos sin posibilidad de ser configurado. Esto es así para un correcto almacenaje en caché. Podemos comprobar que los datos se están guardando en la base de datos MySQL de una forma muy simple, por ejemplo:

1. # mysql -u root -p
2. show databases;
3. use snorby;
4. show tables;
5. select * from event;

Algunos enlaces relacionados en Seguridad y Redes:

• Oinkmaster. Actualizando las reglas Snort.

• IDS Policy Manager v3. Configuración sensores snort remotos. Actualización desde v2.2.

• IDS Policy Manager. Configuración sensores snort remotos.

• Snort. Formato, tipos e interpretación de las alertas. Actualización.

• PostgreSQL 8.4. Creando base de datos para Snort. Volcando alertas a través de ODBC.

• Snort. Enviado log a base datos mysql.

• Snortalog. Analizando los logs de Snort.

• Snort Logging mode. Modos de alerta.

• Enviando alertas a un syslog remoto con snort.

Otros de Artículos sobre Snort:

• https://seguridadyredes.wordpress.com/cat/snort

==============================

Y hasta aquí por hoy. Hasta la próxima.