Sistema de Detección de Intrusos

Sistema de Detección de Intrusos

Para configurar un sistema de detección de intrusos en Ubuntu, procedemos de la siguiente forma:

Primero procedemos a instalar MySql, mediante el siguiente comando:

# apt-get install mysql-server

Luégo de instalar MySql, procedemos a iniciarlo; para ello ejecutamos el siguiente comando:

# /etc/init.d/mysqld start

Y ahora para ingresar al entorno de MySql, ejecutamos el siguiente comando:

# mysql

Y continuamos a crear la base de datos de Snort, así:

mysql> CREATE DATABASE snort;

y le asignamos una contraseña para entrar al servidor MySQL, siendo root el usuario de la base de datos, así:

mysql> SET PASSWORD FOR root@localhost=PASSWORD('tu_contraseña_BBDD');

Y procedemos a salirnos de la consola de MySql, así

mysql> exit;

Ahora procedemos a crear el esquema de la base de datos de Snort, que serán las tablas que
se utilizará el Snort. Para ello necesitaremos el código fuente de Snort; así que nos situamos sobre el directorio /usr/src y procedemos a realizar la descarga de éste, mediante el siguiente comando:

# wget http://www.snort.org/dl/snort-2.8.3.1.tar.gz

Y ahora procedemos a extraer los archivos, mediante el siguiente comando:

# tar zxvf snort-2.8.3.1.tar.gz

Y ahora si procedemos a crear el esquema de la base de datos de Snort, mediante el siguiente comando:

# mysql -u root -p < /usr/src/snort-2.8.3.1/schemas/create_mysql snort y a continuación nos pedirá que ingresemos la contraseña que registramos a la base de datos. Ahora, para comprobar que hemos importado el esquema de la base de datos correctamente, ingresamos nuevamente a la consola de MySql y ejecutamos el siguiente comando para usar la base de datos "snort": mysql> use snort;

Y ahora procedemos a listar las tablas de la base de datos de snort, así:

mysql> show tables;

que nos dará como resultado...

Luego procedemos a instalar PHP (versión 5, en este caso), mediante el siguiente comando:

# apt-get install php5

Ahora, continuamos con la instalación de Snort; para ello ejecutamos el siguiente comando:

# apt-get install snort

Luego, procedemos a editar el archivo de configuración /etc/snort/snort.conf, así, mediante el editor gedit:

# gedit /etc/snort/snort.conf &

Y proseguimos a modificar la siguiente línea:

output database:log,mysql, user=snort password=[password] dbname=snort host=localhost

Ya teniendo configurado snort, se procede a iniciar el servicio, especificando la interface de red a controlar, así:

# snort -i etho -c /etc/snort/snort.conf

Ahora, continuamos con la instalaciòn de BASE (sistema de auditoría que proporciona una interface web en PHP para ver las alertas generadas por snort).

Primero nossituamos sobre el directorio sobre el cual vamos a hacer la descarga, asi:

# cd /var/www/

Luego procedemos a realizar la descarga, así:

# wget http://easynews.dl.sourceforge.net/sourceforge/secureideas/base-1.3.9.tar.gz

Ahora extraemos los archivos en este directorio, asi:

# tar zxvf base-1.3.9.tar.gz

ahora movemos los archivos de la carpeta base-1.3.9 a la carpeta base, así:

# mv base-1.3.9 base

Y ahora eliminamos los archivos de la descarga original, así:

# rm base-1.3.9.tar.gz // Borra los archivos de descarga

Ahora procedemos a copiar el archivo base_conf.php.dist bajo el nombre de base_conf.php (este archivo se encarga de la configuración del BASE), así:

# cp /var/www/base/base_conf.php.dist /var/www/base/base_conf.php

Ahora realizaremos la instalación de ADOBD (intermediario entre BASE y MySQL).

Primero nos situamos sobre el directorio en que vamos a hacer la descarga, asi:

# cd /var/www/base

Para descargamos el ADOBD, ejecutamos el siguiente comando:

# wget http://kent.dl.sourceforge.net/sourceforge/adodb\/adodb495a.tgz

Luego, extraemos los archivos en este directorio, asi:

# tar zxvf adodb495a.tgz

Ahora, borramos los archivos de la descarga, asi:

# rm adodb495a.tgz

Luego editamos estas líneas del archivo base_conf.php:

$Base_urlpath = '/base'
$Dblib_path = '/var/www/base/adodb/';
$alert_dbname = 'snort';
$alert_password = 'password de snort';

Luego, nos encargamos de instalar PEAR (framework diseñado para ser un conjunto de componentes visuales reutilizables en PHP), el cual se encarga de la parte visual (presentación) del BASE. Para ello, ejecutamos uno por uno los siguientes comandos:

# apt-get install php5-gd php-pear
# pear install Image_Color
# pear install Image_Canvas-alpha
# pear install Image_Graph-alpha

Para tomar los cambios realizados reiniciamos el servidor, ejecutando el comando:

# /etc/init.d/apache2 restart

Ahora, procedemos a ingresar a BASE; primero abrimos el explorador y tipeamos la dirección http://localhost/base y nos llevará a la siguiente página:

Luego, procedemos a dar clic sobre el link de “Setup page”, el cual nos llevara a otra página, en la que le damos clic en el botón “AG”, el cual, finalmente, nos llevará a una página en las que se nos indica que se ha terminado de crear la base de datos que snort utilizará para mostrar las alertas.

Ahora, siempre que ingresamos la URL http://localhost/base en el explorador, obtenendremos la interfaz principal del BASE, la cual nos permitirá visualizar las alertas generadas por el Snort de forma cómoda y muy organizada.