未加星标

快速安装可视化IDS系统Security Onion

字体大小 | |
[系统(linux) 所属分类 系统(linux) | 发布者 店小二05 | 时间 2016 | 作者 红领巾 ] 0人收藏点击收藏
背景:

网上有不少关于snort+barnyard2+base搭建IDS的文章,可是当你花费数天时间,还是无法完全安装完成时,及时当你安装完成发现不是你想要的平台式,时间成本如何计算?

为了节约时间,本节为大家介绍的软件叫安全洋葱Security Onion(本文中简称:SO),它和OSSIM一样,是基于Debian linux的系统,内部集成了很多开源安全工具例如: OSSEC、NIDS、HIDS以及各种监控工具等等,可以让你在一支烟的功夫完成整个系统建设,下面我们就一起体会一下它如何进行安装和深层防御的吧。


快速安装可视化IDS系统Security Onion

为了了解这套系统,首先得教小白如何快速安装这套可用的IDS系统。先要准备实验用的ISO安装文件(下载地址: https://sourceforge.net/projects/security-onion/ )。接着进行如下操作:

1.将SO安装到硬盘 (该步不能省略)

环境:

虚拟机软件: Vmware workstation 12

分配内存:4G

分配网卡: 1块

分配磁盘空间: 30G

从SO的iso文件引导系统,选择live,然后等待启动到桌面环境,单击安装图标根据提示进行系统安装。安装完成重启系统。

然后在root权限下使用以下命令

apt-getupdate&&sudoapt-getdist-upgrade(更新安装的软件)。 rule-update

刚装完系统,会进入系统会启动XFCE桌面。


快速安装可视化IDS系统Security Onion

图1

点击Setup,提示输入密码。


快速安装可视化IDS系统Security Onion

输入当前用户的登录口令,你会看到Security Onion Setup的欢迎界面,单击Yes,Continue!按钮。


快速安装可视化IDS系统Security Onion

接下来,配置网络接口。


快速安装可视化IDS系统Security Onion

在这个环节系统会自动优化你的网卡,包括禁用一些有可能干扰监听的一些功能。更多信息查看,如果此时,选择No,not right now,那么就会手动配置你的管理和监听接口。一般我们还是选择Yes,configure /etc/network/interfaces。

2.选择管理接口

通常,系统会默认的将第一块网卡设定为管理接口,如果只有一块网卡,那么管理接口和监听接口合二为一。


快速安装可视化IDS系统Security Onion

单击OK按钮后,通常需要给网卡指定静态IP地址。除非你在DHCP中配置了静态映射,才选择DHCP自动获取。


快速安装可视化IDS系统Security Onion

指定IP


快速安装可视化IDS系统Security Onion

点击OK,然后指定掩码。


快速安装可视化IDS系统Security Onion

点击OK,然后设定网关。


快速安装可视化IDS系统Security Onion

点击OK后设定DNS。


快速安装可视化IDS系统Security Onion

点击OK后,在弹出设定本地域名的对话框,我们输入本地域名test.com。


快速安装可视化IDS系统Security Onion

点击OK后系统给出管理接口的网络配置清单。


快速安装可视化IDS系统Security Onion

核对无误后点击Yes,make changest按钮,这时系统提示重新启动。点击Yes,reboot!


快速安装可视化IDS系统Security Onion

注意:手动修改网络配置,你可以打开/etc/network/interfaces文件编辑iface eth0 inet static的配置。

编辑完成后重启网络服务。

$sudo /etc/init.d/networking restart

如果你是初学者,最好按系统提示重启服务器。

3.组件安装

当重启系统完成之后,我们再进入系统XFCE桌面环境。按图1中选择setup,弹出图2和图3。

选择Yes,Continue按钮后弹出。


快速安装可视化IDS系统Security Onion

我们选择Yes,skip network configuration,建议初学者选择快速配置。


快速安装可视化IDS系统Security Onion

点击OK,继续。由于SO是使用电子邮件地址作为独立认证机制,下面输入你常用电子邮箱,将被Snorby用于生成报警日志。


快速安装可视化IDS系统Security Onion

点击OK按钮后,下面需要提供NSM(Network Security Monitoring)组件中Sguil模块的用户名,SO会在其他几款NSM工具中使用它。请务必记住。


快速安装可视化IDS系统Security Onion

实例中设定的用户名为cgweb。

注:命名规则只能是字母的组合。

输入OK后,下面要选择一个字符数字的口令以供让SO安装的NSM软件认证使用。稍后可以通过Sguil和Snorby更改口令。


快速安装可视化IDS系统Security Onion

点击OK后, 确认口令。


快速安装可视化IDS系统Security Onion

当再次确认口令,点击OK按钮后,也就是SO NSM应用程序创建完了凭证,配置脚本会问你,是否想安装企业日志搜索和归档ELSA。


快速安装可视化IDS系统Security Onion

你需要选择Yes,enable ELSA,ELSA为NSM日志数据提供了一个搜索引擎接口。

此时,SO会提示用户,准备做好变更,看你是否同意。


快速安装可视化IDS系统Security Onion

我们选择继续改变。SO要配置系统的时区,可以使用UTC,然后安装与其打包在一起的所有NSM应用程序。


快速安装可视化IDS系统Security Onion

接下来系统会自动设置,当设置完成后,你可以在/var/log/nsm/sosetup.log文件看到安装状态报告。


快速安装可视化IDS系统Security Onion

当设置到ELSA设置环节可能会对花点时间,大家需要耐心等待,最后设置完成,不必重启系统,可使用sostat检查服务运行状态。


快速安装可视化IDS系统Security Onion
快速安装可视化IDS系统Security Onion

点击OK,后弹出注意涉及IDS规则管理的内容。


快速安装可视化IDS系统Security Onion

有问题可以访问下图的站点


快速安装可视化IDS系统Security Onion
4.检查安装状态

当单机系统完成安装,应该采取了解安装状态,首先打开终端,运行下面命令,查看NSM代理是否在线。


快速安装可视化IDS系统Security Onion

如果你发现有组件没有启动成功,可以尝试sudo service nsm restart命令重启。

在排除故障时,你还需要验证传感器连接到服务器的autossh隧道是否正常。

注意:一个IP只能同时连接一台SO服务器。

5.Web浏览器访问

检查通过后,你可以在浏览器上输入刚分配的IP地址,https://192.168.91.228/,会打开如下SO的欢迎界面。

首次用浏览器登陆会遇到HTTPS证书不可信的提示,因为它没有签名。


快速安装可视化IDS系统Security Onion

当你点击信任就不会再提示了。


快速安装可视化IDS系统Security Onion

你可以通过这个界面来访问Snorby NSM应用程序,单击Snorby连接,弹出如下界面。


快速安装可视化IDS系统Security Onion

界面会显示你的SO IP地址以及端口444。Snorby会提示你输入刚才的电子邮件地址,及口令。单击Welcome,Singn In按钮登录系统。这时根据你传感器部署位置不同以及网络活跃程度不同,在控制面板上看到不同的流量信息。


快速安装可视化IDS系统Security Onion
快速安装可视化IDS系统Security Onion

报警测试:

你在虚拟机环境下,如果不会渗透测试,哪儿来的攻击数据包,系统怎么会报警,下面用tcpreplay来向网络回放一些攻击包的例子(这些内容是无害的)。

#sudo tcpreplay -ieth0 -M10 /opt/samples/markofu/*.pcap

报警如下图所示。


快速安装可视化IDS系统Security Onion

如对屏幕下方出现的两个特定警报感兴趣,那么可点击条目查看到详情。有比较,才知孰优孰劣,具体分析会在《开源安全运维平台OSSIM最佳实践》一书中讲解。

6.查看服务器状态

系统脚本/usr/sbin/nsm可以调研nsm_server、nsm_sensor底层脚本传递的选项,进而可以检查服务器的状态,输入以下命令


快速安装可视化IDS系统Security Onion

那么除了status以外还有其他进程控制命令,例如start,stop以及restart

$sudo /usr/sbin/nsm_sensor --status 查看ossec_agent(sguil)状态

清除传感器数据


快速安装可视化IDS系统Security Onion

我们先查看sensor名字,然后清除

$sudo /usr/sbin/nsm_sensor_clear --sensor-name=cgweb-virtual-machine-eth0


快速安装可视化IDS系统Security Onion
7.删除数据的脚本

如果你想一次删除所有数据,很简单调用高级脚本/usr/sbin/nsm_all_del即可,它首先会提示用户确认。


快速安装可视化IDS系统Security Onion
还有一个快速删除命令:/usr/sbin/nsm_all_del_quick,它相当危险,因为在删除时不会给出任何提示信息。

本文系统(linux)相关术语:linux系统 鸟哥的linux私房菜 linux命令大全 linux操作系统

分页:12
转载请注明
本文标题:快速安装可视化IDS系统Security Onion
本站链接:http://www.codesec.net/view/481087.html
分享请点击:


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 系统(linux) | 评论(0) | 阅读(46)