首页 | 安全文章 | 安全工具 | Exploits | 本站原创 | 关于我们 | 网站地图 | 安全论坛
  当前位置:主页>安全文章>文章资料>网络安全>文章内容
RedHat linux 9系统下构建小型入侵检测系统
来源:www.vfocus.net 作者:vfocus 发布时间:2005-09-16  

RedHat linux 9系统下构建小型入侵检测系统


一、系统平台
  
  Redhat9.0发行版, 安装gcc 及相关库文件,建议不要安装
  
  Apache,PHP,MySQL,我们将用源码编译安装。基于安全方面的
  
  考虑,可以设置一下iptables只允许SSH和WWW访问。
  
  二、软件
  
  MySQL4.0.12 http://mysql.secsup.org
  
  Snort2.0.0 http://www.snort.org
  
  Apache2.0.45 http://www.apache.org
  
  PHP4.3.1 http://www.php.net
  
  ADODBv3.30 http://phplens.com
  
  Acid0.9.6b23 http://acidlab.sourceforge.net
  
  Zlib1.1.4 http://flow.dl.sourceforge.net
  
  JPGraph1.11 http://jpgraph.techuk.com
  
  LibPcap0.7.2 http://www.tcpdump.org
  
  建议到这个站点下载http://ftp.cdut.edu.cn/pub/linux/NEW/
  
  也可以到http://www.rpmfind.com下载相关的xx.src.rpm编译安装。如若安装了rpm包,可以强行将其反安装
  
  rpm -e -nodeps xx.xx
  
  三、安装(建议将所有的包文件考到同一目录)
  
  1.安装zlib1.1.4
  
  tar -xzvf zlib-xx.tar.gz
  
  cd zlib-xx
  
  /configure;make test
  
  make install
  
  cd ..
  
  2.安装LibPcap0.7.2
  
  tar -xzvf libpcap.tar.gz
  
  cd libpcap-xx
  
  /configure
  
  make
  
  make install
  
  cd ..
  
  3.安装MySQL4.0.12
  
  3.1创建mysql组和mysql用户
  
  groupadd mysql
  
  useradd -g mysql mysql
  
  修改/root下的.bash_profile的这一行:
  
  PATH=?$PATH:?$HOME/bin 为
  
  PATH=?$PATH:?$HOME/bin:/usr/local/mysql/bin
  
  3.2安装mysql
  
  tar -xzvf mysql-xx.tar.gz
  
  cd mysql-xx
  
  /configure --prefix=/usr/local/mysql
  
  make
  
  make install
  
  cd scripts
  
  /mysql_install_db
  
  chown -R root /usr/local/mysql
  
  chown -R mysql /usr/local/mysql/var
  
  chgrp -R mysql /usr/local/mysql
  
  cd ./support-files/my-medium.cnf /etc/my.cnf
  
  向/etc/ld.so.conf中加入两行:/usr/local/mysql/lib/mysql
  
  /usr/local/lib
  
  载入库,执行
  
  ldconfig -v
  
  3.3测试mysql是否工作:
  
  cd /usr/local/mysql/bin/
  
  /mysqld_safe --user=mysql&
  
  #ps -ef |grep mysql
  
  看mysql_safe是否工作
  
  3.4设置mysql为自启动:
  
  将mysql安装目录下的support-files目录中的
  
  mysql.server文件拷到/etc/init.d目录
  
  cp mysql.server /etc/init.d/mysql
  
  chmod 755 /etc/init.d/mysql
  
  创建硬链接:
  
  cd /etc/rc3.d(文本方式启动)
  
  ln -s /etc/init.d/mysql S85mysql
  
  ln -s /etc/init.d/mysql K85mysql
  
  cd /etc/rc5.d (图形方式启动)
  
  ln -s /etc/init.d/mysql S85mysql
  
  ln -s /etc/init.d/mysql K85mysql
  
  4.安装Apache2.0.45和PHP4.3.1
  
  tar -zxvf httpd-2.0.xx.tar.gz
  
  cd httpd_2.xx.xx
  
  /configure --prefix=/www --enable-so
  
  注:apache根目录为 /www
  
  make
  
  make install
  
  cd ..
  
  tar -zxvf php-4.3.x.tar.gz
  
  cd php-4.3.x
  
  /configure --prefix=/www/php --with-apxs2=/www/bin/apxs --with-config- filepath=/www/php --enable-sockets --with-mysql=/usr/local/mysql --with-zlibdir=/
  
  usr/local --with- gd
  
  注意:这些为一行,中间不要有回车。
  
  cp php.ini-dist /www/php/php.ini
  
  编辑httpd.conf(/www/conf):
  
  加入两行
  
  LoadModule php4_module modules/libphp4.so
  
  AddType application/x-httpd-php .php
  
  httpd.conf中相关内容如下:
  
  #
  
  # LoadModule foo_module modules/mod_foo.so
  
  LoadModule php4_module modules/libphp4.so
  
  # AddType allows you to tweak mime.types without actually editing it, or ?$
  
  # make certain files to be certain types.
  
  #
  
  AddType application/x-tar .tgz
  
  AddType image/x- icon .ico
  
  AddType application/x-httpd-php .php
  
  设置Apache为自启动:
  
  cp /www/bin/apachectl /etc/init.d/httpd
  
  cd /etc/rc3.d
  
  ln -s /etc/init.d/httpd S85httpd
  
  ln -s /etc/init.d/httpd K85httpd
  
  cd /etc/rc5.d
  
  ln -s /etc/init.d/httpd S85httpd
  
  ln -s /etc/init.d/httpd K85httpd
  
  测试一下 PHP:
  
  cd /etc/init.d
  
  /httpd start
  
  在/www/htdocs下建立文件 test.php
  
  cd /www/htdocs
  
  vi test.php
  
  加入
  
  lt;?php
  
  hpinfo();
  
  ?>
  
  用浏览器访问http://IP_address/test.php,成功的话,出现一些
  
  系统,apache,php信息
  
  5.安装 Snort2.0
  
  5.1建立snort配置文件和日志目录
  
  mkdir /etc/snort
  
  mkdir /var/log/snort
  
  tar -zxvf snort-2.x.x.tar.gz
  
  cd snort-2.x.x
  
  /configure --with-mysql=/usr/local/mysql
  
  make
  
  make install
  
  5.2安装规则和配置文件
  
  cd rules (在snort安装目录下)
  
  cp * /etc/snort
  
  cd ./etc
  
  cp snort.conf /etc/snort
  
  cp *.config /etc/snort
  
  5.3修改snort.conf(/etc/snort/snort.conf)
  
  var HOME_NET 10.2.2.0/24 (修改为你的内部网网络地址,我的是
  
  192.168.0.0/24)
  
  var RULE_PATH ./rules 修改为 var RULE_PATH /etc/snort/
  
  改变记录日志数据库:
  
  output database: log, mysql, user=root password=your_password
  
  dbname=snort host=localhost
  
  5.4设置snort为自启动:
  
  在snort安装目录下
  
  cd /contrib
  
  cp S99snort /etc/init.d/snort
  
  vi /etc/init.d/snort
  
  修改snort如下:
  
  CONFIG=/etc/snort/snort.conf
  
  #SNORT_GID=nogroup (注释掉)
  
  #8194;$SNORT_PATH/snort -c ?$CONFIG -i ?$IFACE ?$OPTIONS
  
  (去掉原文件中的 -g ?$SNORT_GID )
  
  chmod 755 /etc/init.d/snort
  
  cd /etc/rc3.d
  
  ln -s /etc/init.d/snort S99snort
  
  ln -s /etc/init.d/snort K99snort
  
  cd /etc/rc5.d
  
  ln -s /etc/init.d/snort S99snort
  
  ln -s /etc/init.d/snort K99snort
  
  四.在mysql中建立数据库
  
  /usr/local/mysql/bin/mysql
  
  mysql>SET PASSWORD FOR root@localhost=PASSWORD('your_password');
  
  mysql>create database snort;
  
  mysql>grant INSERT,SELECT on root.* to snort@localhost;
  
  mysql>quit;
  
  进入snort安装目录:/usr/local/mysql/bin/mysql -p   
  gt;Enter password:
  
  安装DB表:(在contrib目录)
  
  zcat snortdb-extra.gz | /usr/local/mysql/bin/mysql -p snort
  
  进入mysql数据库,看看snort数据库中的表:
  
  /usr/local/mysql/bin/mysql -p
  
  gt;Enter password:
  
  mysql>show databases;
  
  +------------+
  
  | Database
  
  +------------+
  
  | mysql
  
  | snort
  
  | test
  
  +------------+
  
  3 rows in set (0.00 sec)
  
  mysql>use snort;
  
  mysql>show tables; 将会有这些:
  
  +------------------+
  
  | Tables_in_snort |
  
  +------------------+
  
  | data
  
  | detail
  
  | encoding
  
  | event
  
  | flags
  
  | icmphdr
  
  | iphdr
  
  | opt
  
  | protocols
  
  | reference
  
  | reference_system
  
  | schema
  
  | sensor
  
  | services
  
  | sig_class
  
  | sig_reference
  
  | signature
  
  | tcphdr
  
  | udphdr
  
  +------------------+
  
  19 rows in set (0.00 sec)
  
  mysql>exit
  
  五.安装配置Web接口
  
  安装JPGraph1.11
  
  cp jpgraph-1.11.tar.gz /www/htdocs
  
  cd /www/htdocs
  
  tar -xzvf jpgraph-1.xx.tar.gz
  
  rm -rf jpgrap-1.xx.tar.gz
  
  cd jpgraph-1.11
  
  rm -rf README
  
  rm -rf QPL.txt
  
  安装ADODB:
  
  cp adodb330.tgz /www/htdocs/
  
  cd /www/htdocs
  
  tar -xzvf adodb330.tgz
  
  rm -rf adodb330.tgz
  
  安装配置Acid:
  
  cp acid-0.0.6b23.tar.gz /www/htdocs
  
  cd /www/htdocs
  
  tar -xvzf acid-0.9.6b23.tar.gz
  
  rm -rf acid-0.9.6b23.tar.gz
  
  cd /www/htodcs/acid/
  
  编辑acid_conf.php,修改相关配置如下:
  
  #8194;$DBlib_path = "/www/htdocs/adodb";
  
  /* The type of underlying alert database
  
  *
  
  * MySQL : "mysql"
  
  * PostgresSQL : "postgres"
  
  * MS SQL Server : "mssql"
  
  */
  
  #8194;$DBtype = "mysql";
  
  /* Alert DB connection parameters
  
  * - ?$alert_dbname : MySQL database name of Snort alert DB
  
  * - ?$alert_host : host on which the DB is stored
  
  * - ?$alert_port : port on which to access the DB
  
  * - ?$alert_user : login to the database with this user
  
  * - ?$alert_password : password of the DB user
  
  *
  
  * This information can be gleaned from the Snort database
  
  * output plugin configuration.
  
  */
  
  #8194;$alert_dbname = "snort";
  
  #8194;$alert_host = "localhost";
  
  #8194;$alert_port = "";
  
  #8194;$alert_user = "root";
  
  #8194;$alert_password = "Your_Password";
  
  /* Archive DB connection parameters */
  
  #8194;$archive_dbname = "snort";
  
  #8194;$archive_host = "localhost";
  
  #8194;$archive_port = "";
  
  #8194;$archive_user = "root";
  
  #8194;$archive_password = "Your_Password ";
  
  And a little further down
  
  #8194;$ChartLib_path = "/www/htdocs/jpgraph-1.11/src";
  
  /* File format of charts ('png', 'jpeg', 'gif') */
  
  #8194;$chart_file_format = "png";
  
  进入web界面:
  
  http://yourhost/acid/acid_main.php
  
  点"Setup Page"链接 ->Create Acid AG
  
  访问http://yourhost/acid将会看到ACID界面。
  
  六.测试系统
  
  重启系统或者直接启动相关后台程序:
  
  /etc/init.d/mysql restart
  
  /etc/init.d/snort start
  
  /etc/init.d/httpd start
  
  利用nmap,nessus,CIS或者X-scan对系统进行扫描,
  
  产生告警纪录。
  
  http://yourhost/acid 察看纪录。
  
  至此,一个功能强大的IDS配置完毕。各位可以利用web界面
  
  远程登陆,监控主机所处局域网,同时安装phpMyAdmin对mysql
  
  数据库进行操控。




 
[推荐] [评论(0条)] [返回顶部] [打印本页] [关闭窗口]  
匿名评论
评论内容:(不能超过250字,需审核后才会公布,请自觉遵守互联网相关政策法规。
 §最新评论:
  热点文章
·一句话木马
·samcrypt.lib简介
·教你轻松查看QQ空间加密后的好友
·web sniffer 在线嗅探/online ht
·SPIKE与Peach Fuzzer相关知识
·asp,php,aspx一句话集合
·Cisco PIX525 配置备忘
·用Iptables+Fedora做ADSL 路由器
·检查 Web 应用安全的几款开源免
·Md5(base64)加密与解密实战
·NT下动态切换进程分析笔记
·风险评估中的渗透测试
  相关文章
·Snort 2.x数据区搜索规则选项的
·澄清对Web网站安全性的五个误解
·Bro NIDS的规则
·关于网络地址解析协议被攻击的解
·入侵防御系统IPS,苹果熟了吗
·SQL INJECTION的SQL SERVER安全
·简评中小企业网络安全市场
·反垃圾邮件技术解析
·安全成交换机的基本功能
·Detection of SQL Injection and
·谁更安全?黑客眼中的 防火墙与
·防护手册:如何防止ASP木马在服
  推荐广告
CopyRight © 2002-2022 VFocuS.Net All Rights Reserved