Knoppix-STD で Snort + ACID
若干ハマったので(´д｀;
えー、まずは使った環境をば。
- ThinkPad R50p ハードウェアまわりフルノーマル。WinXPProSP1フルパッチ
- VMWare4.5.1（バージョン上げ面倒で）
- Knoppix-STD-0.1.iso on VMWare、NAT でぶらさげ
- Vine Linux 3.1（四日前にオフィシャルからダウソ＆インスコ） on VMWare、NAT でぶらさげ
- OpenOffice.org、Telnet Server および NMap を apt-get でインスコ
リモートから Vine にログインしてもらって Knoppix にポートスキャンしたりしてもらって、アラートが上がる様子を ACID で見てもらおうという趣向。
ところがうまく動かなくてハマった。
まず、最初に試した手順は、KInoppix-STD のメニューから Snort を初期化して、そのまま Snort/MySQL/Apache/ACID の起動。
ところが当初はアラートを拾わない。Snort のログには落ちているっぽいけど。
で、いちど Snort まわりを止めて再起動。そしたら前のぶんも含めてグラフ表示。しかもなんだかちゃんとリアルタイムにアラート拾って更新してる。
なーんでだーーー(´д｀;
とはいえ TCP/IP 関連しかアラートでてない。nmap から UDP Scan かけても反映してない。
うーん。なぞ。
とりあえず再起動すりゃよさげ、ってんで次の手順。
- まず、KnoppixSTDを立ち上げ
- メニューから「IDS」→「IDS Shell」を起動
- コマンドプロンプトから以下の手順でコマンド入力
acid-stop する前にちょっと時間をおいたほうがいいかも。急ぎすぎるとフリーズした。たぶん、acid-start のスクリプトの中で何か起動順序かオプションか間違ってるんだろう。
面倒なのでちゃんと調べてなかった。いっぺん再起動したら動くし。
ということでなんとかリアルタイムにアラートを反映表示させることができた。ただし相変わらず TCP/IP のパケットしか反映しない。
ところが、これも意外な形で解決。待て次号！
