Frage zu Snort

Alles rund um sicherheitsrelevante Fragen und Probleme.
ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 08.03.2012 11:25:03

Da scheint was tierisch nicht zu stimmen in der SNORT Konfiguration

ERROR: /etc/snort/./rules/snort.rules(2610) Unknown rule option: 'pkt_data'.
Fatal Error, Quitting..

Das Standard-Verzeichnis der Regeln ist /etc/snort/rules, Du scheinst also die Regeln angepasst zu haben. Gibt es wirklich die Datei snort.rules in Deinem Rules-Pfad? Wenn ja, dann deaktiviere mal jede Regel in der Datei mit #, in welcher die Zeichenkette pkt_data vorkommt.

Wie hast Du das Update ausgeführt, über apt oder mit snort-Tools ?

Ansonsten hülft:
- alle per Hand modifizierten Dateien sichern
- apt-get purge snort*
- snort neu mit Standardoptionen installieren
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

dalari
Beiträge: 37
Registriert: 26.09.2011 08:55:06

Re: Frage zu Snort

Beitrag von dalari » 08.03.2012 12:25:10

Es gibt /etc/snort/rules/snort.rules. Ich nutze Pulledpork zum Updaten meiner Regeln und ich selbst verändere nichts an den Regeln selbst. ich habe das einmal versucht, dabei ist klar geworden das es zu viele Zeilen sind in denen pkt_data vorkommt um alle auszukommentieren, auserdem werden die Regeln automatisch geupdatet, also würden die auskommentierten Zeilen immer wieder neu unkommentiert. Vor dem Regelupdate funktionierte alles und ich habe mich nur nach der Anleitung auf der Homepage gerichtet. https://www.snort.org/assets/167/deb_snort_howto.pdf

Mir ist schon klar das in der konfiguration etwas falsch sein muss. Es muss irgenteine option Fehlen, ich weiß aber nicht welche.

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 08.03.2012 13:05:46

Siehe hier ...

http://blog.snort.org/2011/08/snort-291 ... point.html
Es ist eine korrekte Option, wie der Blog-Eintrag erläutert.

Ich habe jetzt zur Sicherheit meine Snort VM mal hochgefahren und nachgeschaut. Da ist ein 2.9.2-3 aus Sid drauf und alle Rules mit pkt_data Optionen sind aktiviert. Es funzt alles wunderbar. Hast Du auch mind. Snort 2.9.1 installiert ?

Ich mache Rules-Updates mit oinkmaster und eigenem Skript, vielleicht ist auch bei pulledpork irgend etwas schief gelaufen?
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

dalari
Beiträge: 37
Registriert: 26.09.2011 08:55:06

Re: Frage zu Snort

Beitrag von dalari » 08.03.2012 16:23:37

Ich komm da nciht drauf klar....ich weiß damit absolut nicht wo ich iwas hinschreiben muss.
Kann mir das einer erklären? wo muss ich da welche option hinschreiben?

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 08.03.2012 16:27:13

Welche SNORT Version hast Du Installiert ? (apt-cache policy snort)
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 08.03.2012 16:33:13

Du kannst ja mal in den Chat kommen ...
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

dalari
Beiträge: 37
Registriert: 26.09.2011 08:55:06

Re: Frage zu Snort

Beitrag von dalari » 09.03.2012 08:09:40

Ich habe 2.9.1.2 installiert wie in der Anleitung die ich weiter oben gepostet habe zu sehen ist.

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 09.03.2012 08:58:58

Na gut, da haben wir ja zwei nicht vergleichbare Installationen, denn ich benutze immer alles aus den Debian-Repos. Schade, dann kann ich Dir nicht weiterhelfen. Mit den Paketen aus Debian Sid funktioniert jedenfalls alles wie es soll insoweit ich ja Pulledpork nicht benutze.
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

dalari
Beiträge: 37
Registriert: 26.09.2011 08:55:06

Re: Frage zu Snort

Beitrag von dalari » 09.03.2012 09:27:29

also kann mir keiner helfen?

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 09.03.2012 11:51:09

Lösche Deine händische Konfiguration mit allen Parametern und Programmen, installiere es nochmal aus den Debian-Paketen und Du bekommst hier alles, was Du brauchst ... ;-)

Naja, großartiges Versprechen - ich weiß - aber es scheint ja sonst niemand eine vergleichbare Konfiguration zu haben. Oder Du frachst mal den Skript-Maker aus der PDF.
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

dalari
Beiträge: 37
Registriert: 26.09.2011 08:55:06

Re: Frage zu Snort

Beitrag von dalari » 12.03.2012 19:50:52

Ich habe jetzt das System überarbeitet und bei der neukonfiguration bei acidbase auf ein problem gestoßen.
Ich führe den Befehl

Code: Alles auswählen

zcat create_mysql.gz | mysql -u snort -D snort -p
aus und bekomme als rückgabe

Code: Alles auswählen

Unknown database 'snort'
übergoogle und im forum finde ich nichts kann mir da jemand helfen?

ralfi
Beiträge: 264
Registriert: 02.06.2011 11:16:11
Wohnort: Brandenburg

Re: Frage zu Snort

Beitrag von ralfi » 13.03.2012 09:33:39

Dann solltest Du schlicht mal die Datenbank snort anlegen, vermutlich isse nicht mehr da. Ich installiere für die Verwaltung des MySQL-Servers immer - bis alles läuft - phpmyadmin, so als fast vollständig ehemaliger WinKlickyFuzzy macht sich das schön mit der Verwaltung der Datenbanken im Browser. Ansonsten steht das natürlich auch in der Manpage vom mysql Client.

ACID habe ich früher auch mal benutzt. Ich erachte es aber für wesentlich effizienter, die Fehlermeldungen in ein Log zu schreiben und dieses mit logcheck auszuwerten. Es sei denn, Du setzt diese Snort-Instanz als NIDS Sensor mit riesigen Mengen von Snort-Meldungen ein, dann sollte man die Fehlermeldungen mit Banyard verwalten.
Viele Grüße, ralfi

Niveau sieht von unten oft wie Arroganz aus ...

Antworten

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 2 Gäste