Snort-Setup for Statistics HOWTO

     INTERFACE="ippp0"
    

     ONBOOT=yes
    

#!/bin/sh
#
# snortd         Start/Stop the snort IDS daemon.
#
# chkconfig: 2345 40 60
# 설명:  Snort 는 현재 1100 개 이상의 호스트 및 네트워크 취약성, 포트스캔, 백도어 등을 탐지하는
#               경량 네트워크 침입 탐지 시스템이다.
#
# June 10, 2000 -- Dave Wreski Dave Wreski <dave at linuxsecurity.com>
#   - 최초 버전
# July 08, 2000 Dave Wreski <<dave at guardiandigital.com>
#   - snort user/group 을 추가하였다
#   - 1.6.2 버전 지원
# April 11, 2001 Sandro Poppi <spoppi at gmx.de>
#   - 다이얼 업 라인 또는 한개 이상의 스니퍼 인터페이스 사용을 위해 다중 인터페이스 옵션을 추가하였다
#     저자는 "-i any" 를 사용하는 libpcap 옵션이 좋은 선택이라고 생각하지 않는다.
#     왜냐하면 snort 가 한개이상의 ip 가 없는 인터페이스들을 감시하도록 설정될 수 있기 때문이다.
#      그러나 모니터 인터페이스는 보호되지 않은 상태로 존재한다.
#   - 리부팅할때의 에러 메시지를 없애기 위해 하부시스템 이름을 snort 에서 snortd 로 변경하였다
#      (레드햇의 killall 스크립트는 정확한 이름에 의존한다)
#   - snort 의 다중 인스턴스를 실행시킬 수 있도록 /etc/rc.d/init.d/functions 내의 daemon 함수에서 파생된 
#      daemonMult 함수를 추가하였다
#      (결국 이는 레드햇의 daemon 함수내로 통합될 수 있는데 저자에게 연락해라)
# January 01, 2002 Sandro Poppi <spoppi at gmx.de>
#   - swatch 가 설치되어 있는지의 검사를 추가하였다
#   - 이더넷이외의 인테페이스들에 대한 검사를 추가하였다. 이들은 ifconfig 로 작동된다고 생각하기 때문이다.
#
# Source function library.
. /etc/rc.d/init.d/functions

# 프로그램을 한번 이상 시작하기 위한 함수
# /etc/rc.d/init.d/functions 내의 데몬 함수를 재작성한 것이다
daemonMult() {
        # 구문을 테스트한다.
        gotbase=
        user=
        nicelevel=0
        while [ "$1" != "${1##-}" -o "$1" != "${1##+}" ]; do
          case $1 in
            '')    echo '$0: Usage: daemon [+/-nicelevel] {program}'
                   return 1;;
            --check)
                   shift
                   base=$1
                   gotbase="yes"
                   shift
                   ;;
            --user)
                   shift
                   daemon_user=$1
                   shift
                   ;;
            -*|+*) nicelevel=$1
                   shift
                   ;;
             *)    nicelevel=0
                   ;;
          esac
        done

        # basename 을 저장한다.
        [ -z $gotbase ] && base=`basename $1`

        # 반드시 어느 곳에도 코어 덤프하지 않도록 해라; 이것이 데몬과 관련된
        # 문제를 저지하는 동시에 또한 약간의 보안 문제를 없앤다.
        ulimit -S -c 0 >/dev/null 2>&1

        # Echo daemon
        [ "$BOOTUP" = "verbose" ] && echo -n " $base"

        # 데몬을 구동시킨다.
        if [ -z "$daemon_user" ]; then
           nice -n $nicelevel initlog $INITLOG_ARGS -c "$*" && success "$base startup" || failure "$base startup"
        else
           nice -n $nicelevel initlog $INITLOG_ARGS -c "su $daemon_user -c \"$*\"" && success "$base startup" || failure "$base startup"
        fi
}

# 네트워크 인터페이스(들)를 지정해라
INTERFACE="eth1 eth2"

# See how we were called.
case "$1" in
start)
        if [ -x /usr/bin/swatch ] ; then
          echo -n "Starting swatch: "
          # swatch 를 사용하기 위해 저자가 써넣었다
          # snort 구동시의 에러에 대한 지시를 얻기 위해 snort 전에 이를 실행시킨다
          # snort 옵션 -s 를 사용한다면 /var/log/secure 를 사용해라
          # snort.conf 에서 alert_syslog: 출력 옵션을 사용한다면 /var/log/messages 를 사용해라
          /usr/bin/swatch --daemon --tail /var/log/messages --config-file /etc/swatch/swatchrc &
          touch /var/lock/subsys/swatch
          echo "done."
          echo
        fi

        # 다중 인터페이스 옵션을 추가하였다
        for i in `echo "$INTERFACE"` ; do
          echo -n "Starting snort on interface $i: "
          # 스크립트 구동시 snort 에 대해 ip 가 없는 스니퍼 인터페이스를 구현하기 위해 삽이하였다
          # 인터페이스가 아직 적재되지 않았거나 또는 구동되지 않았다면
          if [ `/sbin/ifconfig $i 2>&1 | /bin/grep -c "Device not found"` = "0" \
               -o `/sbin/ifconfig $i 2>&1 | /bin/grep -c "UP"` = "0" ] ; then

            # 이더넷외의 다른 인터페이스를 검사한다
            if [ `echo $i | /bin/grep -c "^eth"` = "1" ] ; then
              # 주어진 인터페이스에 대한 config 가 있는지를 검사한다
              # 보통 이는 스니퍼 인터페이스에 대해서는 보안상의 이유로 생략되어야 한다
              if [ -s "/etc/sysconfig/network-scripts/ifcfg-$i" ]; then
                # config 를 사용한다
                /sbin/ifup $i
              else
                # ip 가 없는 스니퍼 인터페이스
                /sbin/ifconfig $i up promisc
              fi
            fi
          fi
          # 위의 재작성된 데몬 함수를 실행시킨다
          daemonMult /usr/sbin/snort -u snort -g snort -d -D \
                 -i $i -I -l /var/log/snort -c /etc/snort/snort.conf
          echo
        done

        touch /var/lock/subsys/snortd

        ;;
  stop)
        echo -n "Stopping snort: "
        killproc snort
        rm -f /var/lock/subsys/snortd

        # 저자가 삽입하였다
        if [ -x /usr/bin/swatch ] ; then
          echo
          echo -n "Stopping swatch: "
          kill `ps x|grep "/usr/bin/swatch"|grep -v grep|awk '{ print $1 }'`
          rm -f /var/lock/subsys/swatch
        fi

        # 단지 ip 주소가 없다면 인터페이스를 셧다운시킨다
        # 이더넷 인터페이스라면 인터페이스를 셧다운시키길 원치 않기 때문에 다음을 실행시킨다
        for i in `echo "$INTERFACES"`; do
          if [`echo $i | /bin/grep -c "^eth"` = "1" -a \
              `/sbin/ifconfig $i 2>&1 | /bin/grep -c "inet addr:"` = "0" ] ; then
            /sbin/ifconfig $i down
          fi
        done
        echo
        ;;
  restart)
        $0 stop
        $0 start
        ;;
  status)
        status snort
        #status swatch
        ;;
  *)
        echo "Usage: $0 {start|stop|restart|status}"
        exit 1
esac
exit 0
    

#!/bin/sh

# 다수의 포맷으로 경보를 보내기 위해 swatch 내에서 실행되는 스크립트
# www.snort.org 에 있는 Bill Richardson 의 스크립트에 영감을 받았다
# 윈팝업을 보내는 워크 스테이션의 이름을 갖고 있는 "hosts" 파일을 읽어들이도록
# 확장되었다. 구문은 snortd 옵션 -M 과 같다.
# Poppi, 02.05.2001

# 선결조건:
# Samba 가 정확히 설치되어 있어야 한다.
# 각자 시스템에 맞게 다음 변수들을 변경시킨다 (레드햇 7.x 을 사용한다면 무방하다)

# hostfile 은 윈팝업을 위한 워크 스테이션을 포함하고 있는 파일명을 갖고 있다.
hostfile="/etc/snort/hosts"

# recipientfile 은 모든 recipient (수령자) 의 주소를 갖고 있다.
# 각 recipient 는 한줄에 하나이다.
recipientfile="/etc/snort/recipients"

# recipient 파일이 존재한다면
if [ -s "$recipientfile" ] ; then
  # 이메일 주소를 갖는 recipientlist 를 생성한다
  for i in `cat $recipientfile` ; do
    recipients="$recipients "$i
  done

  echo "$*" | mail -s "Snort-Alert!!!" "$recipients"
fi

# hostfile 존재한다면 윈팝업을 보낸다
if [ -s "$hostfile" ] ; then
  for i in `cat $hostfile` ; do
    echo "Snort-Alert! $*" | smbclient -M $i > /dev/null 2>&1
  done
fi
     

Sep 29 07:51:48 ids01 snort[8000]:   ===============================================================================
Sep 29 07:51:48 ids01 snort[8000]: Snort analyzed 27316 out of 27316 packets,
Sep 29 07:51:48 ids01 snort[8000]: dropping 0(0.000%) packets
Sep 29 07:51:48 ids01 snort[8000]: Breakdown by protocol:                Action Stats:
Sep 29 07:51:48 ids01 snort[8000]:     TCP: 27152      (99.400%)         ALERTS: 0
Sep 29 07:51:48 ids01 snort[8000]:     UDP: 0          (0.000%)          LOGGED: 0
Sep 29 07:51:48 ids01 snort[8000]:    ICMP: 164        (0.600%)          PASSED: 0
Sep 29 07:51:48 ids01 snort[8000]:     ARP: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]:    IPv6: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]:     IPX: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]:   OTHER: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]: DISCARD: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]: ===============================================================================
Sep 29 07:51:48 ids01 snort[8000]: Fragmentation Stats:
Sep 29 07:51:48 ids01 snort[8000]: Fragmented IP Packets: 0          (0.000%)
Sep 29 07:51:48 ids01 snort[8000]:     Fragment Trackers: 0
Sep 29 07:51:48 ids01 snort[8000]:    Rebuilt IP Packets: 0
Sep 29 07:51:48 ids01 snort[8000]:    Frag elements used: 0
Sep 29 07:51:48 ids01 snort[8000]: Discarded(incomplete): 0
Sep 29 07:51:48 ids01 snort[8000]:    Discarded(timeout): 0
Sep 29 07:51:48 ids01 snort[8000]:   Frag2 memory faults: 0
Sep 29 07:51:48 ids01 snort[8000]: ===============================================================================
Sep 29 07:51:48 ids01 snort[8000]: TCP Stream Reassembly Stats:
Sep 29 07:51:48 ids01 snort[8000]:         TCP Packets Used: 27152      (99.400%)
Sep 29 07:51:48 ids01 snort[8000]:          Stream Trackers: 1
Sep 29 07:51:48 ids01 snort[8000]:           Stream flushes: 0
Sep 29 07:51:48 ids01 snort[8000]:            Segments used: 0
Sep 29 07:51:48 ids01 snort[8000]:    Stream4 Memory Faults: 0
Sep 29 07:51:48 ids01 snort[8000]: ===============================================================================
     

#!/bin/bash
# syslog 또는 kill -USR1 <snort-pid> 실행 후 생성된 주어진 파일로부터
# 특별한 snort 통계 자료를 생성 및 추출하기 위한 스크립트
#
# 이 스크립트는 pid 가 로그파일에 기록됨을 가정한다.
# 이는 snort.conf 파일에 다음 라인을 사용하면 가능하다:
# output alert_syslog: LOG_AUTH LOG_ALERT LOG_PID
#
# (c) Sandro Poppi 2001
# Released under GPL

echo "Starting gathering snort internal statistics. Please be patient..."

if [ "$1." == "." -o ! -e "$1" ] ; then
  # 주어진 파일이 없거나 존재하지 않는 경우 다음 디폴트 파일을 사용한다
  log_file="/var/log/messages"

else
  # 로그파일의 위치가 표준적이지 않을때는 반드시 snort 가 이 로그 파일을 사용하도록 해라
  # 그렇지 않다면 USR1 시그널을 보낼때 이 스크립트는 작동하지 않을 것이다
  log_file="$1"
fi

# snort pid 를 알아낸다
snort_pid=`/sbin/pidof snort`

# 모든 snort 프로세스에 대해 내부 통계자료를 얻는다
# 이미 정렬된 출력을 얻기위해 killall 을 사용하지 않는다
for i in `echo $snort_pid` ; do
  kill -USR1 $i
  
  # snort 가 통계자료를 syslog 에 보내도록 2초동안 휴면한다
  sleep 2
done
  
# USR1 시그널을 보낸후 즉각적으로 snort 를 재시작한다
# 이는 2001년 1월 11일경 이후의 snort CVS 버전 또는 1.8.2 버전 이상의 모든 버전을
# 사용할 때 생략될 수도 있다.
/etc/rc.d/init.d/snortd restart

for i in `echo $snort_pid` ; do
  # process logfile

  filename=/var/log/snort/archive/snort.`date "+%Y-%m-%d"`.$i.log
    
  # 기존 파일을 검사하고 존재한다면 파일명을 변경한다
  if [ -e "$filename" ] ; then
    mv "$filename" "$filename.bak"
  fi
  
  egrep "snort\[$i\]:" $log_file > "$filename"
  
  # 다음 라인과 같은 라인들을 사용하여 버려지는 패킷이 있는지 조사한다
  # Oct 22 18:02:06 xbgh17183 snort[573]: dropping 0(0.000%) packets 
  if [ "`egrep "dropping" $filename | awk -F "[ (]" '{ print $7 }'`" != "0" -a \
       "`egrep -c "dropping" $filename`" != "0" ] ; then
    echo "Snort's dropping packets!!! Take a look on the configuration and/or the system's performance!!!"
  fi 
  
done

echo "Gathering snort internal statistics finished..."
     

Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.213.151:6969 -> 127.0.0.1:3170
Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.213.151:6969 -> 127.0.0.1:3170
Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.155.231:6969 -> 127.0.0.1:57580
Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.155.231:6969 -> 127.0.0.1:57580
Sep 10 18:22:33 ids01 snort[1536]: <lo> Deep Throat access: 192.168.170.42:2140 -> 127.0.0.1:60521