[RESOLU] Démarrage de Snort impssible après maj des règles

[mickel64]

Bonjour

La dernière mise à jour des règles de Snort s’est mal passée
Lorsque je clique sur le bouton appliquer maintenant j’ai le message
1 défaut(s) de Snort à démarrer

Le log lastrulesupdate

Loading /var/ipcop/snort/oinkmaster.conf
Copying file from /var/log/snort/rules.tar.gz... done.
done.
Setting up rules structures... done.
Processing downloaded rules... disabled 0, enabled 0, modified 0, total=10237
Setting up rules structures... done.
Comparing new files to the old ones... done.

[***] Results from Oinkmaster started 20071111 07:08:30 [***]

[*] Rules modifications: [*]
None.

[*] Non-rule line modifications: [*]
None.

Est t’il possible d’annuler la dernière Maj ?
Merci

[Mister-Magoo]

Annuler la dernière mise à jour ? je sais pas mais j'ai le même problème que toi ...
On va attendre la prochaine mise à jour .....

[pascal1024]

Même problème : service snort arrêté, impossible de le relancer depuis la dernière mise-à-jour...

[mstotor]

GESP a répondu sur ce thread sur le forum de snort

http://www.snort.org/archive-5-5091.html

extrait :
-----------------------------------
Posted by Gesp on November 08, 2007 17:00:24

Change in /usr/local/bin/snortrules.pl the $rulesbranch value to be
my $rulesbranch="2.6";

the 2.6 branch was only recently created

That will be in IPCop 1.4.17 update
------------------------------------

j'ai fais la modif proposée dans ce même thread en attendant la mise à jour de ipcop 1.4.17

via putty ou wincsp il faut editer le fichier situé içi
/etc/snort/rules/sql.rules
et commenter la ligne 49 (en ajoutant un diese devant #)

ce qui donnera

#alert udp $EXTERNAL_NET any -> $HOME_NET 1434 (msg:"MS-SQL version overflow attempt"; flow:to_server; dsize:>100; content:"|04|"; depth:1; reference:bugtraq,5310; reference:cve,2002-0649; reference:nessus,10674; reference:url,www.microsoft.com/technet/security/bulletin/MS02-039.mspx; classtype:misc-activity; sid:2050; rev:10;)

ensuite apres l'edition du fichier soit tu redemarre snort, via putty
soit tu fais via la fenetre WEB de snort, tu fais enregistrer et appliquer maintenant (pas essayé, ca devrait faire la même chose)
et hop snort est redemarré et fonctionnel

voili voilà

[pascal1024]

Merci beaucoup par l'explication : je vais la mettre de suite en pratique.

[Mister-Magoo]

Cette astuce sera à refaire à chaque mise à jour de Snort il me semble, mais en attendant, ça remarche

[mickel64]

Merci à tous et bonne semaine

[mab974]

GESP a répondu sur ce thread sur le forum de snort

http://www.snort.org/archive-5-5091.html

extrait :
-----------------------------------
Posted by Gesp on November 08, 2007 17:00:24

Change in /usr/local/bin/snortrules.pl the $rulesbranch value to be
my $rulesbranch="2.6";

the 2.6 branch was only recently created

That will be in IPCop 1.4.17 update
------------------------------------

j'ai fais la modif proposée dans ce même thread en attendant la mise à jour de ipcop 1.4.17

via putty ou wincsp il faut editer le fichier situé içi
/etc/snort/rules/sql.rules
et commenter la ligne 49 (en ajoutant un diese devant #)

ce qui donnera

#alert udp $EXTERNAL_NET any -> $HOME_NET 1434 (msg:"MS-SQL version overflow attempt"; flow:to_server; dsize:>100; content:"|04|"; depth:1; reference:bugtraq,5310; reference:cve,2002-0649; reference:nessus,10674; reference:url,www.microsoft.com/technet/security/bulletin/MS02-039.mspx; classtype:misc-activity; sid:2050; rev:10;)

ensuite apres l'edition du fichier soit tu redemarre snort, via putty
soit tu fais via la fenetre WEB de snort, tu fais enregistrer et appliquer maintenant
et hop snort est redemarré et fonctionnel

voili voilà

pour moi, "enregistrer" et "appliquer" annule la modif dans sql.rules. Normal ?
Par contre restart de snort en putty c'est impec.

[PengouinPdt]

iop all,

perso, après la modif sur 'my $rulesbranch', j'ai du télécharger à nouveau, et là Snort a bien voulu démarrer...

Merci qd même pour l'info, ca aide assurément

[pascal1024]

Au delà ce ces modifications qui permettent de relancer Snort, quelqu'un sait-il quand la version 1.4.17 sortira ?

[gaetanmm2]

bonjour ,j'aurais besoin d'aide car je ne mis connait pas beaucoup en linux , ni en language de programmation

j'ai reussi a me connecter en ssh a mon serveur ipcop

il me demande login mdp , je met root et mon mot de passe cela fonctionne

mais apres je ne sais pas quel ligne de commande taper pour acceder au fichier et pouvoir le modifier

quelqu'un pourrait t'il m'aider ?

[gaetanmm2]

j'ai un soucis , j'ai trouver en cherchant les lignes de commande sur internet

jai fait vi etc..... pour ouvrir le doc
localiser la ligne
echap a : jai rajouter le #
:wq pour enregistrer

je pense avoir rien oublier mais pourtant snort reste toujours rouge et ne demarre pas jai fait enregistrer et appliquer mm redemarrer ipcop idem ,quelquun saurait ce que j'ai oublié ?

j'ai meme retenter une msj mais cela enleve le # du fichier

[mstotor]

pour editer un fichier et si la syntaxe de vi ne t'es pas familiere, c'est tout aussi simple de passer sur un PC sous XP et via le programme wincsp (fais une recherche google) de te connecter à IP cop
le port de communication est en SSH comme putty, login root
celà t'ouvre une fenetre graphique et des options de navigation classique ainsi que la commande "editer"

si tu ne sais pas redemarrer snort via putty, redemarre ipcop, snort sera demarré logiquement au reboot

[gaetanmm2]

j'ai fait ce qui est dit plus haut , et j'ai redemarrer ipcop malheuresement snort ne redemarre pas

alors que la modif du fichier a bien etait enregistrer ....

bizarre

avait vous une idée?

[M@nu]

avez-vous re-téléchargé les regles version 2.6 ?
Sinon, snort tente toujours d'utiliser les règles déjà chargée (et donc fausses)