snort + acid sur mse 6 : doute sur fonctionnement

par **pbordere** » 30 Déc 2003 23:30

Bonsoir, J'ai installé snort-2.0.4-1.i386.rpm + snort-mysql-2.0.4-1.i386.rpm + sme-acid-2.0.0-1ari.noarch.rpm sur ma mse 6.0. Pas de message particulier à l'installation. <IMG SRC="images/smiles/icon_smile.gif"> Cependant, "snortd status" me répond 'snortd-mysql est arrêté' !!! De plus, <a href="https://monsite/acid" target="_blank">https://monsite/acid</a> indique 'Sensors :0' Y aurait il pas un problème ??? <IMG SRC="images/smiles/icon_wink.gif"> La lecture de snort.conf montre : 1/ l'IP de la carte réseau vers internet est dans les classes d'adresse de HOME_NET 2/ var EXTERNAL_NET !$HOME_NET Ce sont les paramêtres non modifiés. Quelqu'un a t'il une idée ou une piste de recherche ?

par **MasterSleepy** » 31 Déc 2003 07:22

Salut, Comment te connectes-tu à internet, par un modem ethernet ou usb. Car il y a un adaptation à faire si c'est usb. Après démarre le service car il ne le fait pas automatiquement, vérifie que ça soit le ligne avec snort-mysql qui soit activer adns le script de démarrage. A+

par **pbordere** » 31 Déc 2003 15:41

Merci pour ton aide, 1/ la connexion se fait sur eth1 via un modem cable (ethernet). 2/ dans le snortd (/etc/init.d) j'ai bien une ligne (sans les #) avec : daemon /usr/sbin/snort-mysql -d -i eth1 -c /etc/snort/snort.conf -D un ./snortd start suivi d'un ./snortd status donne snort-mysql est arrêté idem pour un lancement direct (sans le daemon car j'ai une "bash : command not found"). <IMG SRC="images/smiles/icon_frown.gif"> <IMG SRC="images/smiles/icon_bawling.gif">

par **Pabze** » 05 Jan 2004 10:14

As tu résolus ton probléme ?

par **pbordere** » 07 Jan 2004 01:12

NON, je suis toujours demandeur d'un petit coup de main.

par **pbordere** » 11 Jan 2004 20:54

AU SECOURS ............. Quelqu'un aurait il une idée sur la raison de l'arrêt de snort-mysql ? Il y a t'il une méthode pour le lancer "à la main " (cf ci dessus, pour la frappe sur la console d'une partie du script) ? Comment savoir si le probléme vient de mysql ? J'ai bien 60 fichiers (par groupe de trois) dans /var/lib/mysql/snort_log et 48 fichiers dans /var/lib/mysql/snort_archive. Ils datent de l'installation (et réinstallation pour snort_archive), ce qui montre qu'ils ne sont pas alimentés par snort_mysql (puisqu'il qu'il est arrêté). SVP : Une idée, une piste de recherche, une doc. sur mon problème <IMG SRC="images/smiles/icon_bawling.gif"> Serais je le seule a avoir installé snort+acid sur sme 6.0 ? et a avoir ce problème ?

par **MasterSleepy** » 11 Jan 2004 21:20

Salut, as tu vérifié que la base de donnée c'est bien créée . Elle s'apelle snort_log et il doit y avoir aussi snort_archive. De plus dans le fichier de config /etc/snort/snort.conf il doit y avoir une entré pour mysql, fait une recherche dans le fichier avec output database qui ne doit pas être en commentaire. Cette ligne doit ressembler à output database: log, mysql, user=[utilisateur] password=[password] dbname=snort_log host=localhost A+

par **Pabze** » 11 Jan 2004 21:31

J'ai eu le même probléme que toi lorsque j'ai installé Snort + SnortMysql + Acid lorsque les deux premiers étaient de la version 2.0.4-1 ! Pourtant les bases sql etaient bien créées, les logs tournés (Aprés correction d'un probléme ou un "r" manqué dans le crontab à "var" Snort se lancé, mais snort-mysql non ! <IMG SRC="images/smiles/icon_confused.gif"> En désinstallant et en repassant avec ceux indiqué par Marari (et son HowTo) les versions 1.9.0-1 cela a fonctionné à nouveau... Coup de chance peut-être me direz-vous ! <IMG SRC="images/smiles/icon_rolleyes.gif"> Pour rappel : lien de Marari pour son HowTo : <a href="http://marari.net/downloads/snort/acid-howto.htm" target="_blank">http://marari.net/downloads/snort/acid-howto.htm</a> Quelles sont les versions de snort que tu as installées ? <IMG SRC="images/smiles/icon_confused.gif">

par **pbordere** » 11 Jan 2004 23:38

Réponse à MasterSleepy >as tu vérifié que la base de donnée c'est bien créée . >Elle s'apelle snort_log et il doit y avoir aussi snort_archive. J'avais vérifié, les deux bases sont bien là >De plus dans le fichier de config /etc/snort/snort.conf >il doit y avoir une entré pour mysql, fait une recherche dans le fichier avec output >database qui ne doit pas être en commentaire. >Cette ligne doit ressembler à >output database: log, mysql, user=[utilisateur] password=[password] >dbname=snort_log host=localhost Cette ligne est bien présente. ==================================================== Réponse à Pabze > >Quelles sont les versions de snort que tu as installées ? snort-2.0.4-1.i386.rpm snort-mysql-2.0.4-1.i386.rpm sme-acid-2.0.0-1ari.noarch.rpm Coincidences ?? Je vais donc suivre la même voie... Merci à vous deux pour votre réponse

par **pbordere** » 12 Jan 2004 00:01

Pas de chance, les rpm en version 1.9.0-1 ne sont plus ligne sur snort.org ni même dans les anciennes versions. Je vais en chercher d'autres (sauf si vous les avez encore)...

par **MasterSleepy** » 12 Jan 2004 07:03

Salut, La version 1.9.0-1 est dispo sur mon site <IMG SRC="images/smiles/icon_wink.gif"> C'est la version que j'ai installé sans prob sur ma 5.6. tu peux la trouver <A HREF="http://vanhees.homeip.net/modules.php?op=modload&name=Downloads&file=index&req=viewsdownload&sid=11" TARGET="_blank">ici</A> A+

par **Pabze** » 12 Jan 2004 09:32

Merci, MasterSleepy, j'avais oublié de mentionner le lien des deux fichiers ! <IMG SRC="images/smiles/icon_frown.gif"> Fais nous part de tes résultats pbordere ! Chao ! <IMG SRC="images/smiles/icon_biggrin.gif">

par **pbordere** » 12 Jan 2004 09:57

Merci les gars, j'installerai ces parquets de retour à la maison. Les paquets v1.9.0 trouvés jusqu'à présent me donnent une erreur dès le début de l'insallation : " /mtab/ inexistant " (de mémoire). ;-? Je verais bien avec ceux ci. A+ <IMG SRC="images/smiles/icon_up.gif"> MasterSleepy <IMG SRC="images/smiles/icon_up.gif"> Pabze <IMG SRC="images/smiles/icon_up.gif">

par **ldidier** » 12 Jan 2004 17:48

Pour installer snort il faut : Un serveur Web (apache) Un serveur de base de données (Mysql) Lors de l'installation il faut créer dans mysql une base de données (voir la documentation) pour faire simple il y as dans snort contrib, les schéma en sql pour les tables et les champs de la base de données mysql, ou autres. Une fois créer il faut interfacer snort, dans sont fichier de conf et lui indiquer quel type de base de données le login le password et le nom de la base, le tous en texte clair. Par exemple login=root password=password base=snort Ce qui est important à ce moment là c'est le nom de la base de données, elle est libre de choix. Quand à ACID ne pas oublier adodb, autrement point de graphique ainsi que jpgraph. l'erreur la plus souvent rencontrer avec mysql c'est lors de la compil, ce qui n'est pas le cas avec le rpm. Pour vérifier que mysql tourne : ps aux | grep mysql Pour tester et voir ce qui ne vas pas avec snort ./rep/install/binaire/snort -c /rep/fiche_conf/snort.conf Question subsidiare pourquoi installer snort et snort-mysql, puisque snort-mysql est la compil pour que snort reconnaisse mysql, donc il suffit..... _________________ Rien de grand ne c'est accompli dans le monde sans passion. A.ENGEL

par **Pabze** » 12 Jan 2004 18:08

Euh ldidier... On est sous Sme ! rpm -ivh snort-1.9.0-1snort.i386.rpm snort-mysql-1.9.0-1snort.i386.rpm Tout ce fait par ces deux rpm, bien executés ensemble ! Voir le HowTo de Marari plus haut. <IMG SRC="images/smiles/icon_rolleyes.gif">

snort + acid sur mse 6 : doute sur fonctionnement

Qui est en ligne ?