IDS SELKS 5 s MikroTik CCR na bázi Packet Sniffer: Porovnání verzí

Z HKfree wiki
Skočit na navigaci Skočit na vyhledávání
(přidáno několik podrobnějších kroků pro konfigurace)
(informace o screen)
Řádek 32: Řádek 32:
 
9) dle návodu na https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1 spouštím <code>selks-first-time-setup_stamus.sh</code> a nastavuji jako sledovací síťovku '''eth10''' (vytvořená z dummy)
 
9) dle návodu na https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1 spouštím <code>selks-first-time-setup_stamus.sh</code> a nastavuji jako sledovací síťovku '''eth10''' (vytvořená z dummy)
  
10) spouštím svůj <code>./tap.sh</code> script
+
10) spouštím svůj <code>./tap.sh</code> script (vytvoří session ve ''screen'' - možno zkontrolovat pomocí <code>screen -ls</code> či přímo <code>screen -r</code>)
  
 
11) pomocí winbox na rOS: '''Tools > Packet Sniffer''' - ''Streaming'' > ''Streaming Enabled'' ON a ''Server'' IP na IDS - pak spustím pomocí '''START'''
 
11) pomocí winbox na rOS: '''Tools > Packet Sniffer''' - ''Streaming'' > ''Streaming Enabled'' ON a ''Server'' IP na IDS - pak spustím pomocí '''START'''
  
 
12) výstup by měl být funkční a viditelný v https na IDS server (viz https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1)
 
12) výstup by měl být funkční a viditelný v https na IDS server (viz https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1)

Verze z 31. 1. 2019, 11:52

Uvádím stručný návod pro rozjetí IDS na bázi SELKS (https://github.com/StamusNetworks/SELKS) skrze ten mikroťácký Packet Sniffer. Je to tedy pro případ, kdy není možné použít doporučovaný Port Mirroring, který funguje na úrovni switchů. Více o této problematice naleznete kupříkladu zde: http://www.mikrotikminute.com/how-to-do-a-packet-capture-with-mikrotik-routers-part-2/.

Kdyby si s tím chtěl někdo v budoucnu také hrát, uvádím zde pár kroků, jak jsem postupoval:

1) samotná instalace SELKS (virtual 2CPUs, 6GB RAM, 2x 60 GB HDD - nastaven SW RAID1 a LVM)

2) Packet Sniffer v rOS používá ke streamování TZSP UDP protokol, se kterým Suricata (Snort) nedokáže pracovat

3) existuje ultilita tzsp2pca - https://github.com/thefloweringash/tzsp2pcap (git clone)

4) pro kompilaci instaluji: apt-get install build-essential libpcap0.8-dev

5) kompiluji: cc -std=gnu99 -o tzsp2pcap -Wall -Wextra -pedantic -O2 -lpcap tzsp2pcap.c

6) výsledný tzsp2pcap přesouvám: mv tzsp2pcap /usr/local/sbin/

7) zakládám script: nano ~/trigger/tap.sh, který využívá tcpreplay na vytvořeném dummy:

#!/bin/bash

/sbin/modprobe dummy

/sbin/ip link set name eth10 dev dummy0

/sbin/ifconfig eth10 192.168.42.42

/usr/bin/screen -dm -S tzsp2pcap bash -c "/usr/local/sbin/tzsp2pcap -f | /usr/bin/tcpreplay --topspeed -i eth10 -"

8) chmod +x ~/trigger/tap.sh

9) dle návodu na https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1 spouštím selks-first-time-setup_stamus.sh a nastavuji jako sledovací síťovku eth10 (vytvořená z dummy)

10) spouštím svůj ./tap.sh script (vytvoří session ve screen - možno zkontrolovat pomocí screen -ls či přímo screen -r)

11) pomocí winbox na rOS: Tools > Packet Sniffer - Streaming > Streaming Enabled ON a Server IP na IDS - pak spustím pomocí START

12) výstup by měl být funkční a viditelný v https na IDS server (viz https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1)