IDS SELKS 5 s MikroTik CCR na bázi Packet Sniffer: Porovnání verzí
(informace o screen) Značka: editace z Vizuálního editoru |
m (Lehka zmena stylu) |
||
(Není zobrazena jedna mezilehlá verze od jednoho dalšího uživatele.) | |||
Řádek 7: | Řádek 7: | ||
2) Packet Sniffer v rOS používá ke streamování TZSP UDP protokol, se kterým '''Suricata''' (Snort) nedokáže pracovat | 2) Packet Sniffer v rOS používá ke streamování TZSP UDP protokol, se kterým '''Suricata''' (Snort) nedokáže pracovat | ||
− | 3) existuje ultilita ''' | + | 3) existuje ultilita '''tzsp2pcap''' - https://github.com/thefloweringash/tzsp2pcap (<code>git clone</code>) |
4) pro kompilaci instaluji: <code>apt-get install build-essential libpcap0.8-dev</code> | 4) pro kompilaci instaluji: <code>apt-get install build-essential libpcap0.8-dev</code> | ||
Řádek 17: | Řádek 17: | ||
7) zakládám script: <code>nano ~/trigger/tap.sh</code>, který využívá '''tcpreplay''' na vytvořeném ''dummy'': | 7) zakládám script: <code>nano ~/trigger/tap.sh</code>, který využívá '''tcpreplay''' na vytvořeném ''dummy'': | ||
− | < | + | <source lang="bash"> |
− | + | #!/bin/bash | |
− | + | /sbin/modprobe dummy | |
− | + | /sbin/ip link set name eth10 dev dummy0 | |
− | + | /sbin/ifconfig eth10 192.168.42.42 | |
− | + | /usr/bin/screen -dm -S tzsp2pcap bash -c "/usr/local/sbin/tzsp2pcap -f | /usr/bin/tcpreplay --topspeed -i eth10 -" | |
− | + | </source> | |
− | |||
− | |||
− | |||
8) <code>chmod +x ~/trigger/tap.sh</code> | 8) <code>chmod +x ~/trigger/tap.sh</code> |
Aktuální verze z 31. 1. 2019, 13:10
Uvádím stručný návod pro rozjetí IDS na bázi SELKS (https://github.com/StamusNetworks/SELKS) skrze ten mikroťácký Packet Sniffer. Je to tedy pro případ, kdy není možné použít doporučovaný Port Mirroring, který funguje na úrovni switchů. Více o této problematice naleznete kupříkladu zde: http://www.mikrotikminute.com/how-to-do-a-packet-capture-with-mikrotik-routers-part-2/.
Kdyby si s tím chtěl někdo v budoucnu také hrát, uvádím zde pár kroků, jak jsem postupoval:
1) samotná instalace SELKS (virtual 2CPUs, 6GB RAM, 2x 60 GB HDD - nastaven SW RAID1 a LVM)
2) Packet Sniffer v rOS používá ke streamování TZSP UDP protokol, se kterým Suricata (Snort) nedokáže pracovat
3) existuje ultilita tzsp2pcap - https://github.com/thefloweringash/tzsp2pcap (git clone
)
4) pro kompilaci instaluji: apt-get install build-essential libpcap0.8-dev
5) kompiluji: cc -std=gnu99 -o tzsp2pcap -Wall -Wextra -pedantic -O2 -lpcap tzsp2pcap.c
6) výsledný tzsp2pcap přesouvám: mv tzsp2pcap /usr/local/sbin/
7) zakládám script: nano ~/trigger/tap.sh
, který využívá tcpreplay na vytvořeném dummy:
#!/bin/bash
/sbin/modprobe dummy
/sbin/ip link set name eth10 dev dummy0
/sbin/ifconfig eth10 192.168.42.42
/usr/bin/screen -dm -S tzsp2pcap bash -c "/usr/local/sbin/tzsp2pcap -f | /usr/bin/tcpreplay --topspeed -i eth10 -"
8) chmod +x ~/trigger/tap.sh
9) dle návodu na https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1 spouštím selks-first-time-setup_stamus.sh
a nastavuji jako sledovací síťovku eth10 (vytvořená z dummy)
10) spouštím svůj ./tap.sh
script (vytvoří session ve screen - možno zkontrolovat pomocí screen -ls
či přímo screen -r
)
11) pomocí winbox na rOS: Tools > Packet Sniffer - Streaming > Streaming Enabled ON a Server IP na IDS - pak spustím pomocí START
12) výstup by měl být funkční a viditelný v https na IDS server (viz https://github.com/StamusNetworks/SELKS/wiki/SELKS-5.0-RC1)