基于CentOS平台的Snort+Barnyard安装步骤
一、背景
入侵检测系统（IDS）不但可以主动发现网络内遭受攻击，还可以作为防火墙的补充，虽然不能阻止网络入侵行为，但是能够帮助系统对网络攻击进行报警和分析。相当于部署在网络中的隐形摄像头。
然而Snort作为一种开源IDS系统，网上遍布各种版本的不同类型的安装资料，给初学者带来诸多不便，往往参考了一堆文档，还是无法达到预期。
本教程基于Cent OS 最小化安装为基础，展示了在其中安装的全过程。
阅读范围： 适用于初级网络运维人员参考使用。
二、准备软件环境
在安装前，必需做SPAN，SPAN端口监控是一种在现有网络结构中引入监控网段的方法。Cisco交换机的中高端产品都有SPAN端口或镜像端口。Span端口既可以是一个专用端口，也可以通过该端口实现交换机上所有的端口的配置选项设定。下文实在虚拟机环境下完成的实验，所以只要把网卡设置为混杂模式即可。
（1）.准备虚拟机工具Vmware or VirtualBox 或其他种类的虚拟机。当然远程连接工具也不可或缺比如：Xshell5 或 SecureCRT。
（2）.下载操作系统镜像： /s/1pKSmNs3 附件中包含了实验里涉及到的软件包和脚本文件。
（3）.安装虚拟机（本文以Vmware Workstation 12为例进行安装）
图1
（4）.将系统IP地址改为静态IP
#ifconfig-a \\查看所有网卡的状态
#vi/etc/sysconfig/network-scripts/ifcfg-eth0 \\编辑网卡配置文件
DEVICE="eth0"
BOOTPROTO="dhcp"
HWADDR="00:0C:29:BA:53:4E"
IPV6INIT="yes"
NM_CONTROLLED="yes"
ONBOOT="yes"
TYPE="Ethernet"
UUID="685d0725-02ab-41b9-b9bf-6a52fc68c0f8"
下面开始改成静态IP
BOOTPROTO="dhcp" -> BOOTPROTO="static"
IPADDR=
NETMASK=
GATEWAY=
DNS1=
DNS2= \\DNS配置根据当地网络供应商进行添加
DNS还可以在其他的文件进行配置
# vi /etc/
加入
nameserver
退出保存，重启网络服务。实际 /etc/ 是自动调用之前网卡配置文件DNS配置信息。
（5）.本套教程主要基于网络安装所以大家必须保证网络畅通。
三、安装依赖包
1．安装wget工具
#yum install -y wget
更换成阿里云的源
#wget -O /etc//CentOS- /repo/Centos-
#yum clean all
#yum make cache
更新系统(完成后会升级所有包，改变软件设置和系统设置,系统版本内核都升级)
#yum update-y
yum install epel-release-y
安装epel源，EPEL，即ExtraPackages for Enterprise Linux，这个软件仓库里有很多非常常用的软件,而且是专门针对RHEL设计的，对RHEL标准yum源是一个很好的补充，完全免费使用，由Fedora项目维护，EPEL 包含一个叫做epel-release的包，这个包包含了EPEL源的gpg密钥和软件源信息。您可以通过yum安装到您的企业版Linux发行版上。
检查系统是否安装epel-release
#rpm -q epel-release
package epel-release is not installed
2.安装基本环境和依赖包
#yum install -y gcc gcc-c++ flex bison zlib* libxml2 libpcap* pcre* tcpdump git libtool curl man make
3.解压DAQ、Libdnet、Snort
在服务器的安装配置过程中，大家很可能会到官网去下载最新版本的源码包，但是那样以来就会遇到各种依赖包缺失的问题，从而导致无法安装成功。因为有些软件比如Snort要在DAQ安装好之后才能继续，而DAQ依赖于Libdnet安装好了，才能再安装上DAQ。所以安装源码的顺序犹然重要。在学习本文时一定要注意版本的一致性，也就是大家一定要挑选本文指定的版本进行试验，只要成功了，你对Snort配置的信心就会大增，学习兴趣也更加浓郁。
当然，使用源码安装并不特别复杂，只是在安装过程里排错的难度较大。如何解决安装过程中的依赖问题，可以参考《@H_91_404@如何解决源码包安装时的依赖性问题》/350944/1034095。
给大家打好预防针了，下面继续安装。
cd /usr/local/src
tar -zxvf /root/Desktop/libdnet-
tar -zxvf /root/Desktop/daq-
tar -zxvf /root/Desktop/snort-
安装libdnet-
cd /usr/local/src/libdnet-/
./configure
make && make install
友情提示：
有些初学者会选择安装rpm包，尤其手动安装libdnet这个包时会遭遇以下问题：
[root@localhost ~]# rpm -ivh libdnet--
warning: libdnet--:Header V3 RSA/SHA256 Signature,key ID 0608b895: NOKEY
error: Failed dependencies:
needed by libdnet--
(GLIBC_)is needed by libdnet--
(GLIBC_)is needed by libdnet--
安装DAQ 这是安装snort的前提。下面开始安装DAQ
cd daq-
make && make install
安装，（安装snort前一定要编译安装libdnet-）
cd /usr/local/src/snort-
./configure --enable-sourcefire
make && make install
创建用户、组、设置权限因为在root身份下解包的文件权限都是跟root有关，所以要修改成snort用户的属主和相关权限。
groupadd -g 40000 snort
useradd snort -u 40000 -d /var/log/snort -s /sbin/nologin -c SNORT_IDS -g snort
cd /etc/snort
chown -R snort:snort *
\\执行这条命令前先看看文件的属主
执行之后：
[root@localhost snort]# ls -l
total 312
-rw-r--r--. 1 snort snort 1281 Nov 2806:14 attribute_
-rw-r--r--. 1 snort snort 3757 Nov 28 06:14
drwxr-xr-x. 2 snort snort 4096 Nov 182014 etc
-rw-r--r--. 1 snort snort 23058 Nov 28 06:14 file_
-rw-r--r--. 1 snort snort 31643 Nov 28 06:14 gen-
-rw-r--r--. 1 snort snort 13478 Nov 28 06:14 Makefile
-rw-r--r--. 1 snort snort 190 Nov 28 06:14
-rw-r--r--. 1 snort snort 12388 Nov 28 06:14
drwxr-xr-x. 2 snort snort 4096 Nov 182014 preproc_rules
-rw-r--r--. 1 snort snort 687 Nov 28 06:14
drwxr-xr-x. 2 snort snort 4096 Nov 28 06:15 rules
-rw-r--r--. 1 snort snort 26772 Nov 28 06:14
drwxr-xr-x. 4 snort snort 4096 Nov 112014 so_rules
-rw-r--r--. 1 snort snort 2335 Nov 28 06:14
-rw-r--r--. 1 snort snort 160606 Nov 2806:14
下面，接着设置/var/log/snort目录的属主属性。
chown -R snort:snort/var/log/snort
五、配置Snort
1.新建/etc/snort目录
#mkdir /etc/snort
#cd /etc/snort
复制配置文件到当前目录
cp /usr/local/src/snort-/etc/*.
将/usr/local/src/snort-/etc下配置文件复制到当前目录
tar -zvxf /root/Desktop/snortrules-snapshot-把规则包解压到当前目录
touch/etc/snort/rules/white_/etc/snort/rules/black_
在/etc/snort/rules下新建white_和black_两个文件。
2.编辑snort配置文件
vi /etc/snort/
45行 ipvar HOME_NET any > ipvar HOME_NET 你的的IP网段,写成CIDR格式，可以添加多个网段
举例：ipvarHOME_NET [/16,/16]
ipvar EXTERNAL_NET any >ipvar EXTERNAL_NET!$HOME_NET
104行var RULE_PATH ../ruls > var RULE_PATH /etc/snort/rules
105行var SO_RULE_PATH ../so_rules >var SO_RULE_PATH/etc/snort/so_rules
106行var PREPROC_RULE_PATH ../preproc_rules> var PREPROC_RULE_PATH/etc/snort/preproc_rules
113行var WHITE_LIST_PATH ../rules> 109 varWHITE_LIST_PATH /etc/snort/rules
114行var BLACK_LIST_PATH ../rules> 110 var BLACK_LIST_PATH /etc/snort/rules
3.设置log目录属组
config logdir :/var/log/snort
output unified2:filename,limit 128
注意:也可以启用tcpdump插件，启用后在/var/log/snort/目录下产生.时间戳的文件用
在OSSIM里是这样写的“output unified2: filenamesnort,limit 128”
还可以，取消文件中以下几行的注释，可以使snort向系统日志文件中日志数据：报警存储在哪儿？
output alert_syslog: LOG_AUTH LOG_ALERT
输出格式如下：
May 10 00:03:38 xxxxxx snort: INFO - ICQAccess [Classification:
content:"MKD / " Priority: 0]::5435 -> :80
六、配置开机自动启动 snort程序
接着输入如下命令：
cd /usr/local/src/snort-/rpm
cp snortd /etc//snortd
cp /usr/local/src/snort-/rpm/ /etc/sysconfig/snort
chkconfig --add /etc//snortd
chkconfig snortd on
新建连接文件
cd /usr/sbin
ln -s /usr/local/bin/snort snort
在/usr/sbin/目录中新建连接文件snort
新建目录设置权限
mkdir -p /usr/local/lib/snort_dynamicrules
chown -R snort:snort /usr/local/lib/snort_dynamicrules
chown -R 755 /usr/local/lib/snort_dynamicrules
七、测试snort
#snort -T -i eht0 -u snort -g snort -c /etc/snort/
如果配置正确系统提示成功。
图2
如果你看到“snort successfully validated the configuration!”提示就表示安装配置成功啦！别高兴太早，下面还有更艰巨的任务。
#snort -vde
1）添加一条规则测试
#vi /etc/snort/rules/
加入如下内容：
alert icmp any any -> $HOME_NET any (msg:"Ping";sid:1000003;rev:1;)
其他规则：
drop icmp any any -> any any (itype:0;msg:"Chan Ping";sid:1000002;)
alert icmp any any -> $HOME_NET 81 (msg:"Scanning Port 81";sid:1000001;rev:1;)
alert tcp any any -> $HOME_NET 22 (msg:"Scanning Port 22";sid:1000002;rev:1;)
alert icmp any any -> any any (msg:"UDP Tesing Rule";sid:1000006;rev:1;)
alert tcp any any -> $HOME_NET 80(msg:"HTTP Test!!!"; classtype:not-suspicIoUs; sid:1000005; rev:1;)
友情提示：
对Snort性能影响最大的是Snort的配置和规则集的设置，如果你是第一次接触IDS可能更在乎功能的实现而不注重性能，如果你是专家就要考虑规则之间的逻辑。
举个例子，假设你直接配置snort输出插件交给snort产生输出，发送到数据库，这个时候在加上你启用了很多规则，会导致Snort性能严重下降甚至崩溃。
2.）Ping Snort主机
我们用ping命令来进行测试，是为了使其产生alert。ping命令使用的是最典型的ICMP回显保温，在IDS中使用Libpcap函数所捕获的也就是ICMP数据包。下面在Snort主机上操作：
snort -i eth0 -c /etc/snort/ -A fast-l /var/log/snort/
3) 设置规则的注意事项：
对snort的性能影响最大的是snort的配置设定以及规则集设置。内部瓶颈则主要出现在包解码阶段，要snort检查包的容，那么它比一般的规则都要更加耗费系统资源。启用的检查包内容的规则越多，snort的运行就需要越多的系统资源。如果要激活预处理程序中的某些设置选项，就会需要消耗额外的系统资源。最明显的例子就是启用在frag2预处理程序和stream4预处理程序中的“最大存储容量(memcap)”选项。如果您打算激活大量耗费资源的预处理程序选项，最好确定有足够的硬件资源的支持。我曾经遇到过一个用户花了大笔的钱购买了最先进的IDS由于配置不当，连检测100M网都出现了丢包现象。
4) 如果顺利，便可以在alert中产生告警，用下面命令查看
#cd /var/log/snort/
#tail -f /var/log/snort/alert
图3
收到告警，就代表阶段性胜利，我们希望把这些告警存储到数据库中，下面接着安装数据库。
八、安装 MysqL
#yum install -y MysqL-server MysqL-devel PHP-MysqL PHP-adodb PHP-pear PHP-gd libtool PHP-imapPHP-ldap PHP-mbstring PHP-odbc PHP-pear PHP-xml PHP-pecl-apc
#chkconfig --level 235 MysqLd on
#/etc//MysqLdstart
接着为数据库管理员赋密码，我们可以用MysqL_secure_installation（secure installation是安全的安装模式，用来安全的初始化我们的MysqL服务器）命令也可以用下面的方法。
#/usr/bin/MysqLadmin -u root password '123456'
注意以后用root用户登录PHPmyadmin是密码也是这个。
九、建库并设定读取权限
#MysqL -u root -p
输入刚 设置的密码123456
MysqL>create database snort;
use snort;
MysqL>create user 'snort'@'localhost' IDENTIFIED BY '123456';
这里的123456是MysqL snort 的password
创建名为snort、密码为123456的数据库用户并赋予名为snort数据库权限
MysqL>grant create,select,update,insert,delete on snort.* tosnort@localhost identified by '123456';
MysqL>set password for ‘snort’@’localhost’=password('123456');
MysqL>source /usr/local/src/barnyard2-/schemas/create_MysqL;
注意：路径先解压barnyard2-2-这个文件执行前确保snort库被选中，路径写对。
报错：ERROR 1046 (3D000): No database selecte
新建数据库也可以用以下命令：
#echo "create database snort;" |MysqL -u root -p
ERROR:
Failed to open file'/usr/local/src/barnyard2-2-/schemas/create_MysqL',error: 2
MysqL>usr snort;
MysqL>show tables;
+------------------+
|Tables_in_snort |
|data |
|detail |
|encoding |
|event |
|reference_system |
|schema |
|sensor |
|udphdr |
16rows in set ( sec)
MysqL>flush privileges;
MysqL>exit
十、安装配置Barnyard2
上面提到过，Snort配置文件中自身含有插件允许将Snort报警记录到MysqL中，但这样以来，系统会形成瓶颈 ，当IDS系统检测到攻击行为，就会用到INSERT语句向数据库里写入数据，导致到UPDATE时非常慢。所以直接将Snort输出到数据库，这种方案的效率并不高。这里就使用外部代理将报警输出到Barnyard2。言而言之Barnyard的作用是读取snort产生的二进制事件文件并存储到MysqL。
1.源码包方式安装
cd /usr/local/src/
tar zxvf /root/Desktop/barnyard2-1-
cd barnyard2-1-9/
./configure --with-MysqL --with-MysqL-libraries=/usr/lib64/MysqL \\配置参数很重要切勿出错。
make &&make install
2.第二种方法：用GIT安装
也下面的可以安装
git clone git:///firnsy/
cd barnyard2/
./
autoreconf -fvi -I ./m4
./configure --with-MysqL --with-MysqL-libraries=/usr/lib64/MysqL/
make && make install
3.配置barnyard2
首先创建目录和文件
mkdir /var/log/barnyard2
touch /var/log/snort/
[root@localhost barnyard2]# ls -l/var/log/snort/
-rw-r--r--. 1 root root 0 Nov 28 06:56 /var/log/snort/
接下来还是要设置属主
#chown /var/log/snort/
ls -l /var/log/snort/
-rw-r--r--. 1 snort snort 0 Nov 28 06:56 /var/log/snort/
根Snort类似，Barnyard的配置也是通过.conf文件来完成，为了达到这一目的将barnyard2的配置模板文件复制到/etc/snort目录下。
#cp /root/Desktop/barnyard2-/etc/ /etc/snort
加入如下行内容
#vi /etc/snort/
config logdir:/var/log/barnyard2 \\该目录权限
config hostname: localhost
config interface: eth0
config waldo_file:/var/log/snort/
数据库输出插件可以将Snort二进制的日志存放到MysqL数据库中，下面这条配置定义了用户snort,密码：123456，数据库名称：snort 以及主机名localhost
output database: log,MysqL,user=snort password=123456 dbname=snort host=localhost
编辑完成后保存退出。
接着新建一个文件。
touch /var/log/snort/
5.修改属主
chown /var/log/barnyard2
chown /var/log/snort/
cp /etc/snort/etc/sid-/etc/snort
和Barnyard 测试
#snort -q -u snort -g snort -c /etc/snort/ -i eth0 -D
你不会看到输出结果，因为程序在后台运行,-D 参数表示后台运行。
同样ping你的主机。 继续运行以下内容
#barnyard2 -c /etc/snort/ -d /var/log/snort -f -w /var/log/snort/ -g snort -u snort
（该命令为一行）
图4
注意：跟snort命令类似，barnyard2后面还也可以跟参数 “-T”表示测试。另外，针对baryard2测试时的问题在/course/course_id-课程中有详细的视频讲解。
此时，报警到底存入到数据库了吗？，可以检测下：
#MysqL -u snort -p -D snort -e "select count(*) from event"
图5
如果没有那么下面需要检查配置文件并重启程序，对于他的参数解释如下：
#barnyard2 -c /etc/snort/ -d /var/log/snort/ -f -w/var/log/snort/
（注意这是一条完整的命令）
解释：
-c该选项告诉Barnyard 配置文件的路径，是必选项。
-d告诉Barnyard Snort Unified格式文件的路径，所有Unified文件必须放在该目录下，必选项。
-f该选项告诉Barnyard以连续方式运行时需要的Unified文件的基本名字，因为Snort在每次生成的Snort Unified文件后面加了一个UNIX时间戳；基本名字就是去掉时间戳后缀的文件名。
-w该选项开启检验指示功能，用于告诉Barnyard检验点文件的名字，也叫做waldo文件。这个文件用于记录文件中最近处理的报警。无果不使用waldo文件，则Barnyard必须完整的载入一个日志文件，这就好像把已经存在的报警信息又传送到了入侵数据库中。
此外还可以以调试模式运行加参数-R。
本文到此大家需要多花时间练习，下次为大家介绍如何配置BASE。本文录制的视频也已经上线，大家可以参考
友情提示：如果采用CentoOS 系统并按以上教程实验，在编译过程中会导致出错，请大家要注意自己的实验环境。
原文链接：https://www.f2er.com/centos/378950.html