1 昔のメモ。

2001年07月08日(日) 01:05:09,2001年07月08日(日),Windowsでsnort+ACID,snortインストールメモ（Windows2000+Apache+PHP+MySQL+snort+ACID）
 ※SSLまではやってまへん。。。
 ※使用しているcgiのバグで半角英数字を使うべきところで全角使ったりしてます（汗



　[参考にさせていただいた所]
　　Snort & Windows 2000　　　　　 http://www.snort.org/Files/snort-w2k.pdf
　　NT Security-Snort　　　　　　　http://www.port139.co.jp/ntsec_snort.htm
　　みっきーのネットワーク研究所　 http://www.hawkeye.ac/micky/
　　snortの設定　　　　　　　　　　http://www.hamster.ne.jp/~osa/memo/snort/
　　academic office　　　　　　　　http://www.office.ac/index-j.html
　　PHPインストール　　　　　　　　http://www.php.net/manual/ja/install-windows.php

　必要なモノ
　　Apache　　　　　 http://httpd.apache.org/dist/httpd/binaries/win32/
　　PHP　　　　　　　http://www.php.net/downloads.php
　　MySQL　　　　　　http://www.softagency.co.jp/MySQL/downloads/index.html
　　snort (MySQL版)　http://www.snort.org/snort-files.htm
　　snort (tar玉)　　http://www.snort.org/snort-files.htm
　　snort rule　　　 http://www.snort.org/snort-files.htm#Rules
　　snort rule　　　 http://whitehats.com/ids/index.html
　　ACID　　　　　　 http://www.cert.org/kb/acid/
　　ADODB　　　　　　http://php.weblogs.com/adodb
　　WinPcap　　　　　http://netgroup-serv.polito.it/winpcap/

　知っていると便利なこと
　　(1)コマンド プロンプト (Cmd.exe) の自動補完を有効にする方法 
　　　　http://www.microsoft.com/japan/support/kb/articles/JP244/4/07.htm
　　　　※HKEY_CURRENT_USER\Software\Microsoft\Command Processor の CompletionChar の値を 9 にする

　　(2)PATHの追加方法
　　　　1.マイコンピュータのプロパティ
　　　　2.詳細のタブ
　　　　3.環境変数のボタンクリック
　　　　4.PATHがなければ新規、あれば追加
　　　　5.変数名 PATH 変数値 %PATH%;C:PHP;C:\MySQL






 1. WinPcap2.1をインストール
　　※exeファイルを実行するだけ


 2. snort1.7を好きな場所にインストール
　　※アーカイブを解凍し移動するだけ
　　(1) ダウンロードしたルールセットをsnortをインストールしたフォルダへ
　　　　※***-libのファイルは不要になる
　　(2) snort.conf(05/21/2001)の編集
　　　 　a)Step #1: Set the network variables:
　　　 　　・ 42|var HOME_NET 192.168.0.0/24
　　 　　　・ 66|var DNS_SERVERS 192.168.0.1
　 　　　b)Step #2: Configure preprocessors
　　　 　　・ 82|preprocessor minfrag: 128
　　　　　　　　　　↑---------------たぶん128byte以下をって感じかな。#を外す。
　　　 　　※137|preprocessor portscan-ignorehosts: $DNS_SERVERS
　　　　　　　　　　↑---------------たぶんポートスキャンを捕捉するするときの除外ホスト。
　　　 　c)Step #3: Configure output plugins
　　　 　　・239|output database: log mysql user=snort dbname=snort host=localhost
　　 　　d)Step #4: Customize your rule set
　　 　　　※ルールを追加するときは include ***.rules を追加するみたいな
　　　　　 ※www.snort.org で手に入れた最新の snort.conf に x11.rules が抜けていたりする
　　(3) snort-1.7.tar.gz の contrib フォルダにある create_mysql を例えば \mysql\bin にコピー
　　(4) snortのフォルダ内に log と言う名のフォルダを作成
　　　　※別の名前でもよいが、その時はsnort起動時にオプションで指定する必要がある



 3. MySQL3.23.39-ntを好きな場所にインストール
　　※Setup Type は Typical を選択



 4. winmysqladmin.exe を実行
　　※ \mysql\bin 配下にある
　　(1) UsernameとPasswordを設定
　　(2) タスクトレイに新たなアイコン
　　(3) アイコンを右クリック show me で各種設定画面
　　(4) my.ini Setup タブの左下にある Create ShortCut ｏn Start Menu をクリック
　　　　※スタートメニューのスタートアップフォルダにショートカット作成
　　(5) Databases タブの左上にある Databeses の上で右クリック Create Database を選択
　　(6) Database Name を snort とし Create the Database ボタンをクリック
　　(7) タスクトレイに戻すには右上のアイコンサイズのアイコンの上で右クリック Hide me を選択



 5. cmd.exe を起動し \mysql\bin\mysql.exe を実行
　　　Welcome to the MySQL monitor.  Commands end with ; or \g.
　　　Your MySQL connection id is 5 to server version: 3.23.39-nt
　　　
　　　Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
　　　
　　　mysql>
　　のようなメッセージが表示



 6. 次のようにタイプ
　　　mysql> ¥u mysql;
　　　Database changed
　　　mysql>



 7. 次のようにタイプ
　　　mysql> grant INSERTSELECTCREATEDELETE ｏn snort.* to snort@localhost;
　　　Query OK 0 rows affected (0.03 sec)
　　　
　　　mysql>
　　ときとして時間は変わる…



 8. ¥q で mysql モードを終了



 9. 次のようにタイプ
　　　\mysql\bin>mysql.exe -u snort snort < create_mysql
　　※2-(3) でコピーしたファイルを使用している



10. snortの起動テスト　次のようにタイプ
　　　\snort\snort.exe -c snort.conf

　　　　　　　　　      (省略)
　　　　　　　--== Initialization Complete ==--
　　　
　　　-> Snort! <-
　　　Version 1.7-MySQL-WIN32
　　　By Martin Roesch (roesch@clark.net www.snort.org)
　　　WIN32 Port By Michael Davis (mike@datanerds.net www.datanerds.net/~mike)
　　という感じだと起動していると思う(汗



11. 試しに HOME_NET のどこかへ ping でも打ち込む



12. log フォルダに alert.ids ができていて、中を見ると
　　　[**] ICMP Echo Request Windows [**]
　　　07/07-21:15:11.490490 192.168.0.3 -> 192.168.0.2
　　　ICMP TTL:32 TOS:0x0 ID:32279 IpLen:20 DgmLen:60
　　　Type:8  Code:0  ID:512   Seq:256  ECHO
　　といった具合になっていたら動作していると思われる



13. ちなみに MySQL の方にある Databases タブの snort の Database を見ると
　　ちゃんとデータが蓄えられてるのが分かる感じ



14. Apache1.3.20 を好きな場所にインストール
　　　※一応の動作確認は http://127.0.0.1/ をやってみたり
　　　※ドキュメントは http://127.0.0.1/manual/index.html で読めたりする



15. PHP4.0.6 を好きな場所にインストール
　　　※Apacheを一旦停止させる（管理ツールのサービス等で）

　　　(1)httpd.conf に追加
　　　　　　ScriptAlias /php/ "C:/php/"
　　　　　　LoadModule php4_module c:/php/sapi/php4apache.dll
　　　　　　Action application/x-httpd-php "/php/php.exe"
　　　　　　AddType application/x-httpd-php .php

　　　(2)php.ini の編集
　　　　・php.ini-dist ファイルをコピーして php.ini を作成
　　　　　・314行目付近の include_path = を設定 (PHPのインストール場所)
　　　　　・324行目付近の extension_dir = を設定 (PHPのインストール場所)

　　　(3)php4ts.dll を %system%system32 へコピー
　　　(4)php.ini-dist を %system% へ php.ini に名前を変えてコピー
　　　　　※PATH= を通しておけばどこでもいいのだろう
　　　　　 (セキュリティ上は違うとこがいいのかなぁ？よくわからん。(爆 )

　　　(5)動作確認 下記内容の test.php ファイルでも作成
　　　　　<html><head></head><body><?php print ("PHPの動作確認"); ?></body></html>

　　　　　※ブラウザで test.php を開いて "PHPの動作確認" って表示されたらちゃんと動いているらしい
　　　　　　ソースを見ると <html><head></head><body>PHPの動作確認</body></html> ってな感じだろう



16. ADODB 1.12 を 好きな場所にコピー



17. ACID 0.9.6b9 を Apache のユーザディレクトリにACIDでも作ってコピー



18. acid_conf.php の編集
　　(1) $DBlib_path = を ADODB をインストールしたディレクトリを指定
　　(2) 下記を具合のいいように設定（汗
　　　　　$alert_dbname   = "snort";
　　　　　$alert_host     = "localhost";
　　　　　$alert_port     = "";
　　　　　$alert_user     = "***";
　　　　　$alert_password = "***";



19. http://localhost/~acid/ を開いてみると Warning: が出てると思われる
　　下の方に Setup page へのリンクあるので移動する



20. ACID Setup の画面で Create ACID AG なるボタンがあるので押す
　　　Successfully created 'acid_ag'
　　　Successfully created 'acid_ag_alert'
　　　Successfully created 'acid_ip_cache'
　　ってなメッセージがでるはず
　　※acid_common.php の function RegisterGlobalState() が働いてくれない（謎
　　　いいのかぁ… 別途検討の必要あり（涙



不満も残るがいったん完了
,,,,,,,