○var HOME_NETの設定

#--------------------------------------------------
# http://www.snort.org Snort 1.8.1 Ruleset
# Contact: snort-sigs@lists.sourceforge.net
#--------------------------------------------------
# NOTE:This ruleset only works for 1.8.0 and later
#--------------------------------------------------

〜省略〜

#
# MAKE SURE YOU DON'T PLACE ANY SPACES IN YOUR LIST!
#
# or you can specify the variable to be any IP address
# like this:


var HOME_NET any ←ここを各自の環境に合わせて変更する。

 「any」はすべてのネットワークという意味になるが、すべてのネットワークを監視する設定を行うと、莫大なログが作成されてしまう。ここでは監視対象となるユーザーのネットワークを記述しておこう。たとえば、ネットワーク環境が「192.168.1.0/255.255.255.0」であれば例1のように記述する。またサーバ「192.168.1.7」のみを監視対象としたい場合には例2のように記述し、監視対象が複数台(192.168.1.3と192.168.1.7など)であれば、例3のようにカンマ区切りで記述した内容を[ ]でくくればよい。

例1:192.168.1.0ネットワークを監視したい場合
var HOME_NET any

var HOME_NET 192.168.1.0/24

※複数のネットワークの場合は[192.168.0.0/24,192.168.1.0/24]のように[ ]でくくって記述する

例2:192.168.1.7がサーバである場合
var HOME_NET any

var HOME_NET 192.168.1.7/32

例3:192.168.1.3と192.168.1.7を監視対象とする場合
var HOME_NET any

var HOME_NET [192.168.1.7/32,192.168.1.7/32]

○var EXTERNAL_NETの設定

 先ほどのsnort.confの途中にある

# Set up the external network addresses as well.
# A good start may be "any"

var EXTERNAL_NET any ←外部のネットワーク

で、外部ネットワークの設定を行う。「EXTERNAL_NET」は外部ネットワークを指す、初期設定では「any」になっているためそのまま利用すしてもかまわないが、HOME_NETで設定したネットワーク以外を外部ネットワークに設定したい場合は、「!$HOME_NET」として例4のように記述する。

例4:EXTERNAL_NETをHOME_NET以外とする場合
var EXTERNAL_NET any

var EXTERNAL_NET !$HOME_NET

 あとはWebサーバやメールサーバの設定だ。初期設定ではHOME_NETで設定したネットワークが対象となる。環境に合わせて例2例3を参考に、サーバのアドレスを記述していこう。たとえば、SMTPサーバが192.168.1.7であれば、「var SMTP 192.168.1.7/32」と記述する。

# Set up your SMTP servers, or simply configure them
# to HOME_NET

var SMTP $HOME_NET
↑各自の環境に合わせて変更する。以下同様にvar HTTP_SERVERS(ウェブサーバ)、var SQL_SERVERS(SQLサーバ)、var DNS_SERVERS(DNSサーバ)を変更する

〜省略〜

var RULE_PATH ./
↑先ほどコピーを行ったルールセットのパスの指定。ここでは/etc/snortにコピーしたため「./」のままでよいが、ほかの場所へコピーしたときは変更する

○ログディレクトリの作成

 Snortのログを保存するディレクトリを作成する。初期設定のまま使用するのであれば、ログは「/var/log/snort」以下に保存されるため、/var/log/snortディレクトリを作成し、パーミッションを変更する。

# mkdir /var/log/snort
# chmod 700 /var/log/snort

○Snort専用ユーザの作成

 Snortの専用ユーザ「snort」を作成し、ディレクトリの所有者を変更する。

# groupadd snort
# useradd -g snort -d /dev/null -c "Snort User" -s /bin/false snort
# chown -R snort.snort /etc/snort /var/log/snort

PREV 3/4 NEXT


Special

- PR -

Special

- PR -