Netzwerk-Überwachung mit Snort

Einrichtung von Snort unter WHAX

Für einen ersten Start von Snort reicht es, wenn Sie die Live-CD booten und das Menü „Utilities / Snort / Setup and Start Snort“ aufrufen. Dabei ist eine kleine Besonderheit zu beachten: Das Script fragt zwar nach den MySQL-Benutzernamen für snort und root, eigentlich meint es jedoch die Passwörter für die beiden Accounts.

Das stellt solange kein Problem dar, wie Sie Snort nur testweise auf dieser Maschine laufen lassen. Es kann aber schnell zur Fußangel werden, wenn Sie beispielsweise zusätzliche Snort-Sensoren einrichten oder den MySQL-Administrator installieren wollen. Möchten Sie später einen Rechner fix mit Snort laufen lassen, sollten Sie zunächst WHAX von der Live-CD auf der Festplatte installieren.

Im nächsten Schritt editieren Sie die beiden Scripts /usr/bin/initialise-snort.sh und /usr/bin/start-snort.sh. Dort ist in der Zeile, in der MySQL gestartet wird, der Parameter --bind 127.0.0.1 zu entfernen. Ansonsten lässt MySQL nur Verbindungen vom localhost zu, entfernte Sensoren können also ihre Ergebnisse nicht in der Datenbank eintragen.