PFSense com Snort
PFSense é um front-end para o PF (Packet Filter) do BSD, de fácil utilização. Neste artigo ensino como integrar o Snort (um poderoso sniffer) com o PFSense, que irá tomar a ação de bloquear o que o Snort considerar uma ameaça.
Parte 3: Monitorando e verificando erros
Bem, agora vamos esperar e aguardar olhando no log, na aba "Alerts". No meu caso já detectei uma atividade suspeita, de acordo com minhas regras editadas:
Caso você queira limpar o log, clique no botão "Clear log".
Bem, agora sabemos que tudo está rodando certo! Ou não!?
Para ter certeza, vamos fazer o seguinte. Rode o snort com um simples:
# /usr/local/etc/rc.d/snort.sh
Caso dê algum erro do tipo:
snort[12994]: FATAL ERROR: Dynamic detection lib /usr/local/lib/snort/dynamicrules//lib_sfdynamic_example_rule.so 1.0 isn't compatible with the current dynamic engine library /usr/local/lib/snort/dynamicengine/libsf_engine.so 1.10. The dynamic detection lib is compiled with an older version of the dynamic engine.
Apenas remova essa lib usando:
# rm /usr/local/lib/snort/dynamicrules/lib_sfdynamic_example_rule.so
Em caso de outro erro relacionado ao diretório "dynamicengine", este é causado porque no arquivo de configuração do Snort, o "snort.conf", diz que um dos diretórios das libs é o /usr/local/lib/snort/dynamicengine/, porém lá no arquivo temos:
/usr/local/lib/snort_dynamicengine/
Então ajuste isso de maneira simples, apagando o "_" (underline) e colocando "/" (barra).
Até a próxima. :)
Bem, agora sabemos que tudo está rodando certo! Ou não!?
Para ter certeza, vamos fazer o seguinte. Rode o snort com um simples:
# /usr/local/etc/rc.d/snort.sh
Caso dê algum erro do tipo:
snort[12994]: FATAL ERROR: Dynamic detection lib /usr/local/lib/snort/dynamicrules//lib_sfdynamic_example_rule.so 1.0 isn't compatible with the current dynamic engine library /usr/local/lib/snort/dynamicengine/libsf_engine.so 1.10. The dynamic detection lib is compiled with an older version of the dynamic engine.
Apenas remova essa lib usando:
# rm /usr/local/lib/snort/dynamicrules/lib_sfdynamic_example_rule.so
Em caso de outro erro relacionado ao diretório "dynamicengine", este é causado porque no arquivo de configuração do Snort, o "snort.conf", diz que um dos diretórios das libs é o /usr/local/lib/snort/dynamicengine/, porém lá no arquivo temos:
/usr/local/lib/snort_dynamicengine/
Então ajuste isso de maneira simples, apagando o "_" (underline) e colocando "/" (barra).
Até a próxima. :)