Audit et definition de la politique de sécurité du réseau informatique de la first bank

6. DETECTION D'INTRUSIONS AVEC « SNORT »

Snort est un projet Open Source de détection d'intrusion sur le réseau open-source  fonctionnant sur les systèmes Windows et Linux. Capable d'analyser en temps réel le trafic et de consigner le transit des paquets de données sur le réseau IP, il peut réaliser une analyse de protocole, une recherche sur le contenu et peut être utilisé pour détecter un nombre important d'attaques réseau connues et permet ainsi d'alerter quant aux tentatives d'intrusion sur votre réseau.

Nous avons utilisé dans nos travaux une version linux de Snort disponible sur la distribution Debian version 4.

Les étapes d'installation de snort sont les suivantes :

§ les prérequis pour l'installation de snort,

§ ' installation de snort,

§ test de fonctionnement,

§ liaison snort avec mysql,

§ ' mise en place d'ACID (Interface php pour visualiser les logs snort).

6.1. LES PRÉREQUIS POUR L'INSTALLATION DE SNORT

Les packages suivants sont requis pour le fonctionnement de snort sur linux debian 4 :

§ mysql-server-5.0,

§ mysql-client-50,

§ php5-mysql,

§ apache2.

Remarque : sur Debian, il suffit de taper la commande apt-get install nom_du_paquet

6.2. INSTALLATION DE L'OUTIL SNORT

Vous pouvez  télécharger snort, paquet source ou binaire, à partir du site officiel: http://www.snort.org/ .     

Dans un terminal shell exécutez les commandes suivantes :

À partir de source	À partir du binaires
# tar -xzvf snort-x.x.x # cd snort-x.x.x # make # cd make install	# rpm -ivh snort-mysql-2.6.x.rpm

Sur Debian il suffit juste d'exécuter la commande apt-get install snort.

Après l'installation, nous allons actuellement installer les règles de snort. Ces règles peuvent être téléchargées à partir de l'adresse suivante : http://www.snort.org/.

La mise à jour de ces règles lorsqu'on n'utilise pas la version commerciale de snort est décalée d'un mois.

# cp snort-pr-x.x.tar.gz  /etc/snort

# cd /etc/snort

# tar  -xzvf  snort-pr-x.x.tar.gz

Les règles sont installées dans /etc/snort/rules. Maintenant, il faut éditer le fichier de configuration snort (/etc/snort/snort.conf) et spécifier le réseau sur lequel l'IDS travaille. Il faut pour cela modifier les variables suivantes:

«var HOME_NET any» à «var  HOME_NET 192.168.99.0/24» (Selon votre plage)

«var EXTERNAL_NET any» à «var EXTERNAL_NET !$HOME_NET» (On ne fait confiance à aucun réseau)

«var DNS_SERVERS $HOME_NET» à «var  HOME_NET 195.24.194.177» (Adresse de notre DNS)

«var RULE_PATH» à «var RULE_PATH /etc/snort/rules»

Il convient de choisir les règles de détection à activer selon l'environnement à surveiller, en commentant ou décommentant les lignes d'appels des règles.