Snort 2.2.0 que não funciona

[Boitata]

Boas!

Instalei o snort 1.9.0; funcionou legal.

Agor instalei a versão 2.2.0, com libpcap 0.8.3, em um CL 8, mas dá pau, com a seguinte mensagem:

Log directory = /var/log/snort

Initializing Network Interface eth0
using config file ./snort.conf
Initializing Preprocessors!
Initializing Plug-ins!
Initializating Output Plugins!
Parsing Rules file ./snort.conf

+++++++++++++++++++++++++++++++++++++++++++++++++++
Initializing rule chains...

*WARNING*: unknown preprocessor "flow", ignoring!

No arguments to frag2 directive, setting defaults to:
Fragment timeout: 60 seconds
Fragment memory cap: 4194304 bytes
Stream4 config:
Stateful inspection: ACTIVE
Session statistics: INACTIVE
Session timeout: 30 seconds
Session memory cap: 8388608 bytes
State alerts: INACTIVE
Scan alerts: INACTIVE
Log Flushed Streams: INACTIVE
No arguments to stream4_reassemble, setting defaults:
Reassemble client: ACTIVE
Reassemble server: INACTIVE
Reassemble ports: 21 23 25 53 80 143 110 111 513
Reassembly alerts: ACTIVE
Reassembly method: FAVOR_OLD

*WARNING*: unknown preprocessor "http_inspect", ignoring!


*WARNING*: unknown preprocessor "http_inspect_server", ignoring!

Error: Unknown config: reference
Fatal Error, Quitting..

Alguém pode me ajudar?

[PiTsA]

atualize suas rulez.... vc atualizo o snort mas esqueceu delas....

http://www.snort.org/dl/rules/snortr...CURRENT.tar.gz

[Boitata]

PiTsA:

Atualizei as rules, mas o que consegui foi mudar de erro:


*WARNING*: unknown preprocessor "http_inspect", ignoring!


*WARNING*: unknown preprocessor "http_inspect_server", ignoring!


*WARNING*: unknown preprocessor "sfportscan", ignoring!

Error: Unknown config: reference
Fatal Error, Quitting..

[PiTsA]

vc usa esses preprocessor? se não usa, desabilite eles no snort.conf...

[Boitata]

PiTsA:

Fiz isso. O erro agora ficou mais interessante:

Initializing rule chains...
ERROR: Unable to open rules file: /root/.snortrc or /root//root/.snortrc
Fatal Error, Quitting..

Tem alguma idéia?

[Boitata]

Ainda a instalação do snort 2.2.0:

Todos os "paus" citados já foram resolvidos. Resta esse útimo (espero):

+++++++++++++++++++++++++++++++++++++++++++++++++++
Initializing rule chains...
Error: Unknown config: reference
Fatal Error, Quitting..

Na web não encontrei nada que ajudasse. Se alguém puder ajudar...

[PiTsA]

como vc ta inicializando o snort?

/usr/local/bin/snort -l /var/log/snort -c /etc/snort/snort.conf -D

(os paths acima podem estar diferentes na sua instalação)

[Boitata]

PiTsA:

Agora rodou. Estava inicializando o bicho sem a opção -D. Coisa de quem ainda não domina o assunto.

Valeu, muito obrigado!

P.S: Tem alguma sugestão do que é bom para "acompanhar" o snort? Gerador de relatórios, outros pacotes que rodem sobre/com ele?

[PiTsA]

dá uma pesquisada sobre utilizar o:

snort+mysql+apache+acid - isto é uma utilização clássica
snort+guardian - eficiente portscan