Ich hatte vor einiger Zeit versucht,
Snort auf den aktuellsten Stand zu bringen. Damit bin ich damals aber gescheitert, weil noch gar keine Regeln fuer die aktuellste Version verfuegbar waren (zumindest nicht, wenn man kein Geld bezahlt).
Nun habe ich heute geschaut und Regeln fuer die Version 2.8.6 waren vorhanden. Nachdem ich nun 2.8.6 neu kompiliert hatte, habe ich mir die neuen Regeln herunterladen. Und ich muss sagen, es hat sich einiges geaendert. Erstens muesst ihr komplett alle Regeln ersetzen. Ich habe meine Regeln unter dem Ordner /etc/snort/rules. Dort habe ich alle Regeln ersetzt und gesehen, dass zwei neue Verzeichnisse unter /etc/snort hinzukommen. Das Verzeichnis so_rules und preproc_rules. Diese sind bei den Regeln von snort mit dabei. Als naechstes musste ich in /etc/snort alle Konfigurationsdateien ersetzen. Nun nachdem ich dies gemacht hatte, habe ich mir die snort.conf angeschaut. Hier hat sich auch einiges geaendert. Sie kam mir vor allem kuerzer vor.
Hier musste ich meine Ordner fuer die Regeln anpassen, so dass diese auf die richtigen Verzeichnisse zeigen:
var RULE_PATH rules
var SO_RULE_PATH so_rules
var PREPROC_RULE_PATH preproc_rules
Als ich alle Port Einstellungen vorgenommen hatte, konnte Snort allerdings immernoch nicht starten. Es endete immer wieder mit einem Segmentation Fault. Ich habe mir dann die dynamic preprocessors angeschaut, die im Ordner /usr/local/lib/snort_dynamicpreprocessor/ liegen. Dort habe ich einen alten von der vorherigen Version gefunden und geloescht. Das waren die Dateien:
lib_sfdynamic_preprocessor_example.a
lib_sfdynamic_preprocessor_example.la
lib_sfdynamic_preprocessor_example.so
lib_sfdynamic_preprocessor_example.so.0
lib_sfdynamic_preprocessor_example.so.0.0.0
Nun endete aber ein Snort start immernoch mit einem Segmentation Fault. Dies lag an den dynamic rules in dem Ordner /usr/local/lib/snort_dynamicrules. Nachdem ich diese geloescht hatte, hab ich Snort noch einmal gestartet und siehe da, es startet.
Nun habe ich aber festgestellt, dass die Regeln noch sehr stark von mir angepasst werden muessen. Ich hatte Ossec so konfiguriert, dass es aufkommende Snort Alarme sofort in einem Bann umsetzt und was passiert natuerlich direkt? Meine SSH Verbindung hat einen Alarm ausgeloest und ich wurde gebannt. Und jetzt klingelt gerade mein Handy und mir wird mitgeteilt, dass das Internet zu Hause nicht mehr funktioniert (anscheinend wurden alle Benutzer direkt gebannt^^). Da muss ich wohl noch einiges anpassen