PulledPork

PulledPork für die Snort- und Suricata-Regelverwaltung (von Google Code)

Finde uns auf Libera.Chat (IRC) #pulledpork

Vielen Dank, dass Sie sich für PulledPork entschieden haben! Diese Datei bietet einige grundlegende Anleitungen zur Verwendung von PulledPork. Bitte lesen Sie diese Datei gründlich, damit Sie nichts übersehen!

Funktionen und Fähigkeiten

Automatisches Herunterladen, Parsen, Zustandsänderung und Regeländerung für alle Ihre Snort-Regelsätze.
Prüfsummenverifizierung für alle wichtigen Regel-Downloads.
Automatische Generierung einer aktualisierten sid-msg.map-Datei.
Möglichkeit, Ihre local.rules in die sid-msg.map-Datei aufzunehmen.
Möglichkeit, Regel-Tarballs von benutzerdefinierten URLs zu ziehen.
Vollständige Shared-Object-Unterstützung.
Vollständige IP-Reputationslisten-Unterstützung.
Möglichkeit, mehrere unterschiedliche Regelsätze gleichzeitig herunterzuladen.
Führt ein genaues Änderungsprotokoll.
Möglichkeit, Prozesse nach dem Herunterladen und Verarbeiten von Regeln mit HUP zu beenden.
Hilft bei der Feinabstimmung von Regelsätzen.
Ausführliche Ausgabe, damit Sie GENAU wissen, was passiert.
Minimale Perl-Modul-Abhängigkeiten.
Unterstützung für Suricata- und ETOpen/ETPro-Regelsätze.
Ein süßer, rauchiger Geschmack im gesamten Schweinefleisch!

Referenz zur Befehlsnutzung

Usage: pulledpork.pl [-dEgklnRTPVvv? -help] -c <config filename> -o <rule output path>
 -O <oinkcode> -s <so_rule output directory> -D <Distro> -S <SnortVer>
 -p <path to your snort binary> -C <path to your snort.conf> -t <sostub output path>
 -h <changelog path> -H <signal_name> -I (security|connectivity|balanced) -i <path to disablesid.conf>
 -b <path to dropsid.conf> -e <path to enablesid.conf> -M <path to modifysid.conf>
 -r <path to docs folder> -K <directory for separate rules files>

 Options:
 -help/? Print this help info.
 -b Where the dropsid config file lives.
 -C Path to your snort.conf
 -c Where the pulledpork config file lives.
 -d Do not verify signature of rules tarball, i.e. downloading fron non VRT or ET locations.
 -D What Distro are you running on, for the so_rules
    For latest supported options see http://www.snort.org/snort-rules/shared-object-rules
    Valid Distro Types:
	Alpine-3-10
	Centos-6, Centos-7, Centos-8
	Debian-8, Debian-9, Debian-10
	FC-27, FC-30
	FreeBSD-11, FreeBSD-12
	OpenBSD-6-2, OpenBSD-6-4, OpenBSD-6-5 
	OpenSUSE-15-0, OpenSUS-15-1, OpenSUSE-42-3
	RHEL-6, RHEL-7, RHEL-8
	Slackware-14-2
	Ubuntu-14-4, Ubuntu-16-4, Ubuntu-17-10, Ubuntu-18-4
 -e Where the enablesid config file lives.
 -E Write ONLY the enabled rules to the output files.
 -g grabonly (download tarball rule file(s) and do NOT process)
 -h path to the sid_changelog if you want to keep one?
 -H Send signal_name to the pids listed in the config file (SIGHUP or SIGUSR2)
 -I Specify a base ruleset( -I security,connectivity,or balanced, see README.RULESET)
 -i Where the disablesid config file lives.
 -k Keep the rules in separate files (using same file names as found when reading)
 -K Where (what directory) do you want me to put the separate rules files?
 -l Log Important Info to Syslog (Errors, Successful run etc, all items logged as WARN or higher)
 -L Where do you want me to read your local.rules for inclusion in sid-msg.map
 -m where do you want me to put the sid-msg.map file?
 -M where the modifysid config file lives.
 -n Do everything other than download of new files (disablesid, etc)
 -o Where do you want me to put generic rules file?
 -O Define the oinkcode on the command line (necessary for some users)
 -p Path to your Snort binary
 -P Process rules even if no new rules were downloaded
 -R When processing enablesid, return the rules to their ORIGINAL state
 -r Where do you want me to put the reference docs (xxxx.txt)
 -S What version of snort are you using (2.8.6 or 2.9.0) are valid values
 -s Where do you want me to put the so_rules?
 -T Process text based rules files only, i.e. DO NOT process so_rules
 -u Where do you want me to pull the rules tarball from
    ** E.g., ET, Snort.org. See pulledpork config rule_url option for value ideas
 -V Print Version and exit
 -v Verbose mode, you know.. for troubleshooting and such nonsense.
 -vv EXTRA Verbose mode, you know.. for in-depth troubleshooting and other such nonsense.
 -w Skip the SSL verification (if there are issues pulling down rule files)
 -W Where you want to work around the issue where some implementations of LWP do not work with pulledpork's proxy configuration.

Beispiele zur grundlegenden Verwendung

Ein einfaches Beispiel für die Verwendung von PulledPork ist, alle Ihre Konfigurationsanweisungen in der PulledPork.conf-Datei anzugeben. Für die minimale Funktion, d.h. KEINE Shared-Object-Regelverarbeitung, müssen Sie mindestens die Werte rule_file, oinkcode, temp_path, tar_path und rule_path definieren. Nachfolgend einige Beispiele hierfür.

./pulledpork.pl -o /usr/local/etc/snort/rules/ -O 12345667778523452344234234 \
  -u http://www.snort.org/reg-rules/snortrules-snapshot-2973.tar.gz \
  -i disablesid.conf -T -H

Das obige Beispiel holt den Tarball snortrules-snapshot-2973.tar.gz von snort.org unter Verwendung des angegebenen oinkcode 12345667778523452344234234 und legt die Regeldateien aus diesem Tarball im Ausgabepfad /usr/local/etc/snort/rules/ ab, während die Option -i PulledPork mitteilt, wo die disablesid.conf liegt, die Option -T weist PulledPork an, keine Shared-Object-Regeln zu verarbeiten, und die letzte Option -H weist PulledPork an, ein Hangup-Signal an die Snort-PID zu senden, die Sie in der pulledpork.conf definiert haben.

./pulledpork.pl -c pulledpork.conf -i disablesid.conf -T -H

Ähnlich wie im ersten Beispiel, aber alle Optionen (außer disablesid und -H) werden in der pulledpork.conf-Datei angegeben...

./pulledpork.pl -c pulledpork.conf -i disablesid.conf \
  -m /usr/local/etc/snort/sid-msg.map -Hn

Das obige Beispiel liest einfach die disablesid und deaktiviert wie definiert, sendet dann ein Hangup-Signal, nachdem die sid-msg.map am angegebenen Ort generiert wurde, ohne etwas herunterzuladen. Sehr nützlich beim Tuning / Ändern von Einstellungen usw.

Nächstes Beispiel: Snort inline mit Regeln, die wir droppen und deaktivieren möchten, dann HUP unserer Dienste nach dem Erstellen einer sid-msg.map und dem Schreiben von Änderungsinformationen in sid_changes.log!

./pulledpork.pl -c pulledpork.conf -i disablesid.conf -b dropsid.conf \
  -m /usr/local/etc/snort/sid-msg.map -h /var/log/sid_changes.log -H

Nächstes Beispiel: wie das vorherige, aber mit der Angabe, dass wir den standardmäßigen „Security“-basierten Regelsatz verwenden möchten und dass wir die in enablesid.conf angegebenen Regeln aktivieren möchten.

./pulledpork.pl -c pulledpork.conf -i disablesid.conf -b dropsid.conf \
  -e enablesid.conf -m /usr/local/etc/snort/sid-msg.map \
  -h /var/log/sid_changes.log -I security -H

Nächstes Beispiel: wie das vorherige, aber mit der Angabe, dass wir -K (Keep) die ursprünglichen Tarball-Namen beibehalten und sie nach /usr/local/etc/snort/rules/ schreiben möchten.

./pulledpork.pl -c pulledpork.conf -i disablesid.conf -b dropsid.conf \
  -e enablesid.conf -m /usr/local/etc/snort/sid-msg.map \
  -h /var/log/sid_changes.log -I security -H -K /usr/local/etc/snort/rules/

Für Benutzer von Suricata sind die gleichen Schritte für den Speicherort Ihrer Installationsdateien erforderlich, aber alles, was PulledPork zur Verarbeitung von Regeldateien benötigt, ist das Setzen der -S-Flagge auf suricata-3.1.3 oder die von Ihnen verwendete Suricata-Version.

./pulledpork.pl -c pulledpork.conf -S suricata-3.1.3

pulledpork

Beliebteste

PulledPork

Funktionen und Fähigkeiten

Referenz zur Befehlsnutzung

Beispiele zur grundlegenden Verwendung