Installation Linux

Vorraussetzung: "Oinkcode"

• Um Pulled Pork nutzen zu können wird ein sog. "Oinkcode" benötigt, den man nur über eine Registrierung auf der Snortwebsite erhalten kann
• Nach der Anmeldung auf die E-Mail-Adresse mit der angemeldet wurde oben rechts in der Ecke klicken, danach links auf "Oinkcode" um diesen einsehen zu können

Vorraussetzung: Pearl-libs

• apt-get install -y libcrypt-ssleay-perl liblwp-useragent-determined-perl

Installation

wget https://github.com/finchy/pulledpork/archive/66241690356d54faa509625a78f80f326b75c339.tar.gz -O pulledpork-0.7.2-194.tar.gz
tar xvfvz pulledpork-0.7.2-194.tar.gz
mv pulledpork-66241690356d54faa509625a78f80f326b75c339 pulledpork-0.7.2-194
 
cd pulledpork-0.7.2-194/
sudo cp pulledpork.pl /usr/local/bin
sudo chmod +x /usr/local/bin/pulledpork.pl
sudo cp etc/*.conf /etc/snort

Erster Funktionstest

• root@schnabeltier:~$ /usr/local/bin/pulledpork.pl -V

PulledPork v0.7.2 - E.Coli in your water bottle!

Konfiguration

• vi /etc/snort/pulledpork.conf

Zeile 19 ändern zu: rule_url=https://www.snort.org/downloads/registered|snortrules-snapshot-2983.tar.gz|(hier den oinkcode eintragen)
Zeile 26 andern zu: rule_url=https://www.snort.org/reg-rules/|opensource.gz|(hier den oinkcode eintragen)
Zeile 74 ändern zu: rule_path=/etc/snort/rules/snort.rules
Zeile 89 ändern zu: local_rules=/etc/snort/rules/local.rules
Zeile 92 ändern zu: sid_msg=/etc/snort/sid-msg.map
Zeile 96 ändern zu: sid_msg_version=2
Zeile 119 ändern zu: config_path=/etc/snort/snort.conf
Zeile 133 ändern zu: distro=Ubuntu-12-04
Zeile 141 ändern zu: black_list=/etc/snort/rules/iplists/black_list.rules
Zeile 150 ändern zu: IPRVersion=/etc/snort/rules/iplists

Erster Manueller Start

• /usr/local/bin/pulledpork.pl -c /etc/snort/pulledpork.conf -l

Herrunter geladene Rules zu Snort hinzufügen

• vi /etc/snort/snort.conf

• In Zeile 577 den folgenden Text hinzufügen:

include $RULE_PATH/snort.rules

Änderungen in snort.conf testen

• snort -T -c /etc/snort/snort.conf -i eth0

Automatische Aktualisierung der Rules einrichten

• crontab -e und folgende Zeile hinzufügen:

01 04 * * * /usr/local/bin/pulledpork.pl -c /etc/snort/pulledpork.conf -l