Site web de vulgarisation informatique à propos de Linux et des logiciels libres

J'avais tout d'abord dans l'id�e de monter un serveur apache avec certaines donn�es sensibles mais n�anmoins accessibles au web et que je placerai dans un r�pertoire s�curis� . Apr�s diverses recherches ,il appara�t que la protection par .htaccess ,ou bien par authentification http (via un script php) fait transiter les donn�es en clair par le protocole http et n'offre pas une s�curisation bien �lev�e . Je me suis donc orient� vers une solution m�nageant la ch�vre et le chou : un acc�s normal via http pour mon site d'aide , accessible sans mot de passe ,ni protection. un acc�s via https, pour mon autre site ,accessible a des personnes bien d�finies. J'en profiterai ensuite pour monter un des plus utilis�s des d�tecteurs d'intrusions, snort dont je lirais les r�sultats � l'aide de Mysql et de BASE , un moteur d'analyse bas� sur le code source d'acid.

Pr�requis pour l'installation du LAMP:

J'ai toujours appr�cie de compiler apache,php et mysql,afin de pouvoir affiner ult�rieurement ma configuration (rajout de modules apache), de pouvoir b�n�ficier des derni�res mise-�-jour et aussi parce que j'ai du mal � determiner ou RPM place ses fichiers . On me r�torquera ais�ment sans doute que pour la plupart des utilisateurs une installation via urpmi ou apt-get s'avererait plus conviviale ,ceci peut faire l'objet d'un second tutoriel.

Procurez vous donc les applications sources suivantes :
httpd-2.0.54
php-5.0.5/
mysql-4.1.13
Et les paquetages installables via urpmi : openssl openssl-devel
zlib1-1.2.3-1mdk : librairie zlib
zlib1-devel-1.2.3-1mdk
libpng3-devel-1.2.8-1mdk : librairie png
libpng3-1.2.8-1mdk
libjpeg62-devel-6b-37mdk : librairie jpeg jpeg-progs-6b-37mdk
libjpeg62-6b-37mdk
flex
libxml2-devel

Installation:

1/Mysql

shell> groupadd mysql
shell> useradd -g mysql mysql
shell> gunzip < mysql-VERSION.tar.gz | tar -xvf -
shell> cd mysql-VERSION
shell> ./configure --prefix=/usr/local/mysql
shell> make
shell> make install
shell> cp support-files/my-medium.cnf /etc/my.cnf
shell> cd /usr/local/mysql
shell> bin/mysql_install_db --user=mysql
shell> chown -R root .
shell> chown -R mysql var
shell> chgrp -R mysql .
shell> bin/mysqld_safe --user=mysql &

si il y a une erreur au lancement If faut modifier dans le fichier my.cnf la ligne #tmpdir=/tmp/ (en tant que commentaire vu le #)

2/apache

cd httpd-2.0.54
make distclean
./configure --prefix=/usr/local/apache2 --enable-ssl --enable-mods-shared=all
make
make install
Apache doit �tre configur� avec l'option --enable-ssl

3/php

tar -vzxf php-5.0.5.tar.gz
cd php-5.0.5
./configure --with-mysql=/usr/local/mysql --with-apxs2=/usr/local/apache2/bin/apxs --with-zlib=/usr --with-gd --with-png=/usr/lib --with-jpeg-dir=/usr/lib --enable-png --enable-jpeg --with-ttf --enable-gd-native-ttf --enable-dbase --with-dom=shared --with-dom-xslt=shared --with-dom-exslt=shared --with-iconv
make
make install
cp php.ini-dist /usr/local/lib/php.ini

Ssl:

Avant de d�marrer le serveur apache, vous devez toutefois cr�er les certificats pour apache ssl Voici quelques �tapes basiques pour faire un certificat auto-sign� a des fins de tests
1/ mkdir ssl; chown root:root ssl; chmod 700 ssl; cd ssl
cr�er un r�pertoire prot�g� pour ssl ou on mettre les fichiers KEY, CSR, et CRT
2/ openssl genrsa -des3 1024 > www.xxx.com.key
G�n�rer la clef. Si vous ne d�sirez pas faire un certificat r�el, ce fichier est tr�s important. Ne le perdez pas et ne laissez pas dans de mauvaises mains. Cela vous co�tera au moins un nouveau certificat et le piratage de vos donn�es prot�g�es par la paire certificat/cl�. Note au sujet des 3 options: sp�cification de l'option permettant d'encrypter ult�rieurement la cl� avec une pass phrase. Cela offre une protection accrue, car m�me si la cl� est vol�e ,on est encore prot�g�. Cela a pour inconv�nient a chaque fois qu'on d�marre le serveur (apachectl startssl), d'�tre physiquement devant la console et d'entrer la pass phrase
3/ openssl req -new -key www.xxx.com.key > www.xxx.com.csr
Cr�ation du Certificat Signing Request (CSR). Le Common Name (CN) sp�cifi� ici doit concorder avec l'adresse du serveur, (server.com et www.server.com sont par exemple diff�rents).
4/ openssl req -x509 -days 30 -key www.xxx.com.key -in www.xxx.com.csr > www.xxx.com.crt
Auto-signe votre certificat comme si vous �tiez un Certificate Authority (CA).
5/ chown root.root *; chmod 400 * Protection ult�rieure des fichiers KEY, CSR et CRT

Configuration apache pour ssl et virtual host

Il vous faut maintenant modifier votre fichier ssl.conf d'apache2 pour tenir compte du chemin de ces nouveaux fichiers:
#SSLCertificateFile /usr/local/apache2/conf/ssl.crt/server-dsa.crt
deviendra chez moi
SSLCertificateFile /home/deny/ssl/www.mesvoyages.org.crt et de m�me pour
SSLCertificateKeyFile /home/deny/ssl/www.mesvoyages.org.key

Configurer ensuite vos virtuals hosts J'ai d�sir� ,pour ma part ,configurer un nom de domaine en http , et un autre en https Le https est configur� de la sorte dans ssl.conf

#afin de binder le port https
# General setup for the virtual host
DocumentRoot "/home/user/host"
ServerName www.mondomaine.org:443
ServerAdmin admin@toto.net
ErrorLog /home/user/host/error_log
TransferLog /home/user/host/access_log
# SSL Engine Switch:
# Enable/Disable SSL for this virtual host.
SSLEngine on

etc..............
et mon second en mode non s�curis� est configur� de la sorte dans httpd.conf:

ServerAdmin admin@toto.net
DocumentRoot /home/user/host
ServerName linux-pour-lesnuls.com
ErrorLog /home/user/error_log
CustomLog /home/user/access.log combined

Ne pas oublier de relancer apache avec un : /usr/local/apache2/bin/apachectl startssl

Installation de snort

C'est un excellent "syst�me de d�tection d'intrusion r�seau" (NIDS) qui cherche les signatures dans les paquets, et si il voit une signature ressemblant � celle d'une attaque il peut faire diverses actions pr�d�finies.
prerequis :
pcre,libpcap0 et libpcap0-devel mysql-client mysql-devel � installer via urpmi
urpmi snort-mysql
J'obtiens ce message:
Pour satisfaire les d�pendances, les 3 paquetages suivants vont �tre install�s (12 Mo):
libmysql14-4.1.12-3mdk.i586
snort-2.3.3-2mdk.i586
snort-mysql-2.3.3-2mdk.i586
Est-ce correct�? (O/n) o

Je lance snort � fin de test:
[root@ip-169 deny]# /usr/sbin/snort-mysql -c /etc/snort/snort.conf

ERROR: database: mysql_error: Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2) Fatal Error, Quitting..

G�n�ralement les param�tres pour corriger ce genre d'erreur sont situ�s dans /etc/my.cnf
En ouvrant ce fichier je vois ceci:

The following options will be passed to all MySQL clients
[client]
#password = your_password
port = 3306
socket = /tmp/mysql.sock

Il me suffit alors de faire un lien symbolique pour se connecter d'une socket � l'autre
ln -s /tmp/mysql.sock /var/lib/mysql/mysql.sock'

Ensuite je r�it�re ma commande
/usr/sbin/snort-mysql -c /etc/snort/snort.conf

pour obtenir en retour :
database: mysql_error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'schema' at line 1 database: schema version = 0

Un petit mail sur la liste de snort et l'on me conseille d'upgrader vers la version 2.4.3 ,ou ce bug a �t� r�solu
urpme snort snort-mysql : parfois la simplicit� n 'est pas la solution la meilleure !
Nous allons donc tenter une compilation , et nous rendre sur le site de snort http://www.snort.org/dl/
et t�l�charger la derni�re version source que nous placerons ensuite dans notre r�pertoire /usr/local

mv snort-2.4.3.tar.gz /usr/local
gunzip snort-2.4.3.tar.gz
tar xvf snort-2.4.3.tar
cd snort-2.4.3
./configure --with-mysql=/usr/local/mysql
make
make install

T�l�chargement des r�gles de snort

Ensuite nous allons nous occuper du t�l�chargement des r�gles de snort et cerise sur le g�teau, nous allons mettre en place un script qui plac� dans un crontab , fera pour nous les mises-�-jour
Rendons nous sur le site de snort pour acceder aux r�gles et surtout nous inscrire afin de pouvoir b�n�ficier gratuitement des mises � jour :
http://www.snort.org/pub-bin/downloads.cgi

Dans le lien de t�l�chargement des r�gles qui correspondent � votre version de snort (ici on parle de la 3.4), cliquez sur download : il vous sera propos� de vous enregistr� sur le site .
Ensuite entrez votre login/pass d'enregistrement dans le champ account et cliquez sur le bouton d'ajout de code pour g�n�rer votre code snort unique: par exemple aeb23dec4b5bf91b6ca0eb085aac159b4b3af0a2 (vous entrerez bien entendu votre propre code � la place de celui propos� pour les besoins de l'exemple .

Nous allons � pr�sent nous procurer le script oinkmaster ,qui t�l�chargera d'apr�s ce code les derni�res r�gles de snort

http://prdownloads.sourceforge.net/oinkmaster/oinkmaster-1.2.tar.gz?download
mv /home/deny/oinkmaster-1.2.tar.gz /usr/src/
cd /usr/src
tar xzvf oinkmaster-1.2.tar.gz
cd oinkmaster-1.2
cp oinkmaster.pl /usr/local/bin/
cp oinkmaster.conf /etc/

A pr�sent il nous faudra modifier le fichier oinkmaster.conf pour qu'il pointe vers l'url de snort ou nous t�l�chargerons nos r�gles :
url = http://www.snort.org/pub-bin/oinkmaster.cgi//snortrules-snapshot-2.4.tar.gz
Ensuite lancez le script:
/usr/local/bin/oinkmaster.pl -o /usr/local/snort-2.4.3/etc/rules/
qui cr�era ou modifiera nos r�gles snort

Configuration de snort

Ensuite il va nous falloir configurer le fichier de configuration de snort :
snort.conf A la ligne :
output database:log,mysql,user=root password=test dbname=SNORT host=localhost
remplacez par les identifiants mysql pour snort
output database:log,mysql,user=user_snort password=snort_pwd dbname=snort host=localhost

La prochaine �tape sera la cr�ation d'une base de donn�e pour snort :
cd /usr/local/snort*/schemas
mysql -u root -p
create database snort; Cr�ation de la base de donn�es snort
use mysql;
grant insert,select on root.* ton snort@localhost;
set password for snort@localhost=PASSSWORD('password_de_snort.conf');
grant create,insert,delete,update ON snort.* TO user_snort@localhost;
grant create,insert,delete,update ON snort.* TO user_snort;
use snort; on se place dans la base o� l'on veut cr�er les tables pour SNORT
Source create_mysql
Vous devriez v�rifier dans phpMyAdmin ,database snort ,que les tables ont bien �t� cr��es

Installation de base

BASE est un moteur d'analyse et de s�curit� bas� sur le code source d'ACID , moins s�curis�
T�l�charger base: http://sourceforge.net/project/showfiles.php?group_id=103348
et adodb :http://sourceforge.net/project/showfiles.php?group_id=42718

Attention ici il va vous falloir cr�er un r�pertoire s�curis� (avec un .htaccess) pour pouvoir y installer et surtout lire les r�sultats de snort sans risquer d'intrusion .
j'ai donc cr�er pour le besoin un r�pertoire secure � la racine de mon site web ou j'ai ensuite plac� adodb et base

cd /var/www
mkdir secure
tar xvzf adodb462.tgz
tar xvzf base-1.1.2.tar.gz
mv base-1.1.2 base

et bien sur n'oubliez pas de supprimer les fichiers tar.gz de la racine de votre site

Configuration de base

On va passer maintenant � la configuration de base :

cp base_conf.php.dist base_conf.php
Editer le fichier copi� et ajustez :

$BASE_urlpath = "base";
$DBlib_path = "/var/www/secure/adodb/";
$DBtype = "mysql";
$alert_dbname = "snort_base";
$alert_host = "localhost";
$alert_port = "";
$alert_user = "snort_user";
$alert_password = "snort_password";

Vous pouvez d�sormais lancer base depuis /var/www/secure/base
et cliquer sur le lien setup pour mettre en place les tables.
En cliquant sur le lien du fond de la page principale vous acc�der � base

Lancement de snort

Ensuite le grand moment du lancement de snort:

/usr/local/snort*/src/snort -c /usr/local/snort-2.4.3/etc/snort.conf
/usr/local/snort-2.4.3/src/snort: error while loading shared libraries: libmysqlclient.so.15: cannot open shared object file: No such file or directory
Et pourtant j'ai mis mysql-client dans les pr�-requis et cette fameuse librairie est pr�sente sur mon syst�me

locate libmysqlclient.so.15
/usr/local/mysql-5.0.16/libmysql/.libs/libmysqlclient.so.15.0.0
/usr/local/mysql-5.0.16/libmysql/.libs/libmysqlclient.so.15
/usr/local/mysql/lib/mysql/libmysqlclient.so.15.0.0
/usr/local/mysql/lib/mysql/libmysqlclient.so.15

Un strace ./snort me trouve cette libmysqlsqlclient.so.15 dans des r�pertoires ou elle n'est visiblement pas install�e Un petit lien symbolique s'impose donc pour que snort retrouve sa librairie
ln -s /usr/local/mysql/lib/mysql/libmysqlsqlclient.so.15 directory /usr/lib
Ensuite ne pas oublier de relancer mysql et ........snort

Ne pas oublier de placer la ligne concernant le lancement du script oinkmaster dans un crontab
crontab -e
55 00 * * * /usr/local/bin/oinkmaster.pl -o /usr/local/snort-2.4.3/etc/rules/ > /dev/null 2>&1
Cette ligne ex�cutera la mise � jour � 00:55 chaque nuit. Bon linux !