suricata Intrusion Detection stopt ermee

[dexter123]

OPNsense 17.1.2-i386

Hallo,

Ik ben een nieuwe lid en heb geen ervaring met de firewall. Zelfs na het updaten van de firewall stopt mijn intrusion detection binnen 1 minut ermee wie kan mij daar mee helpen zodat het altijd online blijft?

Gr Dex

[bartjsmit]

Hallo Dex,

Welke netwerkkaarten gebruik je? Er zijn al heel lang problemen met de Realtek drivers die nu langzaam aan wat beter gaan.

Hoeveel RAM is beschikbaar? Hoeveel cores? Een i386 platform heeft misschien te weinig vermogen om IDS erbij te doen.

Kijk ook eens in het log (system -> log file) of daar iets zinnigs staat.

Bart...

[dexter123]

Hallo Bart

Netwerkkaart is:
Intel PRO/1000 GT Dual Port Gigabit Ethernet PCIx Network Card

1GB Ram:
Memory usage    12 % ( 123/983 MB )

Het systeem is een Igel 5/3 mini pc.
Bij CPU type staat er:
CPU Type    VIA Nehemiah (1 cores)


Log file:
Feb 23 17:40:52    kernel: ukbd0: at uhub0, port 1, addr 2 (disconnected)
Feb 23 17:40:52    kernel: ugen0.2: <Dell> at usbus0 (disconnected)
Feb 23 17:26:09    opnsense: /index.php: Successful login for user 'root' from:
Feb 23 17:24:18    kernel:
Feb 23 17:24:18    kernel:
Feb 23 17:24:03    configd.py: generate template container OPNsense/Syslog
Feb 23 17:24:03    configd.py: generate template container OPNsense/Sample/sub2
Feb 23 17:24:03    configd.py: generate template container OPNsense/Sample/sub1
Feb 23 17:24:02    configd.py: generate template container OPNsense/Sample
Feb 23 17:23:58    configd.py: generate template container OPNsense/Proxy
Feb 23 17:23:57    configd.py: generate template container OPNsense/Netflow
Feb 23 17:23:57    configd.py: generate template container OPNsense/Macros
Feb 23 17:23:55    configd.py: generate template container OPNsense/IPFW
Feb 23 17:23:52    configd.py: generate template container OPNsense/IDS
Feb 23 17:23:52    configd.py: generate template container OPNsense/Cron
Feb 23 17:23:51    configd.py: generate template container OPNsense/Captiveportal
Feb 23 17:23:50    configd.py: generate template container OPNsense/Auth
Feb 23 17:23:49    sshlockout[42133]: sshlockout/webConfigurator v3.0 starting up
Feb 23 17:23:49    kernel: done.
Feb 23 17:23:49    configd.py: [9ebe0631-d186-4c26-9534-ccc5b274069c] generate template *
Feb 23 17:23:46    root: /etc/rc.d/hostid: WARNING: hostid: unable to figure out a UUID from DMI data, generating a new one
Feb 23 17:23:46    configd.py: generate template container OPNsense/Syslog
Feb 23 17:23:45    kernel: done.
Feb 23 17:23:45    configd.py: [b1212ef3-5d95-41fb-9746-a37d5e36bd09] generate template OPNsense/Syslog
Feb 23 17:23:45    opnsense: /usr/local/etc/rc.bootup: The command '/usr/sbin/powerd -b 'hadp' -a 'hadp' -n 'hadp'' returned exit code '69', the output was 'powerd: no cpufreq(4) support -- aborting: No such file or directory'
Feb 23 17:23:45    kernel: done.
Feb 23 17:23:42    kernel: deferred.
Feb 23 17:23:42    kernel: done.
Feb 23 17:23:42    opnsense: /usr/local/etc/rc.bootup: miniupnpd: Starting service on interface: lan
Feb 23 17:23:42    kernel: .done.
Feb 23 17:23:42    kernel: ..
Feb 23 17:23:41    kernel: .
Feb 23 17:23:41    kernel: .
Feb 23 17:23:37    kernel: done.
Feb 23 17:23:37    kernel: done.
Feb 23 17:23:36    kernel: done.
Feb 23 17:23:36    kernel: done.
Feb 23 17:23:35    opnsense: /usr/local/etc/rc.bootup: ROUTING: setting IPv4 default route to 89.98.103.1
Feb 23 17:23:35    kernel: done.
Feb 23 17:23:35    lighttpd[67792]: (log.c.217) server started
Feb 23 17:23:35    kernel: done.
Feb 23 17:23:34    kernel: .done.
Feb 23 17:23:34    kernel: ..
Feb 23 17:23:34    kernel: .
Feb 23 17:23:21    kernel: pflog0: promiscuous mode enabled
Feb 23 17:23:19    kernel: done.
Feb 23 17:23:19    opnsense: /usr/local/etc/rc.bootup: The command '/sbin/route delete -host 208.67.222.222' returned exit code '1', the output was 'route: route has not been found delete host 208.67.222.222 fib 0: not in table'
Feb 23 17:23:19    opnsense: /usr/local/etc/rc.bootup: The command '/sbin/route delete -host 208.67.220.220' returned exit code '1', the output was 'route: route has not been found delete host 208.67.220.220 fib 0: not in table'
Feb 23 17:23:15    configd.py: [139530ba-3834-463e-9912-1ae374abba18] Linkup starting em1
Feb 23 17:23:15    kernel: em1: link state changed to UP

Gr, Dex

[bartjsmit]

Hoi Dex,

Geen grote fan van de VIA chipsets. Heb je de mogelijkheid om dezelfde configuratie te testen op een PC met een wat groter denkraam? Daardoor kun je tenminste de software en de netwerkkaart uitsluiten.

Probeer ook om Suricata te starten en te laten omvallen om te zien of dat in het log verschijnt. Je log uitdraai heeft niets voor IDS.

Bart...

[dexter123]

Hallo Bart,

ik krijg geen melding van het uitvalt alleen dat die start:

Feb 23 22:27:09    configd.py: [4ca7425b-6959-4655-beed-5a6823ca562d] start suricata daemon
Feb 23 22:24:36    configd.py: [fb57dbae-e933-4e97-9916-0a51349b8030] start suricata daemon
Feb 23 22:16:36    configd.py: [47dfa5b3-316d-4a5a-a96a-87bc024d9efc] start suricata daemon

Ik heb ook geen ander systeem om het te testen.

Gr Dex

[franco]

# cat /var/log/suricata.log

Bedankt,
Franco

[franco]

https://forum.opnsense.org/index.php?topic=4527.msg17957#msg17957

[dexter123]

Bedankt voor de reactie, maar zoals ik al zei ik geen ervaring met de server.

Ik denk dat ik dit
# opnsense-update -fk
# /usr/local/etc/rc.reboot

op de firewall moet uitvoeren of moet dat in de GUI en waar moet ik dat doen?
Stel dat het op de firewall moet dan kan ik de toetsenbord niet gebruiken want die word wel herkend maar ik kan niks intypen. De toetsenbord werkt naar behoren.

Wat bedoel je hiermee?
# cat /var/log/suricata.log

Gr, Dex

[bartjsmit]

Hallo Dex,

Als je toetsenbord niet werkt, kun je via SSH de console bereiken. System -> Settings -> Administration, vink alles aan onder Secure Shell en laat het 'port' veld leeg.

Vanuit Windows kun je putty gebruiken: http://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html

Op (vrijwel alle) andere OS kun je direct ssh vanuit een terminal/shell gebruiken.

Waar Franco in zijn post een hash gebruikt moet je als de root user die instructies intypen. Meestal is root de enige gebruiker in OPNsense.

Bart...

[dexter123]

Bedankt voor je reactie.

Na de laatste update werkt intrusion dection naar behoren.

Bedankt voor jullie input.

Mvg, Dex