Added ChangeLog.git file

bumped version to 2.2

Added install.answers.example file to illustrate install.pl answers to be consumed by --Use-answers

changelog and credits update

Added the ability to automatically get query answers from --answers-file

By default the install.pl script records user answers to installation queries
so they can be used to install psad in an automated fashion later.  A new
option --Use-answers makes this possible.  This feature was requests by
@pyllyukko.

bumped version to psad-2.2-pre2

removed psad-nobuildreqs.spec

moved ChangeLog.old -> ChangeLog (the old style is much more readable)

matched all chdir() calls with getcwd() for easier test suite support

added the psad-require-makemaker.spec file

Removed the ExtUtils::MakeMaker build requirement

Although building the psad RPM builds a set of perl modules which themselves
have the 'use ExtUtils::MakeMaker' requirement in their respective Makefile.PL
scripts, some Linux distributions don't seem to make it easy to install
ExtUtils::MakeMaker in a manner in which the local RPM install can see it.
And, at the same time, it usually is there since installing perl modules is
such a common operation.  The compromise is this solution, which will allow the
psad RPM to be built even if RPM dosen't or can't see that ExtUtils::MakeMaker
is installed - most likely it will build anyway.  If it doesn't, there are
bigger problems since psad is written in perl.  If you want to build the psad
RPM with a .spec file that requires ExtUtils::MakeMaker, then use the
"psad-require-makemaker.spec" file that is bundled in the psad sources.

update to install the init script in the test dir in --install-test-dir mode

added guard variable around syslog() calls

bug fix to expand INSTALL_ROOT variable from psad.conf

bug fix to ensure that a pristine psad.conf file is preserved across --install-test-dir mode

Bug fix for undefined syslog routine

Fixed a bug that caused psad to emit the following:

Undefined subroutine &main::LOG_DAEMON called at ./psad line 10071.

This problem was noticed by Robert and reported on the psad mailing list.

RPM spec files switched to NetAddr::IP installation

--test-system-install to allow current system installation of psad to be tested through the test suite

override -O option for fwcheck_psad.pl

update psad RPM spec files for the 2.2 release - more updates coming to properly handle the NetAddr::IP modules

version 2.2 nearly ready - bumped version numbers

added signatures file that excludes the MS SQL connect signature

updated test config files to not require the 'mail' binary

Minor compiler warning bug fix for OpenBSD systems.

Compiling psad *.c files on OpenBSD issued the following warning before this fix:

/usr/bin/gcc -Wall -O psadwatchd.c psad_funcs.c strlcpy.c strlcat.c -o psadwatchd
psad_funcs.c: In function 'send_alert_email':
psad_funcs.c:325: warning: missing sentinel in function call

added IPv6 exclusion test for Snort MS SQl Server communication attempt signature

added Snort sig tests for MS SQL Server communication attempt

IPv4 allow valid echo request

minor hostname update minastirith -> linux

added IPv4 ICMP type/code validation test

ICMP6 type/code validation test, perl warnings test

added ipv6_invalid_icmp6_type_code file for test suite support for ICMP6 type/code validation

bugfix for uninitialized variable in ICMP6 validation reporting

validate ICMP6 type+code fields

copy original psad.conf before install and restore at conclusion

move icmp validation code out of Snort rules comparision

For better performance and correctness, moved icmp type/code validation code out
of Snort rule comparision routine.  Added icmp validation output to --Analyze
mode output.  Disabled DNS lookups in -A mode by default, but added --dns-analysis
command line arg to provide an override.

added --install-root and --install-test-dir options to --help output

added the ability to read iptables packet data from a file with -m in --Benchmark mode

added IPv6 abbreviated format test

bugfix to honor audo_dl lines with IPv6 addresses

added --test-mode so that fw check emails are not sent, debug is enabled, and is_local() always returns false

added --test-mode so that fw check emails are not sent, debug is enabled, and is_local() always returns false

added enable_ack_detection.conf file

added IPv6 TCP connect() test

added TCP NULL scan test

added NULL scan test

added FIN, XMAS, and ACK scan tests

bugfix in psad to honor IGNORE_PROTOCOLS keyword (found by corresponding tests)

updated to remove kmsgsd discussion since kmsgsd is basically deprecated at this point

minor config file comment typo fixes

minor comment typo fixes

added auto_dl 5 tests

added SYN scan and UDP scan tests

updated default INSTALL_ROOT path to the test/ directory install path test/psad-install

bugfix in variable expansion routine to ensure expansion of multiple sub-vars

Added the ability to install at custom location

This commit adds the ability to install psad at a custom location via the
--install-root <root> command line argument to install.pl.  This feature
was suggested by @pyllyukko.  In addition, psad can be installed by a
normal user instead requiring root.

additional basic operations tests, next up: scan tests

added test suite scans/ directory

added test suite via the test/ directory

bug fix to ensure the psadfifo file is not created unless  is true

added PERL5LIB env variable so module installs can reference the current install path, minor 'die' statement update to remove newlines

added support for ip6tables policy default log and drop rule detection

updated to IPTables::ChainMgr 1.2 and IPTables::Parse 1.1

updated to IPTables::ChainMgr 1.2 and IPTables::Parse 1.1

fix 'qw(...) usage as parenthesis' warnings for perl > 5.14

minor comment updates (header material)

updated Unix::Syslog to 1.1 from CPAN

fix 'qw(...) usage as parenthesis' warnings for perl > 5.14

added ip6tables policy dump to --fw-dump mode

bumped version to 3.0-pre1

bug fix to parse iptables syslog date into a proper numeric time

minor bug fix to call older passive OS fingerprinting routine for non-IPv6 packets

interim commit to maintain better separation between IPv4 and IPv6 passive OS fingerprinting code

Added MAX_SCAN_IP_PAIRS

Thic commit allows psad memory usage to be constrained by restricting the
number of unique IP pairs that psad tracks via a new config variable
MAX_SCAN_IP_PAIRS.  This is useful for when psad is deployed on systems with
little memory, and is best utilized in conjunction with disabling
ENABLE_PERSISTENCE so that old scans will also be deleted (and thereby making
room for tracking new scans under the MAX_SCAN_IP_PAIRS threshold).

reworked how old scans are deleted, and added a new PERSISTENCE_CTR_THRESHOLD variable to control this

update to not collect err packets in --no-ipt-errors mode

Completed conversion to NetAddr::IP module

This commit completes the conversion to the NetAddr::IP module for all IP
address comparisions.  Also re-worked Snort keyword matching to maximize
performance.

added the deps/NetAddr-IP directory

made --packets apply to --Analyze mode, man page doc fixes relative to the old psadfifo file

Removed Net::IPv4Addr module for NetAddr:IP replacement

The Net::IPv4Addr module does not handle IPv6 addresses, and so it will be
replaced with the NetAddr:IP module.

Added code to separate ipv4 vs. ipv6 p0f attempts

There are not yet any IPv6 fingerprints for p0f, so psad needs to ensure that
its p0f implementation over iptables log messages is restricted to IPv4
packets.  This change will make it easier to integrate an IPv6 implementation
of p0f as well.

Renamed ChangeLog -> ChangeLog.old

Renamed the original ChangeLog -> ChangeLog.old and replace it with output from
'git log'.

Updated to the latest p0f signatures from OpenBSD

Updated to the latest p0f signatures in the pf.os file from the OpenBSD
project.

Bug fix for scan sources reported as destinations

In the /var/log/psad/<ip>/ directories, whois information is stored in the
<IP>_whois files, the IP in the filename was included as a destination IP under
the psad -S output.  This commit fixes this bug.  Here is an example of the
invalid output:

[+] IP Status Detail:

SRC:  123.123.123.221, DL: 2, Dsts: 2, Pkts: 1, Unique sigs: 1, Email alerts: 1

    DST: 1.2.3.4, Local IP
        Scanned ports: TCP 1433, Pkts: 1, Chain: INPUT, Intf: eth0
        Signature match: "MISC Microsoft SQL Server communication attempt"
            TCP, Chain: INPUT, Count: 1, DP: 1433, SYN, Sid: 100205
    DST: 123.123.123.221

Added 'udplite' as a supported protocol

iptables can produce log message for the udplite protocol (IP protocol 136),
and this commit starts to work in udplite support after such messages have
been parsed.

Added the ENABLE_IPV6_DETECTION variable

The ENABLE_IPV6_DETECTION variable controls whether psad will parse or ignore
IPv6 iptables log messages.  This is enabled by default.

Make ENABLE_* vars accept case-insensitive values

Allow ENABLE_* psad.conf variables to have values like 'y', 'n', 'Yes', 'No',
etc.

Bug fix for ICMP time exceeded packets for TCP

TCP connections can be met with ICMP time exceeded messages, and this fix
ensures that they are recognized.  Here is an example of such a message:

Jan 24 23:21:46 minastirith kernel: [711473.921049] DROP IN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:00:01:5c:24:ea:81:08:00 SRC=123.123.123.1 DST=255.255.255.255 LEN=355 TOS=0x00 Jan 25 11:31:32 minastirith kernel: [755260.336492] DROP INVALID IN=eth0 OUT= MAC=00:13:46:3a:41:36:00:01:5c:24:ea:81:08:00 SRC=202.97.39.53 DST=1.1.1.1 LEN=56 TOS=0x00 PREC=0x20 TTL=240 ID=11594 PROTO=ICMP TYPE=11 CODE=0 [SRC=1.1.1.1 DST=2.2.2.2 LEN=36 TOS=0x00 PREC=0x00 TTL=1 ID=18273 MF PROTO=TCP INCOMPLETE [8 bytes] ]

Added call to get_connected_subnets() in -A mode.

Make sure to get local networks in --Analyze mode for is_local() checks.

Bugfix introduced by edc028d46d83cd3f6952e0dde99ebd731366a2f6

Bugfix to make sure that protocol counters are written to the counters file
via the proper filehandle.

Minor wording update for syslog messages parsing

Minor documentation update to better describe the default parsing behavior of
psad (non-usage of the psadfifo and kmsgsd by default).

Minor update Netfilter -> iptables wording

It is more proper to refer to iptables in the context of psad operations, so
changed all "Netfilter" references to "iptables".

Minor change to rework global protocol counters

Minor restructuring to be able to more easily support protocols that are
logged via iptables via a 'defined' check on a global protocol tracking
hash.

Minor filehandle warning bug fix.

perl likes to generate warnings like the one seen below if the STDOUT or STDERR
filehandles are closed when going into daemon mode and other filehandles are
used.  This change removes closing these filehandles when psad is run as a
daemon:

Sun Jul 24 14:27:44 2011 psad v2.1.8-pre2 pid: 11675 Filehandle STDOUT reopened as F only for input at /usr/sbin/psad line 9924.

Minor update in filehandle usage for mail messages

Minor change to try and avoid the following warning messages logged to
/var/log/psad/errs/psad.warn:

Sun Nov 28 12:09:44 2010 psad v2.1.8-pre1 (file rev: 2309) pid: 1600 Filehandle STDERR reopened as F only for input at /usr/sbin/psad line 9756.

It is likely that other changes will be necessary in order to completely stop
these messages.

Implemented parsing support for IPv6 via ip6tables

This is the first major commit for IPv6 support, and starts with the ability to
parse IPv6 log messages for the following protocols: TCP, UDP, UDPLITE, and
ICMP6.  Scans and signature matches are not yet detected, but that is coming
soon.  Here are a few example ip6tables logging messages that psad now
supports:

Jul 21 19:07:39 minastirith kernel: [1912155.755862] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=59 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=UDP SPT=35186 DPT=12345 LEN=19
Jul 21 19:07:39 minastirith kernel: [1912155.755921] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=107 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=ICMPv6 TYPE=1 CODE=4 [SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=59 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=UDP SPT=35186 DPT=12345 LEN=19 ]
Jul 21 19:07:40 minastirith kernel: [1912156.845421] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=104 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=ICMPv6 TYPE=128 CODE=0 ID=21264 SEQ=1
Jul 21 19:07:40 minastirith kernel: [1912156.845478] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=104 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=ICMPv6 TYPE=129 CODE=0 ID=21264 SEQ=1
Jul 21 19:08:15 minastirith kernel: [1912191.806437] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=80 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=55551 DPT=22 WINDOW=32752 RES=0x00 SYN URGP=0
Jul 21 19:08:15 minastirith kernel: [1912191.806509] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=80 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=22 DPT=55551 WINDOW=32728 RES=0x00 ACK SYN URGP=0
Jul 21 19:08:15 minastirith kernel: [1912191.806570] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=72 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=55551 DPT=22 WINDOW=256 RES=0x00 ACK URGP=0
Jul 21 19:08:15 minastirith kernel: [1912191.835221] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=111 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=22 DPT=55551 WINDOW=256 RES=0x00 ACK PSH URGP=0
Jul 21 19:08:15 minastirith kernel: [1912191.835292] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=72 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=55551 DPT=22 WINDOW=256 RES=0x00 ACK URGP=0
Jul 21 19:08:17 minastirith kernel: [1912194.391506] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=72 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=55551 DPT=22 WINDOW=256 RES=0x00 ACK FIN URGP=0
Jul 21 19:08:17 minastirith kernel: [1912194.392596] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=72 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=22 DPT=55551 WINDOW=256 RES=0x00 ACK FIN URGP=0
Jul 21 19:08:17 minastirith kernel: [1912194.392678] IPv6 Packet IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:86:dd SRC=0000:0000:0000:0000:0000:0000:0000:0001 DST=0000:0000:0000:0000:0000:0000:0000:0001 LEN=72 TC=0 HOPLIMIT=64 FLOWLBL=0 PROTO=TCP SPT=55551 DPT=22 WINDOW=256 RES=0x00 ACK URGP=0

Moved running as root check into is_root()

Minor update to put the running as root check into a new is_root() function.

Minor copyright update

Updated the copyright date to 2011.

Minor variable initialization update

Minor change to make sure to initialize a few global variables.

Removed "$Id$" tags (meaningless for git)

All "$Id$" expansion tags were removed since they were a hold-over from the
svn days.  This also meant that the "file revision: <N>" output for "psad -V"
was removed too.

minor comment bug fix

git-svn-id: file:///home/mbr/svn/psad_repos/psad/trunk@2315 91a0a83b-1414-0410-bf9a-c3dbc33e90b6