入侵检测系统(IDS)是一种有效的安全工具,而Snort是最受欢迎的开源选项之一。本指南将引导完成在 Linux 服务器上安装、配置和设置 Snort IDS 的步骤,以监控和保护服务器安全。
一、什么是Snort
Snort 是一款流行的开源网络入侵检测系统(NIDS),能够实时分析网络流量、记录数据包并识别潜在威胁。它主要有三种运行模式:
嗅探器模式:实时捕获并显示网络流量;
数据包记录器模式:记录网络数据包以供日后分析;
网络入侵检测模式:根据预定义规则监控网络流量,对可疑活动发出警报。
二、安装
本指南以 Ubuntu 22.04 作为服务器操作系统。按照以下步骤在服务器上安装 Snort。
1、更新系统软件包
首先确保系统为最新状态:
sudo apt update sudo apt upgrade
2、安装所需软件包
Snort 需要多个软件包才能正常运行。安装必要的依赖项:
sudo apt install -y build-essential libpcap-dev libpcre3-dev libdumbnet-dev bison flex zlib1g-dev
接下来安装数据采集(DAQ),Snort 利用它进行数据包捕获。从 Snort 官方网站下载 DAQ 源文件:
wget https://www.snort.org/downloads/snort/daq-2.0.7.tar.gz
解压文件并进入目录,进行配置、编译和安装:
tar -xzvf daq-2.0.7.tar.gz cd daq-2.0.7 ./configure make sudo make install
3、安装Snort
下载并编译 Snort。若需最新版本,可从其官方网站下载。
wget https://www.snort.org/downloads/snort/snort-2.9.20.tar.gz tar -xzvf snort-2.9.20.tar.gz cd snort-2.9.20 ./configure --enable-sourcefire make sudo make install
安装后,通过检查 Snort 版本验证是否正确安装:
snort -V
4、为Snort配置网络接口
确定要 Snort 监控的网络接口。可使用以下命令列出所有可用接口:
sudo ifconfig
或:
ip a
5、配置Snort规则
Snort 通过预定义规则监控网络流量。可使用现有规则集或创建自己的规则集。
(1)创建基本规则
导航到 Snort 规则目录并创建新规则文件:
sudo vi /etc/snort/rules/local.rules
添加示例规则以检测 ICMP(ping)流量:
alert icmp any any -> any any (msg:"ICMP Packet Detected"; sid:1000001; rev:1;)
(2)修改Snort配置
编辑主Snort配置文件以包含自定义规则:
sudo nano /etc/snort/snort.conf
找到包含规则文件的行,将其更改为指向自定义文件:local.rules。
include /etc/snort/rules/local.rules
6、在IDS模式下运行Snort
配置完成后,在 IDS 模式下运行 Snort 以监控网络流量:
sudo snort -A console -q -c /etc/snort/snort.conf -i eth0
将 eth0 替换为要监控的网络接口。
7、日志管理和分析
默认情况下,Snort 将警报记录在 /var/log/snort/ 目录中。可使用以下命令查看日志:
sudo tail -f /var/log/snort/alert
为便于日志分析和可视化,可考虑将 Snort 与 Snorby、BASE 或 Splunk 等工具集成。
8、将Snort自动化为服务
为确保 Snort 在启动时自动启动,创建一个服务文件:
sudo vi /etc/systemd/system/snort.service
添加以下内容:
[Unit] Description=Snort IDS After=network.target [Service] ExecStart=/usr/local/bin/snort -D -c /etc/snort/snort.conf -i eth0 ExecReload=/bin/kill -HUP $MAINPID Restart=always [Install] WantedBy=multi-user.target
保存文件,启用服务并启动 Snort:
sudo systemctl enable snort sudo systemctl start snort
-
广告合作
-
QQ群号:707632017