Как запустить snort в ubuntu

Обновлено: 07.07.2024

Snort is a popular choice for running a network intrusion detection systems or NIDS for short. It monitors the package data sent and received through a specific network interface. NIDS can catch threats targeting your system vulnerabilities using signature-based detection and protocol analysis technologies. NIDS software, when installed and configured appropriately, can identify the latest attacks, malware infections, compromised systems, and network policy violations. In this guide, you will find instructions on how to install Snort on Ubuntu 16. The install guide is also available for cloud servers running CentOS 7 and Debian 9.

Snort is one of the most commonly used network-based IDS. It is a lightweight, open source, available on a multitude of platforms, and can be comfortably installed even on the smallest of cloud server instances. Although Snort is capable of much more than just network monitoring, this guide shows how to configure and run Snort in NIDS mode with a basic setup that you can later expand as needed.

Preparing your server

Setting up a basic configuration of Snort on Ubuntu is fairly simple but takes a few steps to complete. You will first need to install all the prerequisite software to ready your cloud server for installing Snort itself. Install the required libraries with the following command.

With the prerequisites fulfilled, next up is how to install Snort on Ubuntu 16. Snort can be downloaded and installed manually from the source. Below you will find instructions on how to get this done.

Installing from the source

Setting up Snort on Ubuntu from the source code consists of a couple of steps: downloading the code, configuring it, compiling the code, installing it to an appropriate directory, and lastly configuring the detection rules.

Start by making a temporary download folder to your home directory and then changing into it with the command below.

Snort itself uses something called Data Acquisition library (DAQ) to make abstract calls to packet capture libraries. Download the latest DAQ source package from the Snort website with the wget command underneath. Replace the version number in the command if a newer source available.

The download will only take a few seconds. When complete, extract the source code and jump into the new directory with the following commands.

The latest version requires an additional step to auto reconfigure DAQ before running the config. Use the command below which requires you need to have autoconf and libtool installed.

Afterwards, run the configuration script using its default values, then compile the program with make and finally install DAQ.

With the DAQ installed you can get started with Snort, change back to the download folder.

Next, download the Snort source code with wget. You can find the latest version number on the Snort downloads page. Replace it in the following command if necessary.

Once the download is complete, extract the source and change into the new directory with these commands.

Then configure the installation with sourcefire enabled, run make and make install.

With that done, continue below on how to set up the configuration files.

Configuring Snort to run in NIDS mode

Next, you will need to configure Snort for your system. This includes editing some configuration files, downloading the rules that Snort will follow, and taking Snort for a test run.

Start with updating the shared libraries using the command underneath.

Snort on Ubuntu gets installed to /usr/local/bin/snort directory, it is good practice to create a symbolic link to /usr/sbin/snort.

Setting up username and folder structure

To run Snort on Ubuntu safely without root access, you should create a new unprivileged user and a new user group for the daemon to run under.

Then create the folder structure to house the Snort configuration, just copy over the commands below.

Set the permissions for the new directories accordingly.

Create new files for the white and blacklists as well as the local rules.

Then copy the configuration files from the download folder.

Next up, you will need to download the detection rules Snort will follow to identify potential threats. Snort provides three tiers of rule sets, community, registered and subscriber rules.

Community rules are freely available although slightly limited.
By registering for free on their website you get access to your Oink code, which lets you download the registered users rule sets.
Lastly, subscriber rules are just that, available to users with an active subscription to Snort services.

Underneath you can find instructions for downloading both community rules or registered user rule sets.

Option 1. Using community rules

If you just want to quickly test out Snort, grab the community rules using wget with the command below.

Extract the rules and copy them to your configuration folder.

By default, Snort on Ubuntu expects to find a number of different rule files which are not included in the community rules. You can easily comment out the unnecessary lines using the sed command underneath.

Option 2. Obtaining registered user rules

You can also take a moment and register on the Snort website. Registering gives you access to use their Oink code to download the registered user rules. You can find the code in the Snort user account details.

Replace the oinkcode in the following command with your personal code.

Once downloaded, extract the rules over to your configuration directory.

The rule sets for the registered users include an extensive amount of useful preconfigured detection rules. If you tried out Snort with the community rules first, you can enable additional rules by uncommenting their inclusions towards the end of the snort.conf file.

Configuring the network and rule sets

With the configuration and rule files in place, edit the snort.conf to modify a few parameters. Open the configuration file in your favourite text editor, for example using nano with the command below.

Find these sections shown below in the configuration file and change the parameters to reflect the examples here.

In the same snort.conf file, scroll down to the section 6 and set the output for unified2 to log under filename of snort.log like below.

Once you are done with the configuration file, save the changes and exit the editor.

Validating settings

Your Snort should now be ready to run. Test the configuration using the parameter -T to enable test mode.

After running the Snort configuration test, you should get a message like this example below.

In case you get an error, the print out should tell you what the problem was and where to fix it. Most likely problems are missing files or folders, which you can usually resolve by either adding any you might have missed in the setup above, or by commenting out unnecessary inclusion lines in the snort.conf file. Check the configuration part and try again.

Testing the configuration

Then add the following line to the file.

The rule consists of the following parts:

action for traffic matching the rule, alert in this case
traffic protocol like TCP, UDP or ICMP like here
the source address and port, simply marked as any to include all addresses and ports
the destination address and port, $HOME_NET as declared in the configuration and any for port
some additional bits
- log message
- unique rule identifier (sid) which for local rules needs to be 1000001 or higher
- rule version number.
Start Snort with -A console options to print the alerts to stdout. You will need to select the correct network interface with the public IP address of your server, for example, eth0.

If you are not sure which interface to use, check your UpCloud control panel for the public IPv4 address of your server in the Network settings. You can also use the following command on your server.

The output will list all of your currently configured network interfaces. Find the one with the same public IP address as shown in the Network settings, commonly eth0.

With Snort up and running, ping your cloud server from any other computer. You should see a notice for each ICMP call in the terminal running Snort.

After the alerts show up you can stop Snort with ctrl+C.

Snort records the alerts to a log under /var/log/snort/snort.log. timestamp , where the timestamp is the point in time when Snort was started marked in Unix time. You can read the logs with the command underneath. Since you have only run Snort once, there is only one log, complete your command by pressing TAB.

The log shows a warning for each ICMP call with source and destination IPs, time and date, plus some additional info as shown in the example below.

Running Snort in the background

To run Snort on Ubuntu as a service in the background you will need to add a startup script for Snort. Open a new file in a text editor for example with the next command.

Enter the following to the file, save and exit the editor.

With the service defined, reload the systemctl daemon.

Snort can then be run with the configuration you set up using the command below.

The startup script also includes other usual systemctl commands: stop, restart, and status. For example, you can check the status of the service with the following command.

Conclusions

Congratulations, you should have now successfully configured and tested a network-based intrusion detection system. This guide however only covers the very basics with an introduction to Snort and NIDS in general. To get more out of your installation, check out the deployment guides over at the Snort documents page, or jump right into writing your own detection rules with their helpful Snort rules info graph.
Editor-in-chief and Technical writer at UpCloud since 2015. Cloud enthusiast writing about server technology and software.
Share this tutorial

141 thoughts on “ How to install Snort on Ubuntu ”

hi sir
I have followed your tutorial from beginning to end
when i execute snort, there is an error message

Running in Test mode

Fatal Error, Quitting..

i have already create those directory manually but it still got the same error
pls help

thanks in advance

I have a question i want to use snort with nids and hids is that possible !!

Hello! How do I set up Snort in Ubuntu to be in IPS mode? Thank you!!

Hi Jacob, thanks for the question. You can find the additional steps required to configure Snort in IPS mode with DAQ at their documentation page.

$ snort -r /var/log/snort/archived_logs/
Running in packet dump mode

Hi Abreu, thanks for reaching out. The snort -r command is for reading logs and needs a file as the last parameter instead of a directory. Try something like snort -r /var/log/snort/archived_logs/snort.log where snort.log is one of your archived log files.

hello , please can you help me i have this error with dump Running in packet dump mode

Hi ! Thanks for the tutorial!

Hi Ismael, thanks for the question. It seems your rule path in the /etc/snort/snort.conf is set relative to the working directory but uses the whole path. Check the snort.conf file and set the rule path exactly like this: var RULE_PATH /etc/snort/rules

Running in packet dump mode

Hi there, thanks for the question. You need to enter a couple of command-line parameters to successfully run Snort. The -i switch refers to the network interface Snort should listen to such as eth0. For example: sudo snort -A console -i eth0 -u snort -g snort -c /etc/snort/snort.conf

thanks for the guide, really appreciate it.
however i need to be able to send my logs to arcsight SIEM which my connector is installed to read the /var/log/snort/snort.log.* files but files have permissions granted to only the snort user.
how can i make this possible to send logs to my SIEM?

Hi there, thanks for the question. According to ArcSight documentation, you should be able to use ArcSight Connector to manage Snort logs.

Hi Rory, thanks for the question. You would need to replace the server_public_ip in your /etc/snort/snort.conf with your own IP address to set the home network, for example, ipvar HOME_NET 94.123.234.214/32

Hi Vanelle, thanks for the comment. You would need to make sure the LuaJIT library is installed, try running the following command sudo apt install -y libluajit-5.1-dev and then attempt to compile Snort again.

До этого мы много рассматривали различные моменты по Snort. Но так и не рассмотрели его установку с нуля. Обнаружение вторжений в сети важно для обеспечения безопасности.

Намедни настраивал сеть которая состоит из снорта, двух АРМов через этот снорт , подключенных по мосту без айпи адресов на интерфейсах снорта в режиме

Система обнаружения вторжений (IDS) используется для обнаружения вредоносного сетевого трафика и неправильного использования системы, которые обычные брандмауэры

Инструменты анализа угроз и безопасности конечных точек чаще используются в сфере безопасности для тестирования уязвимостей в сети и приложениях.

Введение в 13 популярных инструментов взлома беспроводных сетей Интернет сейчас является основной потребностью нашей повседневной жизни.

В этом руководстве перечислены начальные меры безопасности как для пользователей настольных компьютеров, так и для системных администраторов, управляющих серверами.

Anything in here will be replaced on browsers that support the canvas element

Большинство компаний сканируют инфраструктуру на наличие уязвимостей каждый квартал, но срок может варьироваться в зависимости от политики ITSM компании. После сканирования безопасности, если команда безопасности обнаружит уязвимости в определенной группе поддержки, например, Linux, Windows, Middleware или Network, она будет направляется к ним. После назначения команда создаст ЗНИ (запрос на изменение) на основе среды, такой как […]

Brave Browser – это действительно хороший браузер, ориентированный на конфиденциальность и безопасность, который обладает расширенными возможностями, такими как меньший объем памяти на вкладку по сравнению с Firefox и Chrome, что делает его очень быстрым и легким, он поставляется с криптокошельком, приватным окном через сеть TOR и многим другим. Есть много веских причин использовать Brave. Но […]

Если вы хотите оптимизировать свой веб-сервер, необходимо понимать access логи Nginx. Ведение логов (журналов) – это единственное критически важное действие, которое вы предпринимаете перед возникновением проблемы. Оно также играет свою роль в обнаружении дефектов в веб-разработке. Журналы доступа Nginx содержат подробную информацию о запросах пользователей. Для анализа и мониторинга вашего веб-сервера необходимо разбирать логи Nginx. […]

zANTI – это бесплатное приложение для Android, которое функционирует как мобильный набор инструментов для тестирования на проникновение, позволяющий оценить уровень риска сети с помощью мобильного устройства. zANTI позволяет менеджерам по безопасности оценить уровень риска сети одним нажатием кнопки. Этот простой в использовании мобильный инструментарий позволяет администраторам ИТ-безопасности имитировать продвинутого злоумышленника, чтобы определить вредоносные методы, которые […]

Следующая команда выведет ваш микрофон на динамик удаленного компьютера. dd if=/dev/dsp | ssh -c arcfour -C username@host dd of=/dev/dsp Система выведет звук с вашего микрофонного порта на порт динамика целевого компьютера по ssh. Качество звука очень плохое, поэтому вы услышите много шипения. Альтернативный вариант: arecord -f dat | ssh -C user@host aplay -f dat Вы […]

Shutterstock / RussieseO
Что такое Snort?

Snort анализирует сетевой трафик в режиме реального времени и выявляет любую подозрительную активность. В частности, он ищет все, что может указывать на попытки несанкционированного доступа и другие атаки в сети. Полный набор правила определить, что считается «подозрительным» и что Snort должен делать при срабатывании правила.

Точно так же, как пакеты антивируса и защиты от вредоносных программ полагаются на актуальные определения сигнатур вирусов, чтобы иметь возможность идентифицировать и защищать вас от новейших угроз, правила Snort обновляются и переиздаются часто, так что Snort всегда работает в оптимальном режиме. эффективность.

Правила Snort

Установка Snort

Одно время установка Snort была длительным процессом вручную. Это было несложно, но шагов было много, и можно было легко пропустить один. Основные дистрибутивы Linux упростили задачу, сделав Snort доступным из репозиториев программного обеспечения.

Версии в репозиториях иногда отстают от последней версии, доступной на сайте Snort. При желании вы можете скачать и установить из источника. Пока у вас есть последняя правила, не имеет большого значения, если ваш Snort не самый последний и лучший, если он не древний.

Для исследования этой статьи мы установили Snort на Ubuntu 20.04, Fedora 32 и Manjaro 20.0.1.

Чтобы установить Snort в Ubuntu, используйте эту команду:

В процессе установки вам зададут несколько вопросов. Вы можете найти ответы на эти вопросы, используя ip addr перед началом установки или в отдельном окне терминала.

Обратите внимание на имя вашего сетевого интерфейса. На этом исследовательском компьютере enp0s3.

Нажмите «Tab», чтобы выделить кнопку «ОК», и нажмите «Enter».

Введите имя сетевого интерфейса и нажмите «Tab», чтобы выделить кнопку «ОК», и нажмите «Enter».

Введите диапазон сетевых адресов в формате CIDR, нажмите «Tab», чтобы выделить кнопку «OK», и нажмите «Enter».

Чтобы установить Snort в Fedora, вам нужно использовать две команды:

На Manjaro нужная нам команда не совсем обычная pacman , это pamac . И нам не нужно использовать sudo :

Когда вас спросят, хотите ли вы собрать Snort из AUR (Репозиторий пользователей Arch) нажмите «Y» и нажмите «Enter». Мы не хотим редактировать файлы сборки, поэтому ответьте на этот вопрос, нажав «N» и нажав «Enter». Нажмите «Y», а затем «Enter», когда вас спросят, следует ли применять транзакцию.

Вам будет предложено ввести пароль.

Были установлены следующие версии Snort:

Вы можете проверить свою версию, используя:

Настройка Snort

Прежде чем мы сможем запустить Snort, необходимо выполнить несколько шагов. Нам нужно отредактировать файл «snort.conf».

Найдите строку с надписью « ipvar HOME_NET any »И отредактируйте его, заменив« любой »диапазоном адресов в нотации CIDR вашей сети.

Сохраните изменения и закройте файл.

Обновление правил Snort

Чтобы убедиться, что ваша копия Snort обеспечивает максимальный уровень защиты, обновите правила до самой последней версии. Это гарантирует, что Snort имеет доступ к новейшему набору определений атак и действий защиты.

Загрузите набор правил для установленной вами версии Snort. Мы загружаем версию 2.9.8.3, которая ближе всего к версии 2.9.7.0 Snort, которая была в репозитории Ubuntu.

Беспорядочный режим

Сетевые карты обычно игнорируют трафик, не предназначенный для их IP-адреса. Мы хотим, чтобы Snort обнаруживал подозрительный сетевой трафик, адресованный любому устройству в сети, а не только сетевой трафик, который отправляется на компьютер, на котором установлен Snort.

Чтобы сетевой интерфейс компьютера Snort прослушивал весь сетевой трафик, нам нужно установить его в неразборчивый режим. Следующая команда вызовет сетевой интерфейс enp0s3 действовать в беспорядочном режиме. Замена enp0s3 с именем сетевого интерфейса, который вы используете на своем компьютере.

Если вы запускаете Snort на виртуальной машине, не забудьте также изменить настройки в гипервизоре для виртуальной сетевой карты, используемой вашей виртуальной машиной. Например, в VirtualBox вам нужно перейти в Settings > Network > Advanced и в раскрывающемся списке «Беспорядочный режим» выберите «Разрешить все».

Запуск Snort

Теперь вы можете запустить Snort. Формат команды:

Замените диапазон IP-адресов своей сети вместо 192.168.1.0/24 .

В этой команде используются следующие параметры командной строки:
- -d: Отфильтровывает пакеты прикладного уровня.
- -l / var / журнал / snort /: Устанавливает каталог регистрации.
- -h 192.168.1.0/24: Это не устанавливает домашнюю сеть, которая была установлена в файле «snort.conf». Если для этого значения установлено то же значение, что и для домашней сети, журналы структурированы таким образом, что содержимое подозрительных удаленных компьютеров записывается в каталоги, названные в честь каждого удаленного компьютера.
- -Консоль: Отправляет предупреждения в окно консоли.
- -c /etc/snort/snort.conf: Указывает, какой файл конфигурации Snort использовать.
Snort прокручивает большую часть вывода в окне терминала, а затем переходит в режим мониторинга и анализа. Если он не увидит какую-либо подозрительную активность, вы больше не увидите вывод на экран.

С другого компьютера мы начали генерировать вредоносную активность, которая была направлена непосредственно на наш тестовый компьютер, на котором был запущен Snort.

Snort определяет сетевой трафик как потенциально вредоносный, отправляет предупреждения в окно консоли и записывает записи в журналы.

Атаки, классифицируемые как «утечки информации», указывают на то, что на вашем компьютере была предпринята попытка получить некоторую информацию, которая могла бы помочь злоумышленнику. Это, вероятно, указывает на то, что кто-то проводит разведку вашей системы.

Атаки, классифицированные как атаки типа «отказ в обслуживании», указывают на попытку завалить ваш компьютер ложным сетевым трафиком. Атака пытается перегрузить ваш компьютер до такой степени, что он не может продолжать предоставлять свои услуги.

Чтобы убедиться, что неразборчивый режим работает правильно и мы защищаем весь диапазон сетевых адресов, мы направим вредоносный трафик на другой компьютер и посмотрим, обнаружит ли его Snort.

Активность обнаруживается и сообщается, и мы видим, что эта атака была направлена против другого компьютера с IP-адресом 192.168.1.26 . Snort отслеживает весь диапазон адресов этой сети.

Следующие шаги

Snort не имеет внешнего интерфейса или графического пользовательского интерфейса. Сторонние проекты создали несколько, и вы, возможно, захотите изучить некоторые из них, например Snorby и Squil.

Когда программное обеспечение NIDS установлено и настроено правильно, оно может идентифицировать различные виды атак и подозрения, такие как атаки CGI, нарушения сетевой политики, зонды SMB, заражение вредоносным ПО, скомпрометированная система, скрытое сканирование портов и т. Д.

В этом руководстве мы узнаем, как установить Snort 3 на Ubuntu 20.04 .

Некоторые из новых функций Snort 3:
- Поддержка нескольких потоков обработки пакетов
- Позволяет обрабатывать несколько пакетов
- Автоматически создавать справочную документацию
- Используйте простую конфигурацию с возможностью сценария
- Сделайте ключевые компоненты подключаемыми
- Позволяет пользователям писать свои собственные плагины
- Общая конфигурация и таблица атрибутов
- Позволяет правилам выполняться быстрее
Шаг 1. Обновите систему

Сначала обновите и обновите свою систему Ubuntu

Шаг 2. Установите необходимые зависимости

Установите пакеты зависимостей Snort 3 с помощью следующей команды:

После установки зависимостей создайте каталог, в котором вы компилируете и храните исходные файлы для Snort, с помощью следующей команды:

Затем загрузите и установите последнюю версию библиотеки сбора данных Snort (LibDAQ). Для установки LibDAQ нам необходимо собрать и установить его из исходного кода с помощью следующей команды.

Установите Tcmalloc с помощью следующей команды.

Шаг 3. Установите Snort 3 в Ubuntu 20.04.

После настройки зависимостей мы собираемся загрузить и установить Snort 3 на Ubuntu 20.04.

01. Официальный репозиторий Clone Snort 3 на GitHub.

02. Измените каталог на Snort3.

03. Оттуда настройте и включите tcmalloc с помощью следующей команды.

04. Перейдите в каталог сборки, скомпилируйте и установите Snort 3 с помощью make и make install с помощью следующей команды.

05. По окончании установки обновите разделяемые библиотеки.

Snort по умолчанию устанавливается в каталог /usr/local/bin/snort, рекомендуется создать символическую ссылку для /usr/sbin/snort.

06. Проверьте установку Snort 3.

Если вы видите аналогичный результат, значит Snort 3 успешно установлен.

Настроить карты сетевого интерфейса

Найдите интерфейс, на котором Snort прослушивает сетевой трафик, и включите неразборчивый режим, чтобы иметь возможность видеть весь отправляемый ему сетевой трафик.

Проверьте с помощью следующей команды.

Затем отключите разгрузку интерфейса, чтобы Snort 3 не усекал большие пакеты, не более 1518 байт. Проверьте, включена ли эта функция, с помощью следующей команды.

Если вы видите этот вывод, значит, GRO включен, в то время как LRO зафиксирован или LRO включен.

Отключите его с помощью следующей команды.

Два гарантируют, что изменения сохранятся при перезагрузке системы, нам нужно создать и включить служебный модуль systemd для реализации изменений.

Вставьте следующую конфигурацию, которая указывает на ваш сетевой интерфейс.

Перезагрузите настройки конфигурации systemd:

Запустите и включите службу при загрузке с помощью следующей команды:

Проверьте snort3-nic.service с помощью:

Установить набор правил сообщества Snort 3

Мы собираемся показать, как установить Правила сообщества.

Сначала создайте каталог для правил в /usr/local/etc/snort

Скачайте правила сообщества Snort 3. Вы можете найти его на официальной странице загрузки Snort3 .

Извлеките загруженные правила и поместите их в ранее созданный каталог /usr/local/etc/rules/

Snort 3 включает два основных файла конфигурации, snort_defaults.lua и snort.lua .

Snort.lua файл содержит основную конфигурацию фырканье, что позволяет реализацию и настройку Snort препроцессорами, правила включения файлов, регистрацию фильтров событий, выход и т.д.

В snort_defaults.lua файлы содержат значения по умолчанию , такие как пути к правилам, AppID, спискам разведки и сетевым переменным.

Когда файлы правил будут извлечены и размещены, мы собираемся настроить один из этих файлов конфигурации под названием snort.lua. Откройте файл любимым редактором и увидите что-то похожее на конфиг.

Задайте сеть, которую вы хотите защитить от атак, в качестве значения переменной HOME_NET и укажите переменную EXTERNAL_NET на переменную HOME_NET .

Сохранить и выйти.

Вы также можете отредактировать настройки Snort по умолчанию в /usr/local/etc/snort/snort_defaults.lua, а в разделе IPS вы можете определить местоположение ваших правил.

Сохранить и выйти.

Запуск Snort как службы

Если вы собираетесь запускать Snort как сервисный демон в фоновом режиме, также можно создать сервисный модуль systemd для Snort. Разумно запускать его от имени непривилегированного пользователя системы.

Создайте системную учетную запись пользователя без входа в систему.

Затем создайте служебный модуль systemd для Snort, который будет запускаться от имени пользователя snort. Отрегулируйте и сопоставьте с вашим сетевым интерфейсом.

Вставьте следующую конфигурацию.

Перезагрузите конфигурацию systemd.

Установите владельца и разрешения для файла журнала.

Запустите и включите Snort для запуска при загрузке системы:

Проверьте статус службы, чтобы убедиться, что она запущена.

Заключение

В этом руководстве рассказывается, как установить систему обнаружения вторжений в сеть Snort 3 на Ubuntu 20.04.

Linux не на 100% защищен от вирусов и подозрительных вещей, всегда лучше установить какой-нибудь инструмент и быть уверенным, что никто не пытается сделать что-то подозрительное на вашем устройстве и в сети. Другие альтернативы Snort, которые вы можете изучить: Ossec, Palo Alto Networks Next-Generation Firewall, Next-Generation Intrusion Prevention System (NGIPS).

Спасибо за чтение, пожалуйста, поделитесь своими отзывами и предложениями в разделе комментариев.

Читайте также: