SNORT auf Linux und Windows

Snort ist ein leistungsstarkes Open-Source-Intrusion Prevention System (IPS), das Netzwerkpakete analysiert und schädliche Aktivitäten identifiziert und blockiert. In diesem Tutorial lernen Sie, wie Sie Snort auf Linux- und Windows-Systemen installieren, konfigurieren, Regeln erstellen und Überwachungsaktivitäten durchführen.

 

1. Voraussetzungen

Bevor Sie mit der Installation und Konfiguration von Snort beginnen, stellen Sie sicher, dass Sie Folgendes haben:

• Ein Linux- oder Windows-System (in diesem Tutorial werden wir Ubuntu 22.04.02 LTS und Windows 11 verwenden)
• Administrator- oder root-Zugriff auf das System
• Grundlegende Kenntnisse in der Systemadministration und Netzwerktechnik

 

2. Installation auf Linux

Führen Sie die folgenden Schritte aus, um Snort auf einem Linux-System (Ubuntu 22.04.02) zu installieren:

1. Aktualisieren Sie das System und installieren Sie die erforderlichen Abhängigkeiten:

sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential libpcap-dev libpcre3-dev libdumbnet-dev zlib1g-dev luajit libluajit-5.1-dev pkg-config

2. Laden Sie die neueste Snort-Version von der offiziellen Website herunter:

wget https://www.snort.org/downloads/snort/snort-2.9.9.0.tar.gz

3. Entpacken Sie das Archiv und wechseln Sie in das Verzeichnis:

tar -xvzf snort-2.9.9.0.tar.gz
cd snort 2.9.9.0

4. Kompilieren und installieren Sie Snort:

./configure –enable-sourcefire && make && sudo make install

5. Aktualisieren Sie die Systembibliotheken:

sudo ldconfig

 

3. Installation auf Windows

6. Laden Sie die neueste Snort-Version für Windows von der offiziellen Website herunter: https://www.snort.org/downloads

7. Führen Sie die heruntergeladene EXE-Datei aus und folgen Sie den Installationsanweisungen.

 

4. Grundlegende Konfiguration

8. Erstellen Sie die erforderlichen Verzeichnisse und Dateien:

sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /var/log/snort
sudo touch /etc/snort/snort.conf
sudo touch /etc/snort/rules/local.rules

9. Öffnen Sie die Datei /etc/snort/snort.conf mit einem Texteditor und fügen Sie die grundlegende Konfiguration hinzu. Passen Sie die Konfiguration entsprechend Ihrer Netzwerkinfrastruktur an:

ipvar HOME_NET 192.168.1.0/24
ipvar EXTERNAL_NET any
var RULE_PATH /etc

/snort/rules

# Include local rules
include $RULE_PATH/local.rules

 

5. Regeln und Regelsätze

Snort verwendet Regeln, um den Netzwerkverkehr zu analysieren und Angriffe oder verdächtige Aktivitäten zu erkennen. Hier ist ein Beispiel für eine einfache Regel:

alert tcp any any -> $HOME_NET 80 (msg:“Possible HTTP attack“; flow:established; content:“|FF FF FF FF|“; sid:1000001; rev:1;)

Diese Regel generiert eine Warnung, wenn sie im eingehenden Netzwerkverkehr auf Port 80 vier aufeinanderfolgende Byte-Werte von 255 (|FF FF FF FF|) findet. Fügen Sie diese Regel der Datei /etc/snort/rules/local.rules hinzu.

Sie können auch vorgefertigte Regelsätze von der Snort-Website oder von Drittanbietern beziehen. Um die offiziellen Snort-Regelsätze herunterzuladen und zu installieren, besuchen Sie die folgende Seite und registrieren Sie sich für ein kostenloses Konto: https://www.snort.org/downloads#rule-downloads

Laden Sie die neueste Version der Snort-Regeln herunter und extrahieren Sie sie in das Verzeichnis /etc/snort/rules.

 

6. Überwachung und Protokollierung

1. Starten Sie Snort im Überwachungsmodus:

sudo snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i <INTERFACE>

Ersetzen Sie <INTERFACE> durch den Namen der Netzwerkschnittstelle, die Sie überwachen möchten (z. B. eth0 oder enp0s3).

 

1. Um Snort als Dienst im Hintergrund laufen zu lassen, erstellen Sie eine Systemd-Dienstdatei:

sudo nano /etc/systemd/system/snort.service

Fügen Sie den folgenden Inhalt in die Datei ein und passen Sie den Pfad zur Snort-Konfigurationsdatei und den Namen der Netzwerkschnittstelle entsprechend an:

[Unit]
Description=Snort Intrusion Prevention System
After=network.target

[Service]
Type=simple
User=snort
Group=snort
ExecStart=/usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i <INTERFACE>
Restart=on-failure

[Install]
WantedBy=multi-user.target

 

1. Aktivieren und starten Sie den Snort-Dienst:

sudo systemctl enable snort
sudo systemctl start snort

 

1. Überprüfen Sie die Snort-Protokolle im Verzeichnis /var/log/snort oder verwenden Sie Tools wie Barnyard2 oder BASE, um die Protokolle zu analysieren und in einer benutzerfreundlicheren Weise darzustellen.

In diesem Tutorial haben Sie gelernt, wie Sie Snort auf Linux- und Windows-Systemen installieren, konfigurieren und überwachen. Snort ist ein leistungsstarkes IPS, das Ihnen hilft, Ihr Netzwerk vor Angriffen und unerwünschtem Datenverkehr zu schützen. Denken Sie daran, Ihre Snort-Regeln und -Konfiguration regelmäßig zu aktualisieren, um auf dem neuesten Stand der Bedrohungen zu bleiben und die Sicherheit Ihres Netzwerks zu gewährleisten.