如何在Ubuntu上配置Snort进行入侵检测

在 Ubuntu 上配置 Snort 进行入侵检测需要以下几个步骤：

1. 安装依赖项：

打开终端并运行以下命令，以更新软件包列表并安装必要的依赖项：

sudo apt-get update
sudo apt-get install -y build-essential libpcap-dev libpcre3-dev libdumbnet-dev zlib1g-dev libluajit-5.1-dev openssl libssl-dev

2. 下载并安装 DAQ：

DAQ 是 Snort 的数据获取库。运行以下命令以下载、编译并安装 DAQ：

wget https://www.snort.org/downloads/snort/daq-2.0.7.tar.gz
tar -xvf daq-2.0.7.tar.gz
cd daq-2.0.7
./configure
make
sudo make install
cd ..

3. 下载并安装 Snort：

运行以下命令以下载、编译并安装 Snort：

wget https://www.snort.org/downloads/snort/snort-2.9.18.tar.gz
tar -xvf snort-2.9.18.tar.gz
cd snort-2.9.18
./configure --enable-sourcefire
make
sudo make install
cd ..

4. 配置 Snort：

首先，创建一个专用的 Snort 用户和组：

sudo groupadd snort
sudo useradd -r -s /sbin/nologin -G snort snort

接下来，为 Snort 创建一个工作目录并设置适当的权限：

sudo mkdir /etc/snort
sudo mkdir /var/log/snort
sudo chown snort:snort /etc/snort
sudo chown snort:snort /var/log/snort

现在，从 GitHub 下载 Snort 配置文件：

wget https://github.com/snort3/community-rules/raw/master/snort3-community.rules
sudo cp snort3-community.rules /etc/snort/

接下来，创建一个名为 snort.lua 的 Snort 配置文件：

sudo nano /etc/snort/snort.lua

将以下内容粘贴到文件中：

ips =
{
    variables =
    {
        HOME_NET = "192.168.1.0/24",
        EXTERNAL_NET = "any",
    },

    include =
    {
        'snort3-community.rules',
    },
}

请根据您的网络环境修改 HOME_NET 变量。保存并关闭文件。

5. 运行 Snort：

运行以下命令以使用 Snort 对网络接口（例如 eth0）进行入侵检测：

sudo snort -i eth0 -c /etc/snort/snort.lua -l /var/log/snort/

现在，Snort 已经在实时监控您的网络并记录入侵事件。要查看日志，请运行：

cat /var/log/snort/alert

6. 可选：将 Snort 设置为开机启动：

创建一个名为 snort.service 的 Systemd 服务文件：

sudo nano /etc/systemd/system/snort.service

将以下内容粘贴到文件中：

[Unit]
Description=Snort NIDS
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/snort -i eth0 -c /etc/snort/snort.lua -l /var/log/snort/
Restart=always
User=snort
Group=snort

[Install]
WantedBy=multi-user.target

保存并关闭文件。然后运行以下命令以启用和启动 Snort 服务：

sudo systemctl enable snort
sudo systemctl start snort

现在，Snort 已经在 Ubuntu 上配置好了，并且可以实时检测网络入侵。