Snort安装与配置方法

发布时间：2021-07-15 15:32:53 作者：chen
来源：亿速云阅读：272

# Snort安装与配置方法

## 目录
1. [Snort简介](#snort简介)
2. [安装准备](#安装准备)
3. [Linux系统安装](#linux系统安装)
   - [Ubuntu/Debian](#ubuntudebian)
   - [CentOS/RHEL](#centosrhel)
4. [Windows系统安装](#windows系统安装)
5. [基础配置](#基础配置)
   - [网络接口配置](#网络接口配置)
   - [规则集配置](#规则集配置)
6. [运行模式](#运行模式)
   - [嗅探模式](#嗅探模式)
   - [数据包记录模式](#数据包记录模式)
   - [入侵检测模式](#入侵检测模式)
7. [规则管理](#规则管理)
8. [高级配置](#高级配置)
   - [输出插件配置](#输出插件配置)
   - [预处理配置](#预处理配置)
9. [性能优化](#性能优化)
10. [常见问题解决](#常见问题解决)
11. [总结](#总结)

---

## Snort简介
Snort是全球应用最广泛的开源入侵检测与防御系统（IDS/IPS），由Martin Roesch于1998年创建。具有以下核心功能：
- 实时流量分析
- 协议内容匹配
- 攻击特征检测
- 灵活规则系统
- 多平台支持（Linux/Windows/Unix）

最新稳定版本为3.1.50.0（截至2023年），支持IPv6、多线程处理和高性能模式。

---

## 安装准备
### 硬件要求
| 环境类型       | CPU核心 | 内存   | 存储空间 |
|----------------|---------|--------|----------|
| 测试环境       | 2核     | 2GB    | 10GB     |
| 生产环境(100M) | 4核     | 8GB    | 100GB    |
| 生产环境(1G)   | 8核+    | 16GB+  | 1TB+     |

### 软件依赖
- Libpcap（数据包捕获库）
- DAQ（数据采集库）
- PCRE（正则表达式支持）
- LuaJIT（脚本支持）
- OpenSSL（加密支持）

---

## Linux系统安装

### Ubuntu/Debian
```bash
# 添加官方PPA源
sudo add-apt-repository ppa:snort/ppa
sudo apt update

# 安装核心组件
sudo apt install -y snort snort-rules-default

# 验证版本
snort -V

CentOS/RHEL

# 安装EPEL仓库
sudo yum install epel-release

# 编译安装DAQ
wget https://www.snort.org/downloads/snort/daq-2.0.7.tar.gz
tar -xvzf daq-2.0.7.tar.gz
cd daq-2.0.7
./configure && make && sudo make install

# 安装Snort
wget https://www.snort.org/downloads/snort/snort-3.1.50.0.tar.gz
tar -xvzf snort-3.1.50.0.tar.gz
cd snort-3.1.50.0
./configure --enable-sourcefire && make && sudo make install

Windows系统安装

下载Windows安装包：


wget https://www.snort.org/downloads/snort/snort-3.1.50.0-win64.exe

运行安装向导，建议选择完整安装
配置环境变量：
```
setx PATH "%PATH%;C:\Snort\bin"
```
安装WinPcap/Npcap驱动

基础配置

网络接口配置

# 查看可用接口
snort -W

# 测试接口（eth0为例）
sudo snort -i eth0 -T

规则集配置

默认规则路径： - Linux: /etc/snort/rules/ - Windows: C:\Snort\rules\

示例规则语法：

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"SSH Brute Force Attempt"; flow:to_server; detection_filter:track by_src, count 5, seconds 60; sid:1000001; rev:1;)

运行模式

嗅探模式

sudo snort -i eth0 -v

数据包记录模式

sudo snort -i eth0 -l /var/log/snort

入侵检测模式

sudo snort -i eth0 -c /etc/snort/snort.conf -A fast

规则管理

注册Snort.org获取Oinkcode

自动更新规则：


sudo pulledpork.pl -c /etc/snort/pulledpork.conf -l

自定义规则优先级：
```
include $RULE_PATH/local.rules
```

高级配置

输出插件配置

修改snort.conf：

output unified2: filename snort.log, limit 128
output alert_syslog: LOG_AUTH LOG_ALERT

预处理配置

preprocessor frag3_global
preprocessor http_inspect: global \
   iis_unicode_map unicode.map 1252

性能优化

启用多线程：


config pkt_threads: 4
config daq_mode: inline

规则优化技巧：
- 优先使用content代替pcre
- 合理使用flow控制
- 启用fast_pattern选项

常见问题解决

接口无法识别


sudo ethtool -K eth0 rx on tx on sg on tso off

规则加载失败


sudo snort -c /etc/snort/snort.conf --dump-dynamic-rules

性能瓶颈


sudo snort -i eth0 -c /etc/snort/snort.conf --perfmon-file perfstats.csv

总结

Snort作为企业级IDS解决方案，通过合理配置可以实现： - 99.9%的攻击识别率（基于正确规则） - %的误报率（经优化后） - 支持10Gbps流量处理（需硬件配合）

建议生产环境采用”传感器+中央管理”的分布式架构，定期更新规则并配合SIEM系统使用。

注：本文基于Snort 3.x版本编写，部分命令在2.x版本可能不适用 “`

该文档包含： - 完整安装流程（Linux/Windows） - 配置示例（含代码块） - 可视化表格（硬件要求） - 结构化目录导航 - 实际生产建议 - 版本兼容性说明 - 故障排除方法

可根据实际需要调整具体参数和路径设置。建议配合官方文档（https://www.snort.org/documents）使用。