Configurando Snort IDS para Detecção de Intrusão

Quando Usar

• Implementando um sistema de detecção de intrusão baseado em rede para monitorar o tráfego em limites de rede chave
• Escrevendo regras personalizadas do Snort para detectar ameaças específicas da organização, padrões de ataque ou violações de políticas
• Ajustando conjuntos de regras existentes para reduzir falsos positivos, mantendo a cobertura de detecção
• Integrando alertas do Snort com plataformas SIEM para monitoramento centralizado de segurança
• Validando controles de segurança de rede gerando tráfego de teste e confirmando a detecção

Não use como substituto para detecção em endpoint, para monitorar tráfego criptografado sem inspeção TLS, ou como o único controle de segurança sem defesas complementares.

Pré-requisitos

• Snort 3.x instalado a partir do código fonte ou gerenciador de pacotes (snort --version para verificar)
• Interface de rede configurada em modo promíscuo em uma porta span ou tap de rede
• DAQ (Data Acquisition Library) instalado para integração de captura de pacotes
• Conta Snort registrada para download de regras Snort Subscriber (pago) ou Community rulesets de snort.org
• PulledPork 3 ou ferramenta similar de gerenciamento de regras para atualizações automatizadas de conjuntos de regras
• CPU e memória suficientes para inspeção de tráfego em linha na taxa de linha

Fluxo de Trabalho

Etapa 1: Instalar e Verificar o Snort 3

# Install dependencies (Ubuntu/Debian)
sudo apt install -y build-essential libpcap-dev libpcre3-dev libnet1-dev \
  zlib1g-dev luajit hwloc libdumbnet-dev bison flex libcmocka-dev \
  libnetfilter-queue-dev libmnl-dev autotools-dev libluajit-5.1-dev \
  pkg-config cmake libhwloc-dev liblzma-dev openssl libssl-dev cpputest \
  libsqlite3-dev uuid-dev

# Install DAQ from source
git clone https://github.com/snort3/libdaq.git
cd libdaq && ./bootstrap && ./configure && make && sudo make install

# Install Snort 3
git clone https://github.com/snort3/snort3.git
cd snort3 && ./configure_cmake.sh --prefix=/usr/local
cd build && make -j$(nproc) && sudo make install
sudo ldconfig

# Verify installation
snort -V

Etapa 2: Configurar Interfaces de Rede

# Disable offloading features that interfere with packet inspection
sudo ethtool -K eth1 gro off lro off tso off gso off rx off tx off

# Enable promiscuous mode
sudo ip link set eth1 promisc on

# Create systemd service for persistent interface configuration
sudo tee /etc/systemd/system/snort-iface.service << 'EOF'
[Unit]
Description=Configure Snort capture interface
Before=snort.service

[Service]
Type=oneshot
ExecStart=/sbin/ethtool -K eth1 gro off lro off tso off gso off rx off tx off
ExecStart=/sbin/ip link set eth1 promisc on
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl enable snort-iface.service

Etapa 3: Configurar o Snort 3 com Configuração Lua

# Criar estrutura de diretórios do Snort
sudo mkdir -p /usr/local/etc/snort/{rules,builtin_rules,lists,appid}
sudo mkdir -p /var/log/snort

# Editar a configuração principal do Snort
sudo tee /usr/local/etc/snort/snort.lua << 'LUAEOF'
-- Configuração do Snort 3

-- Variáveis de rede
HOME_NET = '10.10.0.0/16'
EXTERNAL_NET = '!$HOME_NET'

-- Variáveis de caminho
RULE_PATH = '/usr/local/etc/snort/rules'
BUILTIN_RULE_PATH = '/usr/local/etc/snort/builtin_rules'

-- Configurar DAQ
daq = {
    module_dirs = { '/usr/local/lib/daq' },
    modules = { { name = 'afpacket', variables = { 'buffer_size_mb=256' } } }
}

-- Configuração do decodificador
normalizer = { tcp = { ips = true } }

-- Inspeção de stream
stream = { }
stream_tcp = { policy = 'linux', session_timeout = 180 }
stream_udp = { session_timeout = 30 }
stream_icmp = { }

-- Inspeção HTTP
http_inspect = { }

-- Inspeção DNS
dns = { }

-- Inspeção SSL/TLS
ssl = { }

-- Inspeção SMB
dce_smb = { }

-- Identificação e processamento de arquivos
file_id = { rules_file = '/usr/local/etc/snort/file_magic.rules' }

-- Detecção de varredura de portas
port_scan = {
    protos = 'all',
    scan_types = 'all',
    memcap = 10000000
}

-- Filtragem baseada em reputação
-- reputation = {
--     blacklist = RULE_PATH .. '/blocklist.rules'
-- }

-- Regras IPS
ips = {
    enable_builtin_rules = true,
    include = RULE_PATH .. '/snort3-community.rules',
    variables = {
        nets = {HOME_NET = HOME_NET, EXTERNAL_NET = EXTERNAL_NET},
        ports = {
            HTTP_PORTS = '80 8080 8443',
            SSH_PORTS = '22',
            DNS_PORTS = '53'
        }
    }
}

-- Saída de alerta
alert_fast = {
    file = true,
    packet = false,
    limit = 100
}

-- Saída Unified2 para integração Barnyard2/SIEM

…