Snort คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   ติดตั้ง Snort

   คัดลอก

   sudo apt update
   sudo apt -y install snort
   snort -V

2. 2

   ตั้งค่าเครือข่ายที่ต้องเฝ้าระวัง

   คัดลอก

   # /etc/snort/snort.conf
   ipvar HOME_NET 10.10.0.0/24
   ipvar EXTERNAL_NET !$HOME_NET
   
   output alert_fast: /var/log/snort/alert

3. 3

   ติดตั้งชุดกฎ

   ดาวน์โหลดชุดกฎจากชุมชนหรือชุดกฎที่ลงทะเบียนไว้ แล้ววางในโฟลเดอร์กฎพร้อมเปิดใช้งานในไฟล์ตั้งค่า

   คัดลอก

   sudo mkdir -p /etc/snort/rules
   # วางไฟล์กฎที่ดาวน์โหลดมาไว้ในโฟลเดอร์นี้ แล้วอ้างถึงใน snort.conf

4. 4

   ตรวจไฟล์ตั้งค่าและทดลองรัน

   คัดลอก

   sudo snort -T -c /etc/snort/snort.conf -i ens3

5. 5

   เปิดเป็นบริการและดูการแจ้งเตือน

   คัดลอก

   sudo systemctl enable --now snort
   sudo tail -f /var/log/snort/alert

6. 6

   ส่ง Log ไปยังระบบกลาง

   ตั้งให้ส่งการแจ้งเตือนเข้าระบบรวม Log เพื่อให้ค้นหาย้อนหลังและตั้งกฎแจ้งเตือนได้ เพราะการอ่านไฟล์บนเครื่องอย่างเดียวไม่พอสำหรับงานจริง

สำหรับระบบใหม่ที่ต้องรองรับทราฟฟิกสูง แนะนำให้พิจารณา Suricata ก่อน เพราะประมวลผลหลายเธรดได้และใช้ชุดกฎรูปแบบเดียวกันเป็นส่วนใหญ่