HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

Tìm hiểu công cụ Snort

Họ và tên: Nguyễn Huy Quang

Mã Sinh Viên: B20DCAT144
Lớp học phần: D20CQAT04-B
Hệ: Chính quy
Giảng viên Ninh Thị Thu Trang

Hà Nội, 2024
 1. Giới thiệu về Snort:
Snort là một công cụ mã nguồn mở phát hiện xâm nhập (IDS - Intrusion
Detection System) và giám sát gói tin mạng (NIDS - Network Intrusion Detection
System). Nó được phát triển bởi Martin Roesch và được duy trì bởi Cisco. Snort có
khả năng phân tích lưu lượng mạng và phát hiện các mẫu tấn công dựa trên các
quy tắc được xác định trước (rule-based).
• Cách sử dụng:
Snort có thể được cài đặt và cấu hình trên một máy chủ hoặc thiết bị mạng
như một cổng quét lưu lượng mạng. Sau khi cấu hình, Snort sẽ theo dõi lưu lượng
mạng trên một giao diện nhất định và so khớp với các quy tắc đã được định nghĩa.
Khi phát hiện một tấn công hoặc mẫu độc hại, Snort có thể thực hiện các hành
động như ghi log, cảnh báo hoặc ngăn chặn gói tin.
• Ứng dụng thực tế:
Giám sát mạng: Snort có thể được sử dụng để giám sát lưu lượng mạng trên
một mạng doanh nghiệp hoặc trường học. Nó giúp phát hiện các hành vi độc hại
như quét cổng, tấn công DDoS hoặc lỗ hổng bảo mật.
Phát hiện xâm nhập: Snort có thể phát hiện và cảnh báo về các mẫu tấn công
như SQL Injection, XSS, Buffer Overflow, hay các loại tấn công mạng khác.
Tích hợp với hệ thống bảo mật: Snort có thể được tích hợp với các hệ thống
bảo mật khác như firewall, IPS (Intrusion Prevention System) hoặc SIEM (Security
Information and Event Management) để tăng cường khả năng bảo vệ và phản ứng
với các mối đe dọa mạng.

Nghiên cứu an ninh mạng: Snort cũng được sử dụng trong các dự án nghiên
cứu và phát triển về an ninh mạng để phân tích và nghiên cứu các mẫu tấn công
mới và phương pháp phòng chống.
• cách cài đặt và demo sử dụng
Tạo các thư mục cho Snort:

Tạo thư mục để chứa các danh sách blacklist

Thiết lập phát hiện dựa trên danh tiếng

Thêm alert trong local.rules

Từ một máy ảo khác thực hiện ping đến máy cài snort

Tại máy cài Snort ta gõ lệnh sau: sudo /usr/local/bin/snort -A console -q -c

/etc/snort/snort.conf -i eth0