[CentOS7] IDS 환경을 위한 Snort 구축 및 테스트

1. 관련 패키지 설치

yum -y install libdnet-devel openssl-devel pkgconfig gcc flex bison zlib* libpcap* pcre* libpcap-devel libpcre3-devel libnetfilter-queue-devel iptables-devel libdnet* tcpdump

 

2. daq 설치

yum install -y daq daq-devel daq-modules libnghttp2

 

3. snort 설치

3-1 snort 다운로드

wget https://snort.org/downloads/snort/snort-2.9.16-1.centos7.x86_64.rpm

wget https://snort.org/downloads/archive/snort/snort-2.9.16-1.centos7.x86_64.rpm

이미 새로운 버전이 나왔다면 archive 경로로 이동이 되는 것 같다.

 

3-2 snort 설치

rpm -ivh snort-2.9.16-1.centos7.x86_64.rpm

 

3-3 snort 버전 확인

snort -V

snort 버전

 

4. 권한 변경

chmod -R 700 /etc/snort 

chmod -R 700 /var/log/snort

chmod -R 700 /usr/local/lib/snort_dynamicrules

chown -R snort.snort /etc/snort

chown -R snort.snort /var/log/snort

chown -R snort.snort /usr/local/lib/snort_dynamicrules

 

5. snort.conf 설정 변경

# Setup the network addresses you are protecting

ipvar HOME_NET 192.168.0.0/24

 

# Set up the external network addresses. Leave as "any" in most situations

ipvar EXTERNAL_NET $HOME_NET 또는 any

 

# site specific rules

include $RULE_PATH/local.rules 

 

아래의 그림 처럼 절대 경로를 지정해줘야한다.

snort 절대경로 지정

snort 로그 설정

 

6. Snort 실행

snort -i enp0s3 -A console -c /etc/snort/snort.conf

 

7. ICMP alert test

이제 시스템에 ping 을 보내면 아래와 같이 alert가 발생하면서 화면에 찍히게 된다.