नेटवर्क सुरक्षा में Snort क्या है?

Snort – ओपन-सोर्स नेटवर्क इंट्रूजन डिटेक्शन/प्रीवेंशन सिस्टम (IDS/IPS)

Snort मार्टिन रोएश द्वारा बनाया गया और अब सिस्को (टैलोस) द्वारा अनुरक्षित एक व्यापक रूप से तैनात, नियम-आधारित नेटवर्क IDS/IPS है। यह वास्तविक समय में पैकेट का विश्लेषण करता है, हस्ताक्षर/विसंगति मिलान करता है, और अलर्ट/ब्लॉक उत्पन्न करता है।

तीन प्राथमिक मोड

1. पैकेट स्निफर: प्रॉमिस्क्युअस मोड में ट्रैफिक कैप्चर करता है और कंसोल/फाइल पर प्रदर्शित करता है (snort -v, -vd, -vde)।
2. पैकेट लॉगर: बाइनरी (pcap) या ASCII में डिस्क पर पैकेट लॉग करता है (snort -l ./log -b)।
3. नेटवर्क IDS/IPS: नियम सेट के विरुद्ध ट्रैफिक का मूल्यांकन करता है; अलर्ट उत्पन्न करता है (IDS) या इनलाइन मोड में दुर्भावनापूर्ण पैकेट ड्रॉप करता है (IPS)।

मुख्य क्षमताएं

• नियम भाषा: लचीला नियम सिंटैक्स (प्रोटोकॉल, IP/पोर्ट, सामग्री मिलान, PCRE, फ्लो, डिटेक्शन प्लगइन्स)।
• प्रोटोकॉल विश्लेषण: HTTP, DNS, SSL/TLS, SMB, RPC, आदि का डीप पैकेट इंस्पेक्शन।
• प्रीप्रोसेसर्स: फ्रैगमेंट रीअसेंबली, स्ट्रीम रीअसेंबली, HTTP इंस्पेक्ट, पोर्ट स्कैन डिटेक्शन (sfPortscan)।
• आउटपुट प्लगइन्स: सिस्लॉग, डेटाबेस (MySQL/PostgreSQL via Barnyard2), यूनिफाइड2, JSON, PCAP।
• हाई परफॉरमेंस: मल्टी-थ्रेडेड (Snort 3), AF_PACKET, DPDK, वेक्टराइज्ड प्रोसेसिंग।

नियम उदाहरण

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"SSH ब्रूट फोर्स प्रयास"; flow:to_server,established; content:"SSH-"; detection_filter:track by_src, count 5, seconds 60; sid:1000001; rev:1;)

तैनाती आर्किटेक्चर

• इनलाइन (IPS): ट्रैफिक पथ में (ब्रिज/टैप/इनलाइन इंटरफेस) – सक्रिय रूप से ब्लॉक करता है।
• पैसिव (IDS): SPAN/मिरर पोर्ट या नेटवर्क TAP – केवल अलर्ट।
• सेंसर प्लेसमेंट: इंटरनेट एज (फायरवॉल के बाहर/अंदर), डेटा सेंटर पूर्व-पश्चिम, क्लाउड VPC ट्रैफिक मिररिंग।

नियम सेट

• कम्युनिटी नियम (मुफ्त): स्नोर्ट वेबसाइट पर पंजीकरण के साथ उपलब्ध; 30-दिन की देरी।
• सब्सक्राइबर नियम (सशुल्क): रीयल-टाइम अपडेट, टैलोस इंटेलिजेंस द्वारा क्यूरेटेड।
• इमर्जिंग थ्रेट्स (ET/ET Pro): लोकप्रिय मुफ्त/सशुल्क वैकल्पिक नियम सेट (Proofpoint)।

Snort बनाम Suricata बनाम Zeek

क्यों Snort उपयोगी है?

• उद्योग-मानक IDS/IPS; कई SIEM/सुरक्षा उत्पादों में एम्बेडेड।
• मुफ्त कोर इंजन; पारदर्शी नियम भाषा सीखने/अनुकूलन के लिए आसान।
• PCI-DSS आवश्यकता 11.4 (IDS/IPS) को पूरा करने के लिए उपयोग किया जाता है।
• शैक्षिक मूल्य: नेटवर्क प्रोटोकॉल और हमला हस्ताक्षर समझने के लिए उत्कृष्ट।

शुरुआत करना

1. विंडोज पर इंस्टॉलर डाउनलोड करें (Npcap शामिल) या लिनक्स पर apt install snort।
2. snort.conf कॉन्फ़िगर करें (होम_नेट, एक्सटर्नल_नेट, नियम पथ)।
3. snort -T -c snort.conf से कॉन्फ़िगरेशन टेस्ट करें।
4. IDS मोड में चलाएं: snort -A console -q -c snort.conf -i eth0।
5. अलर्ट देखें (/var/log/snort/alert या कंसोल)।