Snort es una herramienta de código abierto ampliamente utilizada para la detección y prevención de intrusiones (IDS/IPS) en redes. Desarrollado por Sourcefire, ahora parte de Cisco, Snort ofrece capacidades avanzadas para analizar el tráfico de red en tiempo real y detectar actividades sospechosas. En este artículo, te guiaremos paso a paso en la instalación y uso básico de Snort en un sistema Linux. Este contenido está optimizado para Google, asegurando que encuentres toda la información necesaria para comenzar a utilizar Snort de manera efectiva.

¿Qué es Snort?

Snort es un sistema de detección de intrusiones basado en firmas que monitorea el tráfico de red y analiza paquetes para detectar comportamientos maliciosos. Snort puede configurarse en modo de detección (IDS) para alertar sobre posibles ataques o en modo de prevención (IPS) para bloquear activamente amenazas.

Requisitos Previos

Antes de comenzar, asegúrate de tener los siguientes requisitos:

1. Un sistema Linux (Debian, Ubuntu, CentOS, etc.).
2. Acceso a una cuenta de usuario con privilegios de sudo.
3. Conexión a Internet para descargar los paquetes necesarios.

Paso 1: Actualizar el Sistema

Primero, asegúrate de que tu sistema Linux esté actualizado:

sudo apt update && sudo apt upgrade -y

Paso 2: Instalar las Dependencias

Snort requiere varias dependencias. Instálalas usando el siguiente comando:

sudo apt install -y build-essential libpcap-dev libpcre3-dev libdumbnet-dev bison flex zlib1g-dev

Paso 3: Descargar e Instalar Snort

Descarga la última versión de Snort desde su sitio web oficial:

wget https://www.snort.org/downloads/snort/snort-2.9.20.tar.gz

Extrae el archivo descargado:

tar -xzvf snort-2.9.20.tar.gz
cd snort-2.9.20

Compila e instala Snort:

./configure --enable-sourcefire
make
sudo make install

Paso 4: Configurar las Variables de Entorno

Configura las variables de entorno necesarias para Snort:

sudo ln -s /usr/local/bin/snort /usr/sbin/snort
sudo ldconfig

Paso 5: Configurar Snort

Crea los directorios de configuración y registros para Snort:

sudo mkdir /etc/snort
sudo mkdir /etc/snort/rules
sudo mkdir /etc/snort/preproc_rules
sudo mkdir /var/log/snort
sudo mkdir /usr/local/lib/snort_dynamicrules

Copia los archivos de configuración predeterminados:

sudo cp etc/*.conf* /etc/snort
sudo cp etc/*.map /etc/snort
sudo cp etc/*.dtd /etc/snort

Paso 6: Descargar y Configurar Reglas de Snort

Snort utiliza reglas para detectar intrusiones. Descarga las reglas comunitarias:

wget https://www.snort.org/downloads/community/community-rules.tar.gz
sudo tar -xzvf community-rules.tar.gz -C /etc/snort/rules

Edita el archivo de configuración principal (/etc/snort/snort.conf) para especificar la ruta a las reglas y los archivos de configuración. Asegúrate de que las siguientes líneas apunten a los directorios correctos:

var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules
var WHITE_LIST_PATH /etc/snort/rules
var BLACK_LIST_PATH /etc/snort/rules

Paso 7: Ejecutar Snort en Modo Prueba

Antes de poner Snort en producción, ejecútalo en modo de prueba para asegurarte de que todo esté configurado correctamente:

sudo snort -T -c /etc/snort/snort.conf

Si no se presentan errores, Snort está listo para ser utilizado.

Paso 8: Ejecutar Snort en Modo IDS

Para ejecutar Snort en modo IDS y comenzar a monitorear el tráfico de red, usa el siguiente comando:

sudo snort -A console -q -c /etc/snort/snort.conf -i eth0

Reemplaza eth0 con el nombre de tu interfaz de red.

Paso 9: Analizar las Alertas

Las alertas de Snort se pueden encontrar en el archivo de registro ubicado en /var/log/snort/alert. Puedes verlas usando un editor de texto o comandos como cat o less:

sudo cat /var/log/snort/alert

Conclusión

Snort es una herramienta poderosa y flexible para la detección de intrusiones en redes. Siguiendo esta guía, podrás instalar y configurar Snort en tu sistema Linux, permitiéndote monitorear y proteger tu red de amenazas potenciales. No olvides actualizar regularmente las reglas de Snort y revisar las alertas para mantener una defensa efectiva contra intrusos.