Snort adalah Intrusion Prevention System (IPS) Open Source terdepan di dunia. Snort IPS menggunakan serangkaian rules untuk mendeteksi aktivitas jaringan yang berbahaya, lalu memeriksa paket data yang sesuai dengan rules tersebut dan memberikan alert kepada pengguna. Snort juga bisa digunakan inline untuk memblokir paket-paket berbahaya secara langsung. Snort memiliki tiga fungsi utama:

Sebagai packet sniffer (seperti tcpdump)
Sebagai packet logger—berguna untuk debugging lalu lintas jaringan
Sebagai network intrusion prevention system (IPS) lengkap

Install Snort

 
sudo apt install snort

Hello World

Make sure udah keinstall dan lihat versi:

 
sudo snort -V

   ,,_     -*> Snort! <*-
  o"  )~   Version 2.9.20 GRE (Build 82) 
   ''''    By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
           Copyright (C) 2014-2022 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.10.4 (with TPACKET_V3)
           Using PCRE version: 8.39 2016-06-14
           Using ZLIB version: 1.3

Testing configuration file

 
sudo snort -c /etc/snort/snort.conf -T

Artinya:

sudo snort - Jalankan aplikasi snort
-c /etc/snort/snort.conf - Gunakan konfigurasi dari file ini (-c = config)
-T - test mode, bukan jalanin Snort beneran, cuma ngecek config aja

Sniffer Mode

Parameter yang digunakan dalam sniffer mode

Parameter	Deskripsi
`-v`	verbose, print output TCP/IP di console
`-d`	print isi paket (payload)
`-e`	print link-layer (TCP/IP/UDP/ICMP) headers
`-X`	dump full paket (HEX + ASCII) dari payload sampe header
`-i`	interface

Logger Mode

Parameter yang digunakan dalam logger mode

Parameter	Deskripsi
`-l`	flag buat logger mode
`-K ASCII`	log dalam format ASCII
`-r`	flag buat baca log
`-n`	n packet yang mau dibaca/process

Contoh

 
# -l buat nyimpen hasil log
sudo snort -dev -l .

# read log
sudo snort -r snort.log 

# filter 
sudo snort -r logname.log 'udp and port 53'