Snort 3

Snort es esencialmente un analizador de tráfico de red en tiempo real que inspecciona los paquetes de datos que fluyen a través de una red.

• Sistema Basado en Reglas: Su funcionamiento se basa en un motor que compara el tráfico de red con un extenso conjunto de reglas (firmas) predefinidas y personalizables. Estas reglas definen qué patrones de tráfico son maliciosos o sospechosos (por ejemplo, intentos de exploit, tráfico de malware, o escaneo de puertos).
• Código Abierto: Es un software gratuito y de código abierto, desarrollado inicialmente por Martin Roesch y actualmente mantenido por Cisco.
• Snort 3: Esta versión se enfoca en mejoras significativas respecto a las versiones anteriores, incluyendo:
  • Mejor Rendimiento: Soporte para el procesamiento de paquetes con múltiples hilos (multithreading), aprovechando mejor los procesadores modernos.
  • Configuración Simplificada: Mayor facilidad para escribir reglas y una estructura de configuración más modular.
  • Detección Automática de Servicios: Capacidad para detectar automáticamente servicios de red sin tener que especificar puertos manualmente.

Snort 3 se utiliza principalmente para monitorizar y proteger las redes en tres modos operativos clave:

1. Sistema de Detección de Intrusiones (IDS)

• Detección de Amenazas: Es su uso principal. Snort monitoriza el tráfico, lo analiza contra sus reglas y genera alertas cuando detecta actividad que coincide con una firma de ataque conocido o un patrón sospechoso (como desbordamientos de búfer, ataques de Denegación de Servicio (DoS), o actividad de gusanos).
• Análisis Forense: Registra el tráfico de red y las alertas, lo que permite a los analistas de seguridad investigar incidentes a posteriori.

2. Sistema de Prevención de Intrusiones (IPS)

• Bloqueo en Tiempo Real: Configurado en modo IPS (inline), Snort no solo detecta el tráfico malicioso, sino que también lo bloquea activamente antes de que pueda llegar a su destino dentro de la red, actuando como una capa de seguridad proactiva.

3. Registrador de Paquetes (Packet Logger)

• Captura de Tráfico: Puede utilizarse como un simple capturador de paquetes (sniffer), registrando todo el tráfico que pasa a través de la interfaz de red en archivos (logs) para su posterior análisis o depuración de red.

La instalación más común para Snort 3 en versiones recientes de Ubuntu se realiza a través de la compilación desde el código fuente, ya que el paquete apt a veces instala una versión anterior (Snort 2) o no está disponible con todas las características.

Pasos para Instalar y Configurar Snort 3 en Ubuntu 24.04

sudo apt update && sudo apt upgrade -y

sudo apt install -y build-essential libpcap-dev libpcre3-dev libdumbnet-dev zlib1g-dev liblzma-dev openssl libssl-dev ethtool

sudo apt install build-essential autoconf libtool

Descargaremos la librería DAQ (Data Acquisition), que es una dependencia fundamental de Snort 3.

wget https://github.com/snort3/libdaq/archive/refs/tags/v3.0.21.tar.gz -O libdaq-3.0.21.tar.gz

tar -xf libdaq-3.0.21.tar.gz

cd libdaq-3.0.21

./bootstrap
./configure
make
sudo make install

Ahora que tienes instalada la librería DAQ, el sistema está listo para compilar e instalar el motor principal de Snort 3, que depende de ella.

1. Descargar las Librerías Restantes

cd ~

wget https://github.com/snort3/snort3/archive/refs/tags/3.9.5.0.zip -O snort3-3.9.5.0.zip

sudo apt install unzip
unzip snort3-3.9.5.0.zip
cd snort3-3.9.5.0

3. Configurar y Compilar Snort 3

A diferencia de libdaq, Snort 3 utiliza cmake para la configuración y compilación.

sudo apt install cmake libluajit-5.1-dev libhwloc-dev
sudo apt install flex
sudo apt install libpcre2-dev

./configure_cmake.sh --prefix=/usr/local/snort

cd build
make -j 2
sudo make install

Ahora que Snort está instalado, el siguiente paso es verificar que el binario se ejecuta correctamente y que puede detectar la librería DAQ que compilamos.

1. Verificar la Instalación de Snort

Debido a que instalamos Snort en /usr/local/snort/bin/, debemos llamar al binario usando esa ruta completa o añadiendo ese directorio a tu PATH.

Ejecuta el siguiente comando para verificar la versión instalada:

/usr/local/snort/bin/snort -V

Salida esperada: versión de Snort 3 instalada correctamente

2. Verificar la Configuración Básica

Ahora, comprueba que Snort puede encontrar el archivo de configuración principal (snort.lua) que se instaló y que las rutas son correctas. Esto validará la configuración base.

/usr/local/snort/bin/snort -c /usr/local/snort/etc/snort/snort.lua

Snort validando el archivo de configuración snort.lua

Si ambos comandos se ejecutan sin errores (especialmente el segundo), significa que Snort está listo para ser configurado y usado para monitorear el tráfico.

Para que Snort sea útil, debes realizar dos tareas clave: definir la red que vas a proteger (la red doméstica) y obtener el set completo de reglas.

1. Configurar la Red Doméstica (HOME_NET)

Debes editar el archivo de configuración por defecto para especificar el rango de IP de tu red local. Esto es crítico para que Snort sepa qué tráfico es interno (de confianza) y cuál es externo (potencialmente hostil).

sudo nano /usr/local/snort/etc/snort/snort.lua

-- Define HOME_NET and EXTERNAL_NET
-- The default is 'any'
-- HOME_NET = 'any'
-- EXTERNAL_NET = 'any'

HOME_NET = '192.168.1.0/24'
EXTERNAL_NET = '!'

Edición del archivo snort.lua para definir HOME_NET

Las 219 reglas que cargaste son solo las de ejemplo (file_magic). Necesitas reglas de detección de amenazas reales.

• Puedes obtener el set de reglas gratuitas (Community Rules) o las reglas actualizadas de Talos (requieren registro en Snort.org).
• Recomendación: Descarga las reglas de la comunidad.

Pasos para las Reglas de la Comunidad (Community Rules)

cd ~

wget https://www.snort.org/downloads/community/snort3-community-rules.tar.gz

sudo mkdir -p /usr/local/snort/etc/snort/rules
sudo tar -xf snort3-community-rules.tar.gz -C /usr/local/snort/etc/snort/rules/ --strip-components 1

Crear un Archivo de Reglas de Referencia (Si Aún No Existe)

sudo nano /usr/local/snort/etc/snort/rules/local.rules

alert icmp any any ->  any (msg:"Test ICMP Echo Request"; sid:1000000; rev:1;)

Regla ICMP de prueba añadida al archivo local.rules

Guarda y sal.

El ejecutable principal de Snort 3 es /usr/local/snort/bin/snort. El uso más básico siempre requiere especificar el archivo de configuración.

1. Sintaxis Básica de Ejecución

/usr/local/snort/bin/snort [MODO] [OPCIONES]

2. Modos Operacionales Clave

3. Uso en Modo IDS (Sistema de Detección de Intrusos)

Este es el modo más importante para la seguridad de la red.

3.1. Identificar la Interfaz de Red

Antes de ejecutar Snort, necesitas saber qué interfaz usar. Si estás en VirtualBox, probablemente sea eth0 o enp0s3.

ip a

3.2. Ejecutar Snort en Modo IDS

Ejecuta Snort en la interfaz de red con tu archivo de configuración. Usa sudo porque necesita acceso de bajo nivel a la red.

sudo /usr/local/snort/bin/snort -i enp0s3

• -c: Especifica el archivo de configuración Lua que acabas de modificar.
• -i: Especifica la interfaz de red para escuchar (ej. eth0).

Pasos de Uso en Modo Sniffer

En este modo, Snort está funcionando como un tcpdump avanzado. Si empiezas a generar tráfico en tu máquina virtual (por ejemplo, navegando a un sitio web o haciendo un ping), Snort mostrará los encabezados de los paquetes.

• Para ver los encabezados de paquetes detallados, haz un ping a una IP externa desde otra terminal:

ping 8.8.8.8

• Para detener Snort en este modo, simplemente presiona Ctrl+C.

Resumen de estadísticas al detener Snort en modo Sniffer

Análisis del Resumen de Paquetes

• daq received: 529: Snort recibió 529 paquetes de la red.
• daq analyzed: 529: Snort pudo analizar todos los paquetes recibidos.
• detection analyzed: 529: El motor de detección (IPS) también procesó todos los paquetes (aunque sin reglas de detección de amenazas cargadas).
• Distribución de Protocolos: El tráfico es típico de una red moderna, con una gran cantidad de tráfico IPv4 (71.645%), IPv6 (17.391%), y mucho tráfico de multidifusión (igmp: 139).
• Advertencias de Checksum: Vemos bad_tcp4_checksum (17) y bad_tcp6_checksum (14). Esto es común y normal en entornos de máquinas virtuales debido a la descarga de checksum (checksum offloading) que realiza el hardware o la capa de virtualización. Snort lo detecta, pero no es necesariamente un error.

Siguiente Paso: Activar la Detección de Intrusos (Modo IDS)

Ahora que sabes que Snort puede ver el tráfico, el siguiente paso es ejecutarlo en su función principal: el modo IDS, donde utiliza tu archivo de configuración snort.lua y las miles de reglas de la comunidad que intentamos cargar.

Para poner Snort en modo IDS, necesitas cargar la configuración:

sudo /usr/local/snort/bin/snort -c /usr/local/snort/etc/snort/snort.lua -i enp0s3

3.3. Opciones Comunes Adicionales

Cuando Snort detecta una amenaza, genera una Alerta.

4.1. Ejemplo de Alerta en Consola (-A console)

Si usas la opción -A console, verás una salida similar a esta (asumiendo que tienes una regla ICMP simple):

02/11-12:00:00.123456 [**] [1:1000000:1] Test ICMP Echo Request [**] [Priority: 0] {ICMP} 192.168.1.5 -> 192.168.1.1

• [1:1000000:1]: El SID (Signature ID) de la regla. Este número es único y es la clave para identificar la amenaza.
• Test ICMP Echo Request: El MSG (Mensaje) de la regla, que describe la amenaza.
• {ICMP}: El protocolo involucrado.
• 192.168.1.5 -> 192.168.1.1: La dirección IP de origen y destino.

4.2. Log de Eventos (-l y Logs Binarios)

En producción, Snort genera logs en formato binario (Unified2) para un rendimiento rápido. Para leer estos logs, necesitas herramientas como u2spewfoo (que se instaló con Snort).

sudo mkdir -p /var/log/snort
sudo /usr/local/snort/bin/snort -c /usr/local/snort/etc/snort/snort.lua -i enp0s3 -l /var/log/snort

/usr/local/snort/bin/u2spewfoo /var/log/snort/*

Error esperado cuando no se han generado alertas todavía

¿Por qué ocurre?

1. Snort se Ejecutó Correctamente: Al revisar las estadísticas:
   • received: 26 y analyzed: 26: Snort estuvo activo y capturó 26 paquetes.
   • ^C** caught int signal: Confirmas que detuviste Snort manualmente (Ctrl+C).
   • No hay Alertas: La mayoría de los 26 paquetes eran tráfico de red normal como ARP, ICMP6, IGMP y UDP.
2. No hay Archivos de Log: Por defecto, Snort solo genera archivos de log de formato unified2 cuando genera una alerta o cuando se le pide que registre todo el tráfico.
3. La Carpeta Sigue Vacía: Como no hubo alertas y no configuraste un registro completo de paquetes, Snort no creó ningún archivo de log en /var/log/snort.

Cómo Generar el Log

Opción 1: Forzar una Alerta (Recomendada para Pruebas)

Debes generar tráfico que active una de las 219 reglas que Snort cargó.

1. Regla de Prueba (Ping): La forma más fácil es añadir reglas de prueba. Si estás en un entorno de prueba, puedes modificar el archivo snort.lua para añadir una regla de prueba que se active con un simple ping.

   ping 8.8.8.8

2. Generar Tráfico Malicioso (Si tienes reglas activas): Si tienes reglas de detección de intrusiones cargadas, deberías simular un ataque o un escaneo de puertos.

Opción 2: Generar un Log de Paquetes (Si no hay Alertas)

Si quieres ver el log de los paquetes capturados (aunque no sean alertas), debes añadir una opción de salida de tráfico explícita a tu comando de Snort. Añade la opción -K ascii o --dump-payload para forzar la salida de logs de tráfico legibles por humanos.

Comando de Ejemplo con Salida Verbosa

Simplemente ejecuta Snort en modo "verbose" con -A console y sin especificar el output de logs, lo que te mostrará las alertas directamente en pantalla:

sudo /usr/local/snort/bin/snort -c /usr/local/snort/etc/snort/snort.lua -i enp0s3 -A alert_fast

Comando de Ejemplo para Generar un Log que u2spewfoo pueda Leer

Para que Snort genere un archivo unified2 que u2spewfoo pueda leer, debes usar la opción de salida de log unified2 en el archivo de configuración snort.lua y luego generar una alerta.