HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

KHOA AN TOÀN THÔNG TIN

Học phần :Kỹ thuật theo dõi và giám sát an toàn mạng
Giảng Viên : Th.S Ninh Thị Thu Trang
Họ và tên: Bùi Hải Đăng
Mã sinh viên: B20DCAT040
Nhóm 04

Hà Nội , 2024

0
1. Yêu cầu bài toán

- Cài đặt Snort

- Cấu hình file snort.conf và file black_list.rules hoặc file white_list.rules trong
snort để phát hiện xâm nhập dựa trên danh tiếng.
2. Bài làm
2.1 Giới thiệu về Snort
-Snort là một Hệ thống phát hiện xâm nhập (IDS) và Hệ thống ngăn chặn xâm
nhập (IPS) mã nguồn mở, mạnh mẽ và rất linh hoạt. Nó được phát triển bởi
Martin Roesch và là một trong những dự án nguồn mở nổi tiếng nhất trong lĩnh
vực bảo mật mạng.Các đặc điểm chính của Snort :

-IDS (Hệ thống phát hiện xâm nhập): Snort giám sát lưu lượng mạng và phát
hiện các mô hình hoạt động không bình thường hoặc tấn công thông qua việc
so sánh gói dữ liệu với các quy tắc định sẵn.

-IPS (Hệ thống ngăn chặn xâm nhập): Snort có khả năng thực hiện các hành
động ngăn chặn như chặn gói tin chứa mô hình tấn công hoặc ngăn chặn kết
nối tới nguồn tấn công.

-Snort sử dụng quy tắc để mô tả các mẫu tấn công và hoạt động không bình
thường. Các quy tắc này có thể được tùy chỉnh để phát hiện các mối đe dọa
cụ thể.

-Snort có khả năng phân tích và đọc nhiều loại giao thức mạng, từ HTTP và
TCP/IP đến DNS và nhiều giao thức khác.

-Snort có thể thực hiện các hành động ngăn chặn như chặn gói tin chứa mô
hình tấn công hoặc ngăn chặn kết nối tới nguồn tấn công.

2.2 Thực hành cấu hình

2.2.1 Sau khi cài đặt Snort về máy vào thư mục /etc trên Ubuntu kiểm tra

1
2.2.2 Thực hiện cấu hình file snort.conf trong thư mục /etc/snort và kiểm tra lại

2
2.2.3 Sau đó tạo thư mục /iplists trong tập thư mục /rules của snort , trong thư mục
/iplists tạo 2 file black_list.rules và white_list.rules .

2.2.4 Kiểm tra trong file snort.conf trong thư mục /snort cũng có thể thấy đường
dẫn tới link 2 file trên.

3
2.2.5 Thiết lập local.rules để tạo cảnh báo cho các sự kiện trong danh sách đen
hoặc danh sách trắng .

2.2.6 Vào file black_list.rules thêm vào địa chỉ IP vào file .

4
2.2.7 Sau đó từ máy của IP danh tiếng kết nối tới địa chỉ IP của máy Ubuntu cài
dịch vụ Snort , sau đó kiểm tra lại trên máy Ubuntu có cảnh báo không .

5
6
2.2.8 Kiểm tra lại xem luật có hoạt động không trên máy có IP không phải trong
danh sách black_list.rules và không thấy máy Ubuntu cài dịch vụ Snort cảnh báo.

7
8
9