Snort 3 (Snort++) — это переработанная версия легендарного IDS/IPS-движка, используемого для анализа сетевого трафика и обнаружения атак в реальном времени. Проект развивает Cisco, а сам движок активно применяется как в корпоративных SOC, так и в лабораториях для анализа и эмуляции сетевых атак.
Snort 3 получил модульную архитектуру, Lua-конфигурацию и серьёзный прирост производительности по сравнению со Snort 2.x.
🧠 Основные возможности Snort 3
⏺️ Глубокий анализ трафика (Deep Packet Inspection) — детектирование атак на уровне L3–L7 с использованием сигнатур, протокольных декодеров и препроцессоров.
⏺️ Модульная архитектура — плагины можно включать/отключать, расширять и писать собственные инспекторы.
⏺️ Многопоточность — полноценная поддержка multithreading для высокой пропускной способности.
⏺️Lua-конфигурация — гибкая настройка через snort.lua вместо громоздкого snort.conf из 2-й версии.
⏺️IDS и IPS режимы — может работать как пассивный сенсор или как inline-IPS с блокировкой пакетов.
⏺️Совместимость с правилами Snort 2.x — можно использовать существующие rule-сеты (VRT, community rules и др.).
⛓️💥 Базовый сценарий использования
Запуск Snort в режиме IDS для анализа интерфейса:
snort -c snort.lua -i eth0
Проверка конфигурации перед запуском:
snort -c snort.lua -T
Анализ pcap-файла:
snort -c snort.lua -r traffic.pcap
Запуск в inline-режиме (IPS) через DAQ:
snort -Q --daq afpacket -i eth0 -c snort.lua
⬇️ Установка
🐧 Linux (из репозитория или сборка из исходников)
git clone https://github.com/snort3/snort3.git
cd snort3
export my_path=/path/to/snorty
./configure_cmake.sh --prefix=$my_path
cd build
make -j $(nproc) install
После установки — проверить версию:
snort -V
#ids #ips #networksecurity #soc #snort #tool
🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером