Snort IDS 기본 설정과 룰 작성

Snort IDS 기본 설정과 룰:

기본 설정 (/etc/snort/snort.conf):

# 내부 네트워크 정의
var HOME_NET 192.168.1.0/24
var EXTERNAL_NET !$HOME_NET

# 룰 경로
var RULE_PATH /etc/snort/rules

룰 구조:

# action protocol src_ip src_port -> dst_ip dst_port (options)
alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (
  msg:"SSH Brute Force Attempt";
  flow:to_server,established;
  threshold:type both, track by_src, count 5, seconds 60;
  sid:1000001; rev:1;
)

유용한 커스텀 룰:

# 웹쉘 업로드 탐지
alert http any any -> $HOME_NET any (
  msg:"Possible Webshell Upload";
  content:"

커뮤니티 룰을 먼저 적용하고, 환경에 맞게 커스텀 룰을 추가하세요.