Snort – kraftfull kontroll men kräver kunskaper

Snort hämtas från www.snort.org. Där finns även en bra manual, länkar till de basregler som säljs av Sourcefire och länkar till listarkiv.

Orolig för intrångsförsök i företagets nätverk? Då är Snort ett intressant verktyg, men se till att lägga tillräckligt mycket tid på att konfigurera det rätt. Att installera och starta Snort är nämligen ingen större konst, men att sätta upp ett regelverk som får den att reagera på det man vill upptäcka, utan att ge en massa falsklarm, är inte lika enkelt.

Grundregler till salu
Snort är helt öppen programvara, med GNU-licens. Vad som däremot kostar är att köpa uppsättningar av basregler för att konfigurera Snort från tillverkaren Sourcefire. Sådana basregler ger en utgångspunkt, men man bör vara medveten om att det även med dessa krävs en hel del kunskap och tid för att konfigurera rätt för det egna företagets behov.

Sourcefire framhäver själva att Snort i praktiken blivit branschstandard, och en ovetenskaplig förfrågan bland säkerhetsmedvetna nätverksansvariga ger dem rätt.

Vi testar med Ubuntu
Hur fungerar det då att sätta upp och köra Snort? Vi testar först en installation på Ubuntu Linux, som går smidigt genom kommandot apt-get.

Vi testar sedan att plocka hem och installera på Windows 7. Då uppstår en liten konstighet när den tycker att installationsfilen saknar exe-suffix, men det är lätt att lägga till själv när man har laddat ned filen, och sedan är det bara att klicka sig fram.
Komplexiteten kommer in när man har Snort på plats och ska ge sig in på att skapa regler för vad den ska göra.

Programmet kan logga trafik, larma vid vissa händelser och blockera trafik på lite olika sätt. Det är en rejäl verktygslåda man får. Men det är just en verktygslåda – nu gäller det att bygga ihop vad man vill ha.

Snort hämtas från www.snort.org. Där finns även en bra manual, länkar till de basregler som säljs av Sourcefire och länkar till listarkiv.

Snort konfigureras med en uppsättning regler för hur den ska reagera på nätverkstrafiken. Här är ett exempel på en enkel regel från snort.org som ger larm vid mountd access till adressen 192.168.1.0/24.

Trimma in och underhåll
Vi testar med några regler som vi själva triggar igång – inkommande trafik på utpekade portar, utgående till vissa adresser. Mycket riktigt reagerar Snort enligt reglerna. Frågan är bara vad man nu egentligen borde logga, larma och stänga ute. Ett medelstort företag behöver troligen några veckors intrimning av Snort, och sedan måste reglerna förstås underhållas när saker förändras i nätverket.

Trots att Sourcefire erbjuder en prenumeration på basregler att utgå ifrån, förblir alltså regelkonfigurationen det stora jobbet med att använda Snort så att produkten gör nytta.

Den dokumentation som finns på nätet är lyckligtvis riktigt bra, och en hastig koll tyder på att det också finns en aktiv användargemenskap att hämta tips från, men man ska ändå vara beredd på att det blir en ordentlig startsträcka.

TechWorlds slutsats
Att komma igång med Snort är inte särskilt svårt, men för att veta hur man ska använda sig av den för att fånga rätt saker krävs kunskap om vad som är normal trafik till och inom det egna nätverket. Alltså är Snort en bra verktygslåda, men för att använda den ordentligt krävs en hel del kunskap om nätverk och säkerhetsfrågor.