Snort su Kali Linux guida pratica installazione configurazione generale e regole locali

Se vuoi trasformare Kali Linux in un sensore IDS capace di intercettare traffico sospetto in tempo reale Snort e una delle soluzioni piu usate. In questa guida trovi cosa e Snort come installarlo su Kali e come configurare sia la parte generale sia le regole locali.

🔑 Cos e Snort e a cosa serve

Snort e un motore di ispezione del traffico di rete che puo lavorare come sniffer logger o come sistema di rilevamento intrusioni. Il suo punto di forza sono le regole che descrivono condizioni e pattern di traffico che generano un alert quando vengono rilevati.

Modalita principali

Sniffer mostra pacchetti in tempo reale
Packet logger salva i pacchetti su disco
NIDS confronta il traffico con regole e genera alert

📥 Installazione download di Snort su Kali Linux con apt

Su Kali puoi installare Snort dai repository ufficiali con apt. Questo e il metodo piu semplice per partire velocemente.

Aggiorna indici pacchetti

sudo apt update

Installa Snort regole base e documentazione

sudo apt install -y snort snort-rules-default snort-doc

Verifica versione e file presenti

snort -V
dpkg -L snort | grep -E "snort.conf|snort.lua"

📁 Struttura tipica file e cartelle su Kali

Dopo l installazione i percorsi piu comuni sono quelli riportati sotto. In alcune installazioni possono variare leggermente.

Elemento	Percorso tipico
Configurazione principale	/etc/snort/snort.conf
Regole	/etc/snort/rules/
Log	/var/log/snort/

Trova i file sul tuo sistema

sudo find /etc -maxdepth 3 -type f -name "snort.conf" -o -name "snort.lua"
sudo find /etc/snort -maxdepth 3 -type f -name "*.rules" 2>/dev/null

⚙ Configurazione generale globale con snort.conf

La configurazione generale definisce quali reti monitorare dove cercare le regole e come gestire output e log. Apri il file snort.conf e imposta prima di tutto le variabili di rete.

Apri il file di configurazione

sudo nano /etc/snort/snort.conf

Imposta HOME_NET ed EXTERNAL_NET

HOME_NET rappresenta la rete da proteggere e monitorare. EXTERNAL_NET di solito e any oppure una definizione piu specifica.

ipvar HOME_NET 192.168.1.0/24
ipvar EXTERNAL_NET any

Controlla i percorsi delle regole

Assicurati che le variabili puntino a cartelle esistenti nel sistema.

var RULE_PATH /etc/snort/rules
var SO_RULE_PATH /etc/snort/so_rules
var PREPROC_RULE_PATH /etc/snort/preproc_rules

Includi le regole e local.rules

Verifica che local.rules venga incluso. Se manca aggiungilo in fondo o nella sezione include delle regole.

include $RULE_PATH/local.rules

📝 Configurazione locale con local.rules regole personalizzate

La configurazione locale e dove inserisci regole create da te per il tuo laboratorio o la tua rete. Crea o modifica il file local.rules e aggiungi regole con sid personalizzati.

Crea o modifica local.rules

sudo nano /etc/snort/rules/local.rules

Esempio alert su ping ICMP verso HOME_NET

alert icmp any any -> $HOME_NET any (msg:"ICMP PING verso HOME_NET"; itype:8; sid:1000001; rev:1;)

Esempio alert su tentativo SSH verso HOME_NET

alert tcp any any -> $HOME_NET 22 (msg:"Tentativo accesso SSH verso HOME_NET"; flags:S; sid:1000002; rev:1;)

✅ Test della configurazione

Prima di avviare Snort in ascolto testa sempre la configurazione per evitare errori di sintassi o percorsi errati.

Validazione snort.conf e regole

sudo snort -T -c /etc/snort/snort.conf

📶 Avvio di Snort in modalita NIDS live

Dopo il test puoi avviare Snort sull interfaccia di rete corretta e vedere gli alert in console e nei log.

Individua l interfaccia di rete

ip a

Avvia Snort con alert in console

sudo snort -A console -q -i eth0 -c /etc/snort/snort.conf -l /var/log/snort

Genera traffico di test

ping verso un host nella rete HOME_NET
connessione ssh verso un host nella rete HOME_NET anche fallita

💾 Dove leggere alert e log

A seconda dell output configurato puoi vedere alert su console e file in /var/log/snort.

Controllo rapido dei log

sudo ls -lah /var/log/snort
sudo tail -n 50 /var/log/snort/alert 2>/dev/null

🔄 Aggiornare le regole senza complicazioni

Per iniziare puoi usare il pacchetto snort-rules-default. Se vuoi aggiornamenti piu frequenti puoi valutare ruleset community o strumenti di update.

Opzioni comuni

Regole default installate con snort-rules-default
Ruleset community o registered da fonti ufficiali
Tool di aggiornamento regole per automatizzare il processo

💡 Snort 3 nota rapida

Snort 3 usa una configurazione differente spesso basata su snort.lua. Se il tuo obiettivo e partire subito su Kali con una configurazione classica la strada piu rapida e Snort installato via apt con snort.conf. Se vuoi un approccio piu moderno valuta Snort 3 con documentazione ufficiale.

❓ FAQ

Risposte veloci alle domande piu comuni su Snort in Kali Linux.

Snort su Kali Linux e IDS o IPS

Snort nasce come IDS ma puo essere integrato in scenari di prevenzione a seconda della modalita e dell infrastruttura.

Dove si configura Snort su Kali

In genere in /etc/snort/snort.conf e le regole locali in /etc/snort/rules/local.rules.

Qual e il comando per testare snort.conf

Usa sudo snort -T -c /etc/snort/snort.conf.

🔗 Mini FAQPage JSON LD

Se vuoi puoi aggiungere questo blocco per il markup FAQ. Inseriscilo in pagina dove preferisci.

<script type="application/ld+json">
{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "Dove si configura Snort su Kali Linux",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Su Kali con Snort 2 la configurazione principale e in /etc/snort/snort.conf mentre le regole locali sono spesso in /etc/snort/rules/local.rules. Con Snort 3 la configurazione e in snort.lua."
      }
    },
    {
      "@type": "Question",
      "name": "Qual e il comando per testare snort.conf",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Puoi validare la configurazione con sudo snort -T -c /etc/snort/snort.conf"
      }
    }
  ]
}
</script>

Snort