Snort 네트워크 침입 탐지 과정은 의심 행동을 검증 가능한 IDS 규칙과 실행 가능한 경고로 바꿉니다. 4개 안내형 실습에서 구성, 캡처, 규칙 문법, content/PCRE 시그니처, 경고 분석을 다루고 마지막 도전에서 준비된 경계 공격 PCAP에 적용합니다.
격리된 Ubuntu 22.04 VM에서 로컬 트래픽과 모의 PCAP을 사용하며 규칙 검증, fast/full 경고, 오탐과 미탐을 학습합니다.
학습 내용
snort.conf,HOME_NET, 모니터링 전 문법 검증- Snort sniffer/logger 모드와 패킷 보존
- action, protocol, address, direction, port 규칙 헤더
- message, SID, revision, TCP flag, content 조건
- literal content와 PCRE로 모의 SQL injection 탐지
- fast/full 경고에서 endpoint, service, signature, packet 해석
- PCAP 분석, SYN scan/HTTP exploit 시그니처와 경고 요약
추천 대상
시그니처 기반 탐지를 실습하려는 SOC 학습자, 네트워크 방어자, 분석가, Linux 관리자에게 적합합니다. 패킷과 프로토콜 기초가 필요합니다.
선수 지식: Linux 셸, TCP/IP 주소·포트, ICMP, TCP flag, HTTP, tcpdump로 PCAP 읽기. Snort 규칙 경험은 필요 없습니다.
학습 환경: Ubuntu 22.04 VM의 5개 활동(4개 안내형 실습, 1개 도전)입니다. 구성, 로컬 규칙, 테스트 트래픽, 로그, 모의 PCAP이 제공됩니다.
자주 묻는 질문
트래픽을 차단하는 inline IPS를 구성하나요?
아닙니다. sniffer, logger, 수동 IDS, offline PCAP으로 경고를 생성하며 inline 차단은 범위 밖입니다.
실제 외부 시스템을 공격하나요?
아닙니다. SQL injection, SYN scan, HTTP exploit은 로컬과 준비된 PCAP에서 모의합니다.
Snort 규칙 구독이 필요한가요?
아닙니다. 포함된 구성과 자체 SID의 로컬 규칙을 사용합니다.
모든 공격 변형을 탐지하나요?
아닙니다. 넓은 규칙은 오탐, 좁은 규칙은 우회를 낳습니다. production 전체 커버리지가 아닙니다.
