Hướng dẫn cài đặt Snort 3 trên Ubuntu: Lá chắn IDS/IPS toàn diện cho Server – ITFROMZERO

Table of Contents

Khi tường lửa truyền thống dần trở nên “lực bất tòng tâm”

Nhiều quản trị viên tin rằng chỉ cần bật UFW và Fail2ban là server đã an toàn. Thực tế, tường lửa truyền thống (Firewall) chỉ đóng/mở các cổng (Port) dựa trên địa chỉ IP. Nó hoàn toàn “mù tịt” trước nội dung thực sự bên trong gói tin. Nếu hacker gửi một đoạn mã độc qua cổng 80 (HTTP) vốn đang được mở, tường lửa sẽ thản nhiên cho qua.

Hãy coi firewall như bảo vệ cổng chỉ kiểm tra thẻ ra vào. Kẻ xấu có thẻ hợp lệ nhưng mang theo chất nổ vẫn sẽ lọt qua dễ dàng. Để xử lý triệt để, bạn cần một lớp kiểm tra hành lý chuyên sâu. Đó là lúc Snort 3 – hệ thống phát hiện xâm nhập (IDS) thế hệ mới – thể hiện vai trò của mình.

Tại sao hacker dễ dàng vượt qua các lớp bảo mật cơ bản?

Các cuộc tấn công hiện đại không còn thô sơ như trước. Hacker sử dụng những kỹ thuật lách luật cực kỳ thông minh:

SQL Injection / XSS: Gói tin đi qua cổng 80 hoàn toàn đúng quy tắc kết nối, nhưng nội dung lại chứa mã phá hủy cơ sở dữ liệu.
Buffer Overflow: Gửi lượng dữ liệu khổng lồ vào một dịch vụ để chiếm quyền điều khiển hệ thống từ xa.
Zero-day exploits: Tấn công vào các lỗ hổng chưa được công bố, nơi mà các bộ quy tắc tĩnh của firewall chưa kịp cập nhật.

Nếu thiếu khả năng soi chiếu sâu (Deep Packet Inspection – DPI), server của bạn chẳng khác nào ngôi nhà khóa chặt cửa chính nhưng lại để hở cửa sổ phía sau.

So sánh các giải pháp giám sát mạng phổ biến

Khi chọn công cụ bảo vệ hệ thống, chúng ta thường đứng giữa ba lựa chọn chính:

Soi log thủ công: Cách này chỉ tốn thời gian và vô dụng. Khi bạn tìm thấy dấu vết trong log, hacker thường đã xóa sạch dấu vết và rút lui từ lâu.
Suricata: Một đối thủ đáng gờm, hỗ trợ đa luồng rất tốt. Tuy nhiên, Snort vẫn chiếm ưu thế nhờ cộng đồng khổng lồ và kho luật (rules) được cập nhật liên tục suốt hàng thập kỷ.
Snort 2: “Huyền thoại” một thời nhưng đã lỗi thời. Nó chỉ chạy đơn luồng, dễ trở thành nút thắt cổ chai trên các đường truyền tốc độ cao (1Gbps trở lên).

Snort 3 – Bước nhảy vọt về hiệu năng

Snort 3 (Snort++) không chỉ là bản cập nhật nhỏ, mà là một sự thay đổi hoàn toàn về kiến trúc. Những cải tiến thực tế bao gồm:

Xử lý đa luồng: Cho phép tận dụng toàn bộ số nhân của CPU hiện đại để kiểm tra gói tin nhanh hơn gấp nhiều lần.
Cấu hình bằng ngôn ngữ Lua: Các file config giờ đây linh hoạt hơn, dễ đọc và dễ tự động hóa bằng script.
Thư viện Hyperscan: Sử dụng công nghệ của Intel để quét các mẫu mã độc với tốc độ cực cao.
Tự động nhận diện dịch vụ: Snort 3 tự hiểu gói tin thuộc giao thức nào mà không cần bạn phải chỉ định cổng thủ công.

Hướng dẫn cài đặt Snort 3 chi tiết trên Ubuntu

Biên dịch từ source code là cách tốt nhất để tối ưu hiệu năng theo phần cứng của bạn. Quy trình này thực hiện tốt trên Ubuntu 22.04 và 24.04.

Bước 1: Cài đặt các thư viện bổ trợ

Đầu tiên, hãy cài đặt các công cụ biên dịch và thư viện cần thiết. Đây là nền tảng quan trọng nhất.

sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential cmake libpcap-dev libpcre3-dev \
libdumbnet-dev bison flex zlib1g-dev liblzma-dev libssl-dev libhwloc-dev \
pkg-config libzstd-dev libluajit-5.1-dev libcpputest-dev \
libsqlite3-dev uuid-dev libhyperscan-dev

Lưu ý nhỏ: Để quản lý server an toàn, bạn nên dùng trình tạo mật khẩu mạnh cho các tài khoản hệ thống. Công cụ này chạy 100% trên trình duyệt nên rất an toàn.

Bước 2: Cài đặt Snort DAQ

DAQ (Data Acquisition library) là lớp trung gian giúp Snort giao tiếp với card mạng. Snort 3 yêu cầu phiên bản DAQ mới nhất để hoạt động ổn định.

cd ~ 
git clone https://github.com/snort3/libdaq.git
cd libdaq
./bootstrap && ./configure && make
sudo make install
sudo ldconfig

Bước 3: Biên dịch Snort 3

Quá trình biên dịch có thể mất từ 5-10 phút tùy vào sức mạnh CPU của bạn.

cd ~
git clone https://github.com/snort3/snort3.git
cd snort3
./configure_cmake.sh --prefix=/usr/local --enable-tcmalloc
cd build
make -j$(nproc)
sudo make install
sudo ldconfig

Kiểm tra thành quả bằng lệnh: snort -V. Nếu thấy logo Snort hiện ra là bạn đã thành công.

Bước 4: Cấu hình chế độ giám sát (Promiscuous mode)

Để Snort “thấy” được mọi gói tin chạy qua, bạn phải đưa card mạng vào chế độ Promiscuous. Giả sử card mạng của bạn là eth0:

sudo ip link set dev eth0 promisc on

Bước 5: Tạo Rule kiểm tra và chạy thử

Snort mặc định là một khung xương trống. Bạn cần thêm “bộ não” (rules) cho nó. Hãy thử tạo một rule cảnh báo khi có ai đó ping vào server.

Mở file rule: sudo nano /usr/local/etc/snort/rules/local.rules và dán dòng sau:

alert icmp any any -> any any (msg:"Phat hien goi tin ICMP"; sid:1000001; rev:1;)

Khai báo file rule này trong cấu hình chính snort.lua tại mục ips, sau đó chạy Snort:

sudo snort -c /usr/local/etc/snort/snort.lua -i eth0 -A alert_fast

Thử dùng máy cá nhân ping tới server. Bạn sẽ thấy các dòng cảnh báo xuất hiện ngay lập tức trên màn hình Terminal.

Kinh nghiệm thực tế để hệ thống không bị “treo”

Triển khai Snort 3 trong môi trường thực tế cần sự khéo léo. Dưới đây là 3 bài học xương máu:

Đừng tham bật tất cả rules: Bật hàng nghìn rule cùng lúc sẽ ngốn sạch RAM và CPU. Chỉ nên kích hoạt những rule liên quan trực tiếp đến dịch vụ bạn đang chạy (như HTTP, SSH).
Cẩn trọng với chế độ IPS (Chặn): Khi cấu hình Snort để tự động Drop gói tin, một sai sót nhỏ trong rule có thể khiến chính bạn bị văng ra khỏi server. Hãy chạy chế độ IDS (Cảnh báo) một thời gian trước khi chuyển sang IPS.
Kết hợp trực quan hóa: Đừng đọc log text khô khan. Hãy đẩy log Snort sang ELK Stack để có những biểu đồ trực quan, giúp bạn phát hiện các đợt tấn công leo thang chỉ trong vài giây.

Snort 3 không chỉ là một công cụ, nó là một “kính hiển vi” giúp bạn soi xét mọi ngóc ngách của dòng chảy dữ liệu. Việc làm chủ nó sẽ giúp hệ thống của bạn vững vàng hơn trước những đợt tấn công ngày càng phức tạp hiện nay.