Negli ultimi anni gli attacchi di sicurezza, così le intrusioni di rete andate a buon fine, sono aumentati in modo esponenziale divenendo sempre più complessi da prevenire e rilevare. Di pari passo si sono evoluti sistemi di difesa quali gli antivirus, i firewalls e i sistemi di rilevazione delle intrusioni. Si osserva comunque un trend crescente nel numero di azioni malevole andate a segno (soprattutto in ambito industriale) con il fine di derubare/danneggiare il bene di maggiore valore nell'era digitale: i dati.
In questo breve approfondimento ci focalizzeremo su uno degli strumenti di difesa più conosciuti nell'ambito dell'information security: Snort, un sistema di rilevazione e prevenzione delle intrusioni (intrusion detection/prevention system-IDS/IPS) completamente gratuito ed open-source.
I sistemi di rilevazione delle intrusioni sono programmi in grado di rilevare e bloccare pacchetti sospetti provenienti dalla rete. Quando un pacchetto sospetto viene rilevato, esso viene registrato in un file di log e generato un alert leggibile dall'amministratore di rete.
Tra la moltitudine di IDS/IPS disponibili sul web, Snort è quello che ha avuto la maggiore diffusione, grazie soprattutto alla sua community che ne ha supportato costantemente l'aggiornamento di regole di rilevazione delle intrusioni.
Snort è stato ideato nel 1998 da Martin Roesch, esperto di livello mondiale nel campo della sicurezza informatica. L'obiettivo era quello di fornire un tool per la analisi del traffico, il logging dei pacchetti di rete, ed il filtraggio delle minacce in real-time.
Snort risulta disponibile per la maggior parte delle distribuzioni Linux, MacOS e Windows. Esso è capace di analizzare i pacchetti a livello di: indirizzi IP sorgente e destinazione, porte sorgente e destinazione, protocollo e, sopratutto, è capace di analizzare il payload dei pacchetti alla ricerca di signature fraudolente.
Tra i vari tipi di minacce che possono essere rilevate da Snort vi sono: attacchi di buffer overflow, port scanning, malware/trojan e worms.
Snort è completamente personalizzabile e le regole per la rilevazione delle intrusioni possono essere sia scaricate dalla community, che scritte dagli amministratori di rete. Inoltre è equipaggiato di diverse web GUI che semplificano l'analisi dei pacchetti rilevati come sospetti da parte dell'amministratore.
Se questo approfondimento ti ha interessato, dai un'occhiata alla nostra nuovissima guida all'installazione e utilizzo di Snort
