English+GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Snort</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Snort</span></h1>

</header>

</div>

<th colspan="2" class="hintergrundfarbe6" style="font-size:105%; text-align:center;">Snort

</p>

</th></tr>

<tr>

</td></tr>

<tr>

<th colspan="2" class="hintergrundfarbe5" style="font-size:105%; text-align:center;">Basisdaten

</p>

</th></tr>

<tr>

<td><b><a href="Softwareentwickler" title="Softwareentwickler">Entwickler</a></b>

</td>

<td><a href="Cisco_Systems" title="Cisco Systems">Cisco Systems</a> (ab 2013; davor <a href="Sourcefire" title="Sourcefire">Sourcefire</a>)

</td></tr>

<tr>

<td><b>Aktuelle <a href="Version_(Software)" title="Version (Software)">Version</a></b>

</td>

<td><span class="wikidata-content">3.10.0.0<sup id="cite_ref-_f1705996604edf70_1-0" class="reference"><a href="#cite_note-_f1705996604edf70-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup></span> <br> (<span class="wikidata-content">25. November 2025</span>)

</td></tr>

<tr>

<td><b><a href="Betriebssystem" title="Betriebssystem">Betriebssystem</a></b>

</td>

<td><a href="Plattformunabh%C3%A4ngigkeit" title="Plattformunabhängigkeit">plattformunabhängig</a>

</td></tr>

<tr>

<td><b><a href="Programmiersprache" title="Programmiersprache">Programmiersprache</a></b>

</td>

</td></tr>

<tr>

<td><b>Kategorie</b>

</td>

<td><a href="Intrusion_Detection_System" title="Intrusion Detection System">Intrusion Detection System</a>

</td></tr>

<tr>

<td><b>Lizenz</b>

</td>

</td></tr>

<tr>

<td><b><a href="Lokalisierung_(Softwareentwicklung)" title="Lokalisierung (Softwareentwicklung)">deutschsprachig</a></b>

</td>

<td>nein

</td></tr>

<tr>

<td class="hintergrundfarbe5" colspan="2" style="text-align:center;"><a rel="nofollow" class="external text" href="http://snort.org/">snort.org</a>

</td></tr></tbody></table>

<p><b>Snort</b> ist ein <a href="Freie_Software" title="Freie Software">freies</a> <a href="Intrusion_Detection_System#Netzwerk-basierte_IDS" title="Intrusion Detection System">Network Intrusion Detection System</a> (NIDS) und ein <a href="Intrusion_Prevention_System" title="Intrusion Prevention System">Network Intrusion Prevention System</a> (NIPS). Es kann zum Protokollieren von <a href="IP-Paket" title="IP-Paket">IP-Paketen</a> genauso wie zur Analyse von Datenverkehr in <a href="Internet_Protocol" title="Internet Protocol">IP</a>-Netzwerken in Echtzeit eingesetzt werden. Die Software wird überwiegend als Intrusion-Prevention-Lösung eingesetzt, um Angriffe unmittelbar ereignisgesteuert automatisch zu blockieren. Snort wurde ursprünglich von Martin Roesch entwickelt. Anschließend erfolgte die Weiterentwicklung bei seiner Firma <a href="Sourcefire" title="Sourcefire">Sourcefire</a>, welche im Oktober 2013 von Cisco übernommen wurde. Im Jahr 2009 wurde Snort in die <i>„Open Source Hall of Fame“</i> von <a href="InfoWorld" title="InfoWorld">InfoWorld</a> als eine der besten Vertreter freier <a href="Open_Source" title="Open Source">Open-Source</a>-Software („<span lang="en">greatest open source software of all time</span>“)<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup> aufgenommen. Das Maskottchen von Snort ist ein <a href="Hausschwein" title="Hausschwein">Ferkel</a> mit großer, schnaubender (englisch <i><span lang="en">snort</span></i>) Nase.

</p>

<div class="mw-heading mw-heading2"><h2 id="Funktionsweise">Funktionsweise</h2></div>

<p>Snort „liest“ direkt an der Netzwerkhardware den gesamten vorbeikommenden Netzwerk-Datenverkehr mit. Der Inhalt des Stroms an <a href="Datenpaket" title="Datenpaket">Datenpaketen</a> wird mit charakteristischen Mustern von bekannten Angriffen verglichen. Diese Muster werden allgemein Signaturen genannt, die bei Snort in „Rules“ (Regeln) festgehalten werden. Zur <a href="Mustererkennung" title="Mustererkennung">Mustererkennung</a> wird bei Snort der <a href="Aho-Corasick-Algorithmus" title="Aho-Corasick-Algorithmus">Aho-Corasick-Algorithmus</a> verwendet.

Inzwischen gibt es für Snort einige tausend Signaturen. Da international sehr häufig neue Angriffsmethoden auf Computer und Netzwerke bekannt werden, sollte die Sammlung der Signaturen (ähnlich wie bei Virenscannern) regelmäßig aktualisiert werden.

Snort wird allgemein genutzt, um aktiv Netzwerkverkehr zu blockieren oder passiv verschiedene Formen eines Angriffs zu erkennen. Snort lässt sich auch mit anderer Software kombinieren, wie zum Beispiel BASE („<span lang="en">Basic Analysis and Security Engine</span>“), Sguil, OSSIM, SnortSnarf und Snorby zur bequemen Steuerung der Software und übersichtlichen grafischen Darstellung von möglichen Einbruchsdaten.

</p>

<div class="mw-heading mw-heading3"><h3 id="Netzwerk-Basierte_IDS_(NIDS)"><span id="Netzwerk-Basierte_IDS_.28NIDS.29"></span>Netzwerk-Basierte IDS (NIDS)</h3></div>

<p>Snort kann eingesetzt werden, um bekannte Angriffe auf die <a href="Sicherheitsl%C3%BCcke" title="Sicherheitslücke">Schwachstellen</a> von Netzwerksoftware zu entdecken. Snort führt Protokollanalysen durch, sucht und vergleicht Inhalte, um passiv verschiedene Formen eines Angriffs wie zum Beispiel einen <a href="Puffer%C3%BCberlauf" title="Pufferüberlauf">Pufferüberlauf</a>, <a href="Portscan" class="mw-redirect" title="Portscan">Portscans</a>, Angriffe auf Web-Anwendungen oder <a href="Server_Message_Block" title="Server Message Block">SMB</a>-Probes zu erkennen.

Möglichkeiten für Angriffe sind gegeben durch so genannte <a href="Exploit" title="Exploit">Exploits</a>, oder eigens dafür bestimmte Programme, wie etwa Internet-<a href="Computerwurm" title="Computerwurm">Würmer</a> (z. B. <a href="Sasser" title="Sasser">Sasser</a> oder <a href="W32.Blaster" class="mw-redirect" title="W32.Blaster">W32.Blaster</a>) die ihrerseits wiederum ein <a href="Backdoor" title="Backdoor">Backdoor</a>-Programm (ursprünglich des Administrators Hintertüre bzw. der Wartungszugang) beinhalten können (bzw. selber eines sind) durch das der eigentliche Angriff schlussendlich erfolgt. Bei einem erkannten Angriff kann zum Beispiel ein Alarm ausgelöst und die Netzwerkpakete zur späteren Analyse oder Beweissicherung mitgeschrieben werden.

</p>

<div class="mw-heading mw-heading3"><h3 id="Network_Intrusion_Prevention_System_(NIPS)"><span id="Network_Intrusion_Prevention_System_.28NIPS.29"></span>Network Intrusion Prevention System (NIPS)</h3></div>

<p>Snort führt Protokollanalysen durch, sucht und vergleicht Inhalte, um aktiv Netzwerkverkehr zu blockieren.

Mit <a href="Patch_(Software)" title="Patch (Software)">Patches</a> für den Snort-Quellcode von „Bleeding Edge Threats“ ist die Nutzung von <a href="ClamAV" title="ClamAV">ClamAV</a> zum Virenscan im <a href="Datenstrom" title="Datenstrom">Datenstrom</a> möglich. Zusätzlich kann der Datenstrom mittels SPADE in den <a href="OSI-Modell" title="OSI-Modell">Netzwerklayern drei und vier</a> auf Netzwerk-Anomalien (einschließlich historischer Daten) gescannt werden. Derzeit (2010/2011) hat es jedoch den Anschein, dass diese Patches nicht länger gepflegt werden.

</p>

<div class="mw-heading mw-heading3"><h3 id="Netzwerkanalysewerkzeug">Netzwerkanalysewerkzeug</h3></div>

<p>Snort kann auch sehr gut bei der Netzwerkanalyse durch den Netzwerkadministrator helfen. Man kann es als <a href="Sniffer" title="Sniffer">Sniffer</a>, ähnlich wie <a href="Tcpdump" title="Tcpdump">tcpdump</a>, den Netzwerkverkehr gefiltert ausgeben lassen. Snort verfügt aber über mehr Optionen und kann tcpdump komplett ersetzen. Snort kann auch zur späteren Analyse einen Netzwerkdialog zwischen Server und Client mitschneiden und die reinen <a href="Nutzdaten" title="Nutzdaten">Nutzdaten</a> (Payload) als eine Art Kommunikationsprotokoll zusammenführen.

</p>

<div class="mw-heading mw-heading3"><h3 id="Bedeutung_im_Security_Incident_Information_Sharing_(SIIS)"><span id="Bedeutung_im_Security_Incident_Information_Sharing_.28SIIS.29"></span>Bedeutung im Security Incident Information Sharing (SIIS)</h3></div>

<p>Bei IT-Spionage verwenden Täter zwar häufig Standard-Werkzeuge, wandeln diese aber vor dem Einsatz gegen ein Opfer leicht ab, um nicht von bereits veröffentlichten Signaturen von IPS- und Antiviren-Anbietern erkannt zu werden. Erkennt das Opfer den Angriff dennoch und lässt von seinem Anbieter eine Signatur erstellen, so veröffentlicht dieser die Signatur. Die Täter werden so gewarnt und können anhand der Signatur unter bestimmten Umständen sogar erkennen, welches Opfer ihr Werkzeug entdeckt hat.

</p><p>In vielen Ländern tauschen daher Behörden, bestimmte Industriebereiche aber auch NGOs und karitative Einrichtungen, die

typische Ziele von IT-Spionage sind, im Rahmen von SIIS-Projekten Informationen über Sicherheitsvorfälle untereinander aus. Da SNORT-kompatible Regeln zum De-facto-Standard geworden sind, ist dies ebenfalls zum Standardformat beim Austausch von IPS-Signaturen geworden.

</p><p>Kommerzielle Anbieter und Behörden, die Aufgaben innerhalb der Spionageabwehr wahrnehmen, haben sich ebenfalls auf SNORT-kompatible Signaturen spezialisiert.

</p><p>SNORT selbst hat den Vorteil, dass Ziele, die aggressiv ausgespäht werden, es zum Einsatz bringen können, ohne einen Beschaffungsprozess anzustoßen. Letzteren können Täter leicht überwachen und so feststellen, welche Werkzeuge ihr Opfer zur Abwehr einsetzt um sich anzupassen. Typischerweise wird in solchen Fällen SNORT passiv eingesetzt. Die Täter wissen daher nicht, ob und woran ihre Bewegungen im Opfernetz erkannt werden. Ihr Verhalten kann so detailliert beobachtet werden und das Opfer kann die von ihnen aufgebaute Infrastruktur identifizieren und so eine konzentrierte

Aktion vorbereiten, um sie, ihre Werkzeuge und bevorzugten Verbreitungsmethoden auszuhebeln und zu entfernen.

</p>

<div class="mw-heading mw-heading2"><h2 id="Geschichte">Geschichte</h2></div>

<p>Snort wurde zuerst 1998 in einer Unix-Version veröffentlicht. Sein Programmierer Martin Roesch gründete später die Firma <i>Sourcefire</i>. Neben der unter der <a href="GNU_GPL" class="mw-redirect" title="GNU GPL">GNU GPL</a> stehenden Version von Snort bietet Sourcefire auch eine kommerzielle Variante, die zusätzliche Entdeckungs- und Analysemethoden bietet. Sourcefire vertreibt Enterprise-Lösungen für das Network Security Monitoring (NSM) mit speziell entwickelter Hardware und kommerziellem Support. Anfang Oktober 2005 versuchte <a href="Check_Point" title="Check Point">Check Point</a> mit internationalem Hauptsitz in <a href="Tel_Aviv" class="mw-redirect" title="Tel Aviv">Tel Aviv</a>, <a href="Israel" title="Israel">Israel</a>, <i>Sourcefire</i> zu übernehmen. Der Kaufpreis wurde mit etwa 225 Millionen Dollar angegeben. Der Kauf scheiterte Anfang 2006 wegen des Widerstands der <a href="Bundesregierung_der_USA" class="mw-redirect" title="Bundesregierung der USA">Bundesregierung der USA</a>. Im Oktober 2013 gab das amerikanische Unternehmen Cisco Systems bekannt, dass es die Übernahme von Sourcefire abgeschlossen hat.<sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-5" class="reference"><a href="#cite_note-5"><span class="cite-bracket">[</span>5<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading3"><h3 id="Sicherheitsgeschichte">Sicherheitsgeschichte</h3></div>

<p>Auch Snort selbst ist nicht von Sicherheitslücken verschont geblieben. Beispielsweise wurden im Frühjahr 2003 zwei Möglichkeiten zur Erzeugung eines <a href="Puffer%C3%BCberlauf" title="Pufferüberlauf">Pufferüberlaufs</a> in Snort gefunden.

</p>

<div class="mw-heading mw-heading3"><h3 id="Airsnort-Logo">Airsnort-Logo</h3></div>

<p>Kein direkter Zusammenhang besteht mit dem Programm <a href="Airsnort" title="Airsnort">Airsnort</a> – trotz des ähnlichen Namens und der Tatsache, dass Airsnort das Snort-Logo abgewandelt übernahm: das gleiche Schweinchen, jedoch mit Flügeln versehen.

</p>

<div class="mw-heading mw-heading2"><h2 id="Siehe_auch">Siehe auch</h2></div>

<ul><li><a href="Stateful_Packet_Inspection" title="Stateful Packet Inspection">Stateful Packet Inspection</a></li>

<li><a href="Contentfilter" title="Contentfilter">Contentfilter</a></li>

<li><a href="PfSense" title="PfSense">pfSense</a></li>

<li><a href="OPNsense" title="OPNsense">OPNsense</a></li></ul>

<div class="mw-heading mw-heading2"><h2 id="Literatur">Literatur</h2></div>

<ul><li><a href="Ralf_Spenneberg" title="Ralf Spenneberg">Ralf Spenneberg</a>: <i>Intrusion Detection und Prevention mit Snort 2 & Co.</i> (mit CD-ROM). <a href="Addison-Wesley" title="Addison-Wesley">Addison-Wesley</a>, November 2005 & 20. Dezember 2007, ISBN 3-8273-2134-4.</li>

<li>Brian Caswell, Jay Beale, Andrew Baker: <i>Snort Intrusion Detection and Prevention Toolkit</i>. (Jay Beale’s Open Source Security mit CD-ROM), Elsevier Science & Technology; 17. Dezember 2006, ISBN 978-1-59749-099-3.</li>

<li>Kerry J. Cox, Christopher Gerg: <i>Managing Security with Snort & IDS Tools</i>. 1st Edition, <a href="O%E2%80%99Reilly_Verlag" title="O’Reilly Verlag">O’Reilly Verlag</a> August 2004, ISBN 0-596-00661-6 <a rel="nofollow" class="external text" href="http://www.oreilly.com/catalog/snortids/">Leseprobe</a></li>

<li><a href="Peer_Heinlein" title="Peer Heinlein">Peer Heinlein</a>, Thomas Bechtold: <i>Snort, Acid & Co.</i> <a href="Open_Source_Press" title="Open Source Press">Open Source Press</a>, Juni 2004, ISBN 3-937514-03-1.</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

<ul><li><a rel="nofollow" class="external text" href="http://snort.org/">Homepage</a></li>

<li><a rel="nofollow" class="external text" href="http://sourcefire.com/">sourcefire.com</a> – Hersteller von Snort</li>

<li><a rel="nofollow" class="external text" href="http://www.emergingthreats.net/">emergingthreats.net</a> – Community für Snort-Regeln</li>

<li><a rel="nofollow" class="external text" href="http://www.security-insider.de/themenbereiche/applikationssicherheit/security-tools/articles/120016/">Kostenloses IDS/IPS-Tool Snort im Test</a></li>

<li><span class="cite">Chris Riley: <a rel="nofollow" class="external text" href="http://www.admin-magazin.de/content/das-snort-ids-erkennt-einbruchsversuche"><i>Das Snort-IDS erkennt Einbruchsversuche.</i></a> In: <i>ADMIN-Magazin.</i> Linux New Media AG,<span class="Abrufdatum"> abgerufen am 15. März 2010</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASnort&rft.title=Das+Snort-IDS+erkennt+Einbruchsversuche&rft.description=Das+Snort-IDS+erkennt+Einbruchsversuche&rft.identifier=http%3A%2F%2Fwww.admin-magazin.de%2Fcontent%2Fdas-snort-ids-erkennt-einbruchsversuche&rft.creator=Chris+Riley&rft.publisher=Linux+New+Media+AG"> </span></li></ul>

<div class="mw-heading mw-heading3"><h3 id="Schnittstellen">Schnittstellen</h3></div>

<ul><li>Snorby – <a rel="nofollow" class="external text" href="https://github.com/Snorby/snorby/wiki">a new and modern Snort IDS front-end</a> – <a href="Ruby_on_Rails" title="Ruby on Rails">Ruby on Rails</a> Web-<a href="GUI" class="mw-redirect" title="GUI">Frontend</a></li>

<li><a rel="nofollow" class="external text" href="http://sguil.sourceforge.net/">sguil.sf.net</a> – Tcl/Tk-Schnittstelle</li>

<li><a rel="nofollow" class="external text" href="http://www.activeworx.org/">IDS Policy Manager</a> – Verwalter für Regeln</li>

<li><a rel="nofollow" class="external text" href="http://dragos.com/cerebus/">dragos.com/cerebus</a> – ncurses-Browser für Snort-Logs</li>

<li><a rel="nofollow" class="external text" href="http://base.secureideas.net/">Basic Analysis and Security Engine</a> – Web-Frontend</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-_f1705996604edf70-1"><span class="mw-cite-backlink"><a href="#cite_ref-_f1705996604edf70_1-0">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://github.com/snort3/snort3/releases/tag/3.10.0.0"><cite style="font-style:italic"><span lang="en">Release 3.10.0.0</span></cite>.</a> 25. November 2025 (abgerufen am 26. November 2025).</span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="http://www.infoworld.com/d/open-source/greatest-open-source-software-all-time-776?source=fssr"><i>The Greatest Open Source Software of All Time.</i></a> 17. August 2009,<span class="Abrufdatum"> abgerufen am 2. Januar 2016</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASnort&rft.title=The+Greatest+Open+Source+Software+of+All+Time&rft.description=The+Greatest+Open+Source+Software+of+All+Time&rft.identifier=http%3A%2F%2Fwww.infoworld.com%2Fd%2Fopen-source%2Fgreatest-open-source-software-all-time-776%3Fsource%3Dfssr&rft.date=2009-08-17&rft.language=englisch"> </span></span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text"><i><a rel="nofollow" class="external text" href="http://www.cisco.com/web/about/ac49/ac0/ac1/ac259/sourcefire.html">Cisco schließt Übernahme von Sourcefire ab</a></i> (englisch)</span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="http://www.golem.de/news/sourcefire-cisco-uebernimmt-anbieter-von-intrusion-detection-system-snor-1307-100586.html">Sourcefire: Cisco kauft Anbieter von Intrusion Detection System Snort</a> – <i><a href="Golem.de" class="mw-redirect" title="Golem.de">Golem</a></i>, am 24. Juli 2013</span>

</li>

<li id="cite_note-5"><span class="mw-cite-backlink"><a href="#cite_ref-5">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://www.admin-magazin.de/News/Cisco-kauft-Sourcefire">Cisco kauft Sourcefire</a> – <i><a href="Admin-Magazin" title="Admin-Magazin">Admin-Magazin</a></i>, am 25. Juli 2013</span>

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-02-14" href="https://de.wikipedia.org/wiki/?title=Snort&oldid=253326723">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>