4. 설정

4.1.1. /etc/snort/snort.conf

RPM 을 설치한 후 요구에 맞게 /etc/snort/snort.conf 를 편집해야 한다. Martin Roesch 는 snort 타르볼과 RPM 에 포함되어 있는 Snort 사용자 메뉴얼을 PDF 버전으로 작성하였는데 이 문서에서는 설정에 필요한 옵션들만을 다룰 것이기 때문에 사용할 수 있는 다른 옵션들에 대해서는 메뉴얼을 보아야 한다.

또한 타르볼/RPM 에 있는 예제 /etc/snort/snort.conf 파일에 세부적인 설명이 있기 때문에 시작하는데 있어 좋은 출발점이 될 것이다.

4.1.2. /etc/rc.d/init.d/snortd

/etc/rc.d/init.d/snortd 에서는 적어도 인터페이스 부분을 편집해야 하는데, INTERFACE="eth0" 를 각자 사용하는 인터페이스로 수정해라. 이는 다른 이더넷 (ethx) 및 pppx 또는 ipppx 인터페이스일 수 있다. 예를 들어 ISDN 을 사용하고 있다면 인터페이스 정의는 다음과 같다.

INTERFACE="ippp0"

Snort 센서가 하나의 인터페이스에서만 감시하고 있다면 snortd initscript 를 사용하는 것으로 충분하다. 그러나 하나 이상의 인터페이스를 갖고 있다면 이에 대해 저자가 확장한 스크립트를 보기 바란다. 단지 하나의 인터페이스를 갖고 있지만 저자와 같이 swatch 를 사용하고 싶다면 swatch 부분을 snortd 스크립트로 복사해라 (RPM 문서의 contrib 절을 보라).

다음 저자가 확장한 snortd initscript 는 snort 가 하나 이상의 인터페이스를 감시함을 알 수 있을 것이다. 인터페이스 이름에 any 를 사용할 수도 있다고 말할 수도 있다. 왜냐하면 기본적인 libpcap 이 이를 가능하게 하기 때문이다. 그러나 snort 센서가 설치되어 있는 로컬 네트워크 감시에 관심이 없기 때문에 이는 저자가 사용하려고 하는 의도가 아니다. 이 로컬 네트워크는 방화벽 설치와 같은 부가적인 보안 설정이 되어 있는 별도의 네트워크 세크먼트로 보안적인 환경에 있어야 한다. 따라서 snort 네트워크 자체를 목표로한 공격의 탐지를 원하는 경우를 제외하고는 스니핑은 의미가 없다. 이 세크먼트에 하나 이상의 센서를 사용한다면 세크먼트를 보호하기 위해 모든 센서가 아닌 단지 하나의 센서만 설정할 필요가 있다.

저자는 /etc/rc.d/init.d/functions 내의 레드햇사의 daemon 함수에서 파생된 새로운 함수 daemonMult 를 추가하였다. 이는 프로그램을 한번 이상 시동시킬 수 있다. 저자는 새로운 옵션 --mult 를 도입하기 위해 레드햇사에 daemon 함수에 대한 패치를 보냈다. 이 추가가 이루어진다면 daemonMult 함수는 쓸모없게 될 것이며 호출은 daemonMult 에서 daemon --mult 로 변경될 것이다.

또한 저자는 리부팅시 에러 메세지를 없애기 위해 하부시스템 이름을 snort 에서 snortd 로 변경하였다 (레드햇에서 killall 스크립트는 정확한 이름에 의존한다).

저자의 스크립트를 이용하면 감시할 다수의 인터페이스를 정의할 수 있는데 밑의 스크립트에서와 같이 INTERFACE 에 공백으로 분리된 목록을 사용해라.

듣고 있는 인터페이스가 이미 작동중인지 IP 주소가 정의되어 있는지를 보기 위해 약간의 정상성 검사도 또한 포함되어 있다. 정의된 IP 주소가 있다면 레드햇 리눅스의 경우 /etc/sysconfig/network-scripts/ifcfg-(interface-name) 에 있는 해당 config 가 사용될 것이다. 그렇지 않다면 인터페이스는 promiscuous 모드에서 IP 없이 설정될 것이다.

이는 이더넷 인터페이스를 제외한 어떠한 인터페이스에서도 아직 테스트되지 않았다. 저자는 곧 ISDN 인터페이스에 대해 검토할 것이며 어떠한 차이가 있는 지를 보고할 것이다.

하나의 snort 프로세스가 각 인터페이스에서 시작되며 또한 swatch가 규칙 갱신을 위해 snort 를 재시작할 때 에러를 검사하기 위해 실행될 것이다 (밑의 swatch 절을 보라).

snort 를 셧다운할 때 모든 IP 없는 인터페이스는 셧다운될 것이다. 그러나 IP 설정이 되어 있는 인터페이스는 셧다운되지 않을 것이다. 이는 snort'ed 인터페이스가 snort 센서에 필수적인 경우 접근불가를 야기할 수 있기 때문이다.

아마도 더욱 좋은 해결방법은 다음과 같은 엔트리에 대해 인터페이스의 config 파일을 검사하는 것으로

ONBOOT=yes

yes 가 없는 경우에만 인터페이스가 셧다운될 것이다. 그러나 이것은 아직 구현되어 있지 않다.

다음은 확장된 snort initscript 이다:

#!/bin/sh # # snortd Start/Stop the snort IDS daemon. # # chkconfig: 2345 40 60 # 설명: Snort 는 현재 1100 개 이상의 호스트 및 네트워크 취약성, 포트스캔, 백도어 등을 탐지하는 # 경량 네트워크 침입 탐지 시스템이다. # # June 10, 2000 -- Dave Wreski Dave Wreski <dave at linuxsecurity.com> # - 최초 버전 # July 08, 2000 Dave Wreski <<dave at guardiandigital.com> # - snort user/group 을 추가하였다 # - 1.6.2 버전 지원 # April 11, 2001 Sandro Poppi <spoppi at gmx.de> # - 다이얼 업 라인 또는 한개 이상의 스니퍼 인터페이스 사용을 위해 다중 인터페이스 옵션을 추가하였다 # 저자는 "-i any" 를 사용하는 libpcap 옵션이 좋은 선택이라고 생각하지 않는다. # 왜냐하면 snort 가 한개이상의 ip 가 없는 인터페이스들을 감시하도록 설정될 수 있기 때문이다. # 그러나 모니터 인터페이스는 보호되지 않은 상태로 존재한다. # - 리부팅할때의 에러 메시지를 없애기 위해 하부시스템 이름을 snort 에서 snortd 로 변경하였다 # (레드햇의 killall 스크립트는 정확한 이름에 의존한다) # - snort 의 다중 인스턴스를 실행시킬 수 있도록 /etc/rc.d/init.d/functions 내의 daemon 함수에서 파생된 # daemonMult 함수를 추가하였다 # (결국 이는 레드햇의 daemon 함수내로 통합될 수 있는데 저자에게 연락해라) # January 01, 2002 Sandro Poppi <spoppi at gmx.de> # - swatch 가 설치되어 있는지의 검사를 추가하였다 # - 이더넷이외의 인테페이스들에 대한 검사를 추가하였다. 이들은 ifconfig 로 작동된다고 생각하기 때문이다. # # Source function library. . /etc/rc.d/init.d/functions # 프로그램을 한번 이상 시작하기 위한 함수 # /etc/rc.d/init.d/functions 내의 데몬 함수를 재작성한 것이다 daemonMult() { # 구문을 테스트한다. gotbase= user= nicelevel=0 while [ "$1" != "${1##-}" -o "$1" != "${1##+}" ]; do case $1 in '') echo '$0: Usage: daemon [+/-nicelevel] {program}' return 1;; --check) shift base=$1 gotbase="yes" shift ;; --user) shift daemon_user=$1 shift ;; -*|+*) nicelevel=$1 shift ;; *) nicelevel=0 ;; esac done # basename 을 저장한다. [ -z $gotbase ] && base=`basename $1` # 반드시 어느 곳에도 코어 덤프하지 않도록 해라; 이것이 데몬과 관련된 # 문제를 저지하는 동시에 또한 약간의 보안 문제를 없앤다. ulimit -S -c 0 >/dev/null 2>&1 # Echo daemon [ "$BOOTUP" = "verbose" ] && echo -n " $base" # 데몬을 구동시킨다. if [ -z "$daemon_user" ]; then nice -n $nicelevel initlog $INITLOG_ARGS -c "$*" && success "$base startup" || failure "$base startup" else nice -n $nicelevel initlog $INITLOG_ARGS -c "su $daemon_user -c \"$*\"" && success "$base startup" || failure "$base startup" fi } # 네트워크 인터페이스(들)를 지정해라 INTERFACE="eth1 eth2" # See how we were called. case "$1" in start) if [ -x /usr/bin/swatch ] ; then echo -n "Starting swatch: " # swatch 를 사용하기 위해 저자가 써넣었다 # snort 구동시의 에러에 대한 지시를 얻기 위해 snort 전에 이를 실행시킨다 # snort 옵션 -s 를 사용한다면 /var/log/secure 를 사용해라 # snort.conf 에서 alert_syslog: 출력 옵션을 사용한다면 /var/log/messages 를 사용해라 /usr/bin/swatch --daemon --tail /var/log/messages --config-file /etc/swatch/swatchrc & touch /var/lock/subsys/swatch echo "done." echo fi # 다중 인터페이스 옵션을 추가하였다 for i in `echo "$INTERFACE"` ; do echo -n "Starting snort on interface $i: " # 스크립트 구동시 snort 에 대해 ip 가 없는 스니퍼 인터페이스를 구현하기 위해 삽이하였다 # 인터페이스가 아직 적재되지 않았거나 또는 구동되지 않았다면 if [ `/sbin/ifconfig $i 2>&1 | /bin/grep -c "Device not found"` = "0" \ -o `/sbin/ifconfig $i 2>&1 | /bin/grep -c "UP"` = "0" ] ; then # 이더넷외의 다른 인터페이스를 검사한다 if [ `echo $i | /bin/grep -c "^eth"` = "1" ] ; then # 주어진 인터페이스에 대한 config 가 있는지를 검사한다 # 보통 이는 스니퍼 인터페이스에 대해서는 보안상의 이유로 생략되어야 한다 if [ -s "/etc/sysconfig/network-scripts/ifcfg-$i" ]; then # config 를 사용한다 /sbin/ifup $i else # ip 가 없는 스니퍼 인터페이스 /sbin/ifconfig $i up promisc fi fi fi # 위의 재작성된 데몬 함수를 실행시킨다 daemonMult /usr/sbin/snort -u snort -g snort -d -D \ -i $i -I -l /var/log/snort -c /etc/snort/snort.conf echo done touch /var/lock/subsys/snortd ;; stop) echo -n "Stopping snort: " killproc snort rm -f /var/lock/subsys/snortd # 저자가 삽입하였다 if [ -x /usr/bin/swatch ] ; then echo echo -n "Stopping swatch: " kill `ps x|grep "/usr/bin/swatch"|grep -v grep|awk '{ print $1 }'` rm -f /var/lock/subsys/swatch fi # 단지 ip 주소가 없다면 인터페이스를 셧다운시킨다 # 이더넷 인터페이스라면 인터페이스를 셧다운시키길 원치 않기 때문에 다음을 실행시킨다 for i in `echo "$INTERFACES"`; do if [`echo $i | /bin/grep -c "^eth"` = "1" -a \ `/sbin/ifconfig $i 2>&1 | /bin/grep -c "inet addr:"` = "0" ] ; then /sbin/ifconfig $i down fi done echo ;; restart) $0 stop $0 start ;; status) status snort #status swatch ;; *) echo "Usage: $0 {start|stop|restart|status}" exit 1 esac exit 0

4.1.3. /etc/snort/snort-check

이 쉘 스크립트는 smbclient 를 통해 윈팝업을 생성시키거나 주어진 사람에게 이메일을 보내는데 사용된다. 이는 snort 홈페이지에 발표된 Bill Richardson 의 스크립트에 고무되어 작성하였다.

윈팝업 부분은 snort 1.8 에 도입된 smb 출력 모듈로 인해 쓸모없을지도 모르며 저자는 이를 아직 테스트하지 않았다.

#!/bin/sh # 다수의 포맷으로 경보를 보내기 위해 swatch 내에서 실행되는 스크립트 # www.snort.org 에 있는 Bill Richardson 의 스크립트에 영감을 받았다 # 윈팝업을 보내는 워크 스테이션의 이름을 갖고 있는 "hosts" 파일을 읽어들이도록 # 확장되었다. 구문은 snortd 옵션 -M 과 같다. # Poppi, 02.05.2001 # 선결조건: # Samba 가 정확히 설치되어 있어야 한다. # 각자 시스템에 맞게 다음 변수들을 변경시킨다 (레드햇 7.x 을 사용한다면 무방하다) # hostfile 은 윈팝업을 위한 워크 스테이션을 포함하고 있는 파일명을 갖고 있다. hostfile="/etc/snort/hosts" # recipientfile 은 모든 recipient (수령자) 의 주소를 갖고 있다. # 각 recipient 는 한줄에 하나이다. recipientfile="/etc/snort/recipients" # recipient 파일이 존재한다면 if [ -s "$recipientfile" ] ; then # 이메일 주소를 갖는 recipientlist 를 생성한다 for i in `cat $recipientfile` ; do recipients="$recipients "$i done echo "$*" | mail -s "Snort-Alert!!!" "$recipients" fi # hostfile 존재한다면 윈팝업을 보낸다 if [ -s "$hostfile" ] ; then for i in `cat $hostfile` ; do echo "Snort-Alert! $*" | smbclient -M $i > /dev/null 2>&1 done fi

4.1.4. Snort 내부 통계자료

Snort 는 약간의 내부 통계자료를 출력할 수 있는 기능이 내장되어 있는데 이는 다음 명령을 사용하여 기록될 수 있다:

/bin/kill -SIGUSR1 <pid of snort>

또는 동일 머신에 한개 이상의 snort 프로세스가 있고 동시에 모든 정보를 얻고 싶다면 다음 명령을 사용할 수 있다:

/bin/killall -USR1 snort

위의 명령을 사용한 경우 syslog (/var/log/messages) 에서 다음과 같은 내부 통계자료를 얻는다.

Sep 29 07:51:48 ids01 snort[8000]: =============================================================================== Sep 29 07:51:48 ids01 snort[8000]: Snort analyzed 27316 out of 27316 packets, Sep 29 07:51:48 ids01 snort[8000]: dropping 0(0.000%) packets Sep 29 07:51:48 ids01 snort[8000]: Breakdown by protocol: Action Stats: Sep 29 07:51:48 ids01 snort[8000]: TCP: 27152 (99.400%) ALERTS: 0 Sep 29 07:51:48 ids01 snort[8000]: UDP: 0 (0.000%) LOGGED: 0 Sep 29 07:51:48 ids01 snort[8000]: ICMP: 164 (0.600%) PASSED: 0 Sep 29 07:51:48 ids01 snort[8000]: ARP: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: IPv6: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: IPX: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: OTHER: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: DISCARD: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: =============================================================================== Sep 29 07:51:48 ids01 snort[8000]: Fragmentation Stats: Sep 29 07:51:48 ids01 snort[8000]: Fragmented IP Packets: 0 (0.000%) Sep 29 07:51:48 ids01 snort[8000]: Fragment Trackers: 0 Sep 29 07:51:48 ids01 snort[8000]: Rebuilt IP Packets: 0 Sep 29 07:51:48 ids01 snort[8000]: Frag elements used: 0 Sep 29 07:51:48 ids01 snort[8000]: Discarded(incomplete): 0 Sep 29 07:51:48 ids01 snort[8000]: Discarded(timeout): 0 Sep 29 07:51:48 ids01 snort[8000]: Frag2 memory faults: 0 Sep 29 07:51:48 ids01 snort[8000]: =============================================================================== Sep 29 07:51:48 ids01 snort[8000]: TCP Stream Reassembly Stats: Sep 29 07:51:48 ids01 snort[8000]: TCP Packets Used: 27152 (99.400%) Sep 29 07:51:48 ids01 snort[8000]: Stream Trackers: 1 Sep 29 07:51:48 ids01 snort[8000]: Stream flushes: 0 Sep 29 07:51:48 ids01 snort[8000]: Segments used: 0 Sep 29 07:51:48 ids01 snort[8000]: Stream4 Memory Faults: 0 Sep 29 07:51:48 ids01 snort[8000]: ===============================================================================

그러나 다음을 기억해라: 1.8.3 이전 버전에서는 새로운 통계 자료를 얻기위해서는 snort 를 재구동시켜야 한다. 따라서 이전 버전이라면 늘 kill -SIGUSR1 과 snort restart 를 함께 실행시켜라.

우선 처음의 두 라인을 보아야 한다. snort 가 버려지는 (dropped) 패킷이 있다고 말한다면 snort 설정뿐만이 아니라 snort 박스의 설정도 매우 자세히 조사해야 한다.

예를 들어 박스에 필수적이지 않은 모든 불필요한 서비스를 정지시켜라. 그리고 top 명령의 출력을 조사해라. 유휴 카운터가 매우 낮다면 어떤 프로세스들이 cpu 시간을 소비하며 결국 해당 프로그램 패킷을 outsource 하고 있는지 알아내야 한다. 이는 적은 메모리 및/또는 사양이 낮은 cpu 를 갖는 동일 머신에서 ACID, 데이타베이스 및 snort 를 사용할 때에 해당된다.

다른 데이타 라인들은 전처리기들 및 이들의 작업에 대한 개요를 제공한다. 또한 메모리 fault 부분을 조사해야 한다. 숫자가 0 이 아니라면 메모리 사용을 조사해야 하며 결국 더욱 많은 메모리를 사용하도록 전처리기를 설정해야 한다 (/etc/snort/snort.conf 내의 적절한 부분을 조사해라).

다음은 Greg Sarsons 에 영감을 받은 snort 의 내부 통계자료를 얻기 위한 짧은 스크립트이다. 이를 파일로 저장한 후 snort 를 재시작해라.

통계자료 파일은 /var/log/snort/archive 에 저장될 것이며 따라서 이 디렉토리를 우선적으로 생성해야 한다.

#!/bin/bash # syslog 또는 kill -USR1 <snort-pid> 실행 후 생성된 주어진 파일로부터 # 특별한 snort 통계 자료를 생성 및 추출하기 위한 스크립트 # # 이 스크립트는 pid 가 로그파일에 기록됨을 가정한다. # 이는 snort.conf 파일에 다음 라인을 사용하면 가능하다: # output alert_syslog: LOG_AUTH LOG_ALERT LOG_PID # # (c) Sandro Poppi 2001 # Released under GPL echo "Starting gathering snort internal statistics. Please be patient..." if [ "$1." == "." -o ! -e "$1" ] ; then # 주어진 파일이 없거나 존재하지 않는 경우 다음 디폴트 파일을 사용한다 log_file="/var/log/messages" else # 로그파일의 위치가 표준적이지 않을때는 반드시 snort 가 이 로그 파일을 사용하도록 해라 # 그렇지 않다면 USR1 시그널을 보낼때 이 스크립트는 작동하지 않을 것이다 log_file="$1" fi # snort pid 를 알아낸다 snort_pid=`/sbin/pidof snort` # 모든 snort 프로세스에 대해 내부 통계자료를 얻는다 # 이미 정렬된 출력을 얻기위해 killall 을 사용하지 않는다 for i in `echo $snort_pid` ; do kill -USR1 $i # snort 가 통계자료를 syslog 에 보내도록 2초동안 휴면한다 sleep 2 done # USR1 시그널을 보낸후 즉각적으로 snort 를 재시작한다 # 이는 2001년 1월 11일경 이후의 snort CVS 버전 또는 1.8.2 버전 이상의 모든 버전을 # 사용할 때 생략될 수도 있다. /etc/rc.d/init.d/snortd restart for i in `echo $snort_pid` ; do # process logfile filename=/var/log/snort/archive/snort.`date "+%Y-%m-%d"`.$i.log # 기존 파일을 검사하고 존재한다면 파일명을 변경한다 if [ -e "$filename" ] ; then mv "$filename" "$filename.bak" fi egrep "snort\[$i\]:" $log_file > "$filename" # 다음 라인과 같은 라인들을 사용하여 버려지는 패킷이 있는지 조사한다 # Oct 22 18:02:06 xbgh17183 snort[573]: dropping 0(0.000%) packets if [ "`egrep "dropping" $filename | awk -F "[ (]" '{ print $7 }'`" != "0" -a \ "`egrep -c "dropping" $filename`" != "0" ] ; then echo "Snort's dropping packets!!! Take a look on the configuration and/or the system's performance!!!" fi done echo "Gathering snort internal statistics finished..."

4.1.5. Snort 테스트하기

snort 를 테스트하기 위해서는 /etc/rc.d/init.d/snortd 를 편집하고 인터페이스가 루프백 인터페이스 lo 에서 듣게 해야 한다. 네트워크 카드가 설치되어 있는 사람의 경우는 대신 eth0 를 사용할 수 있지만 snot 와 snort 가 동일 머신에서 실행되고 있다면 인터페이스를 통해 어떠한 패킷도 전송되지 않기때문에 snot 를 두번째 pc 를 사용해 실행시켜야 한다.

snort 를 테스트하는 아마도 가장 간단한 방법은 http://www.sec33.com/sniph/ 에서 찾을 수 있는 snot 를 사용하는 것이다.

Snot 를 위해 libnet 를 설치해야 하는데 레드햇 7.x 에는 사용가능한 RPM 이 없기 대문에 http://rpmfind.net/ 및 맨드레이크 사이트 http://www.mandrake.com/ 에서 찾을 수 있는 맨드레이크 소프트사의 libnet-1.0.2-6mdk.i586.rpm 을 사용할 수 있다. 대부분의 맨드레이크 RPM 들은 레드햇 시스템에서 아무 문제없이 사용할 수 있다. 그러나 맨드레이크는 i386 RPM 들을 제공하지 않음에 주의해라 따라서 예전 펜티엄 P5 이전 프로세서에는 이들을 사용할 수 없다. 이런 경우 http://www.packetfactory.net/projects/libnet 에서 소스를 얻은 후 스스로 컴파일해야 한다.

snot 를 컴파일하기 위해서는 단지 tarball 을 untar 한 후 snot 디렉토리에서 make 명령을 실행시키면 된다. 에러없이 컴파일이 종료되면 바로 snot 를 사용할 수 있다. 그렇지 않다면 어떤 개발 패키지가 없는 경우이다.

snot 를 준비하기 위해 /etc/snort/snort.conf 파일을 snot 디렉토리로 복사한 후 하나 또는 그 이상의 규칙 파일들을 복사한 snort.conf 파일의 끝부분에 cat 해주면 된다:

cat /etc/snort/backdoor.rules >> snort.conf

그 후 한 컨솔에서 tail -f /var/log/messages 을 실행시키고 동시에 다른 컨솔에서 테스트를 해야 한다.

snortd initscript 에서 인터페이스 이름에 lo 를 사용했다면 다음과 같이 snot 를 실행시킬 수 있다.

./snot -r snort.conf -d localhost -n 5

이 명령은 snot 에게 복사한 snort.conf 를 사용하며, 목적지는 localhost 이고 너무 많은 경보를 유발하지 않도록 이를 최대 5로 제한하라고 한다.

추가적인 변수를 무시하라고 하는 약간의 메시지를 아마도 받을 것이다. 이는 snot 가 snort 1.8 에 도입된 새로운 변수를 다룰 수 없기 때문으로 허둥되지 말고 그저 메시지를 무시해라. snot 는 잘 실행되고 있다.

/var/log/messages 에서 약간의 snort 경보를 볼 수 있다.

Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.213.151:6969 -> 127.0.0.1:3170 Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.213.151:6969 -> 127.0.0.1:3170 Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.155.231:6969 -> 127.0.0.1:57580 Sep 10 18:22:33 ids01 snort[1536]: <lo> GateCrasher access: 192.168.155.231:6969 -> 127.0.0.1:57580 Sep 10 18:22:33 ids01 snort[1536]: <lo> Deep Throat access: 192.168.170.42:2140 -> 127.0.0.1:60521

비슷한 경보를 얻는다면 좋다. 그렇지 않다면 위와 유사한 결과를 얻을 때까지 설정을 조사하기 바란다.

이제 /etc/snort/snort.conf 를 편집해 INTERFACE 변수에 정확한 값을 넣은 후 snort 를 재시작해야 한다.