Snort è un motore open-source di rilevamento delle intrusioni di rete ampiamente utilizzato. Analizza i pacchetti e i flussi di rete alla ricerca di segnali di attività malevola o in violazione delle policy, quindi genera avvisi quando il traffico corrisponde a firme note o a pattern sospetti. In pratica, Snort viene utilizzato come IDS: osserva il traffico senza bloccarlo, offrendo ai difensori visibilità su ricognizioni, tentativi di exploit, traffico di brute force e comunicazioni di command-and-control del malware.
Snort è importante perché la qualità del rilevamento dipende da un'ispezione rapida e accurata e da regole ben ottimizzate. I team di sicurezza lo implementano per monitorare segmenti critici, arricchire gli avvisi con evidenze dei pacchetti e individuare attacchi che gli strumenti endpoint potrebbero non rilevare. Nelle difese reali, Snort può essere collocato su una porta SPAN o su un network tap, dove osserva il traffico in ingresso e laterale alla ricerca di firme di exploit, abuso dei protocolli o scansioni. Il suo valore è massimo quando i team mantengono aggiornate le regole, riducono i falsi positivi e usano gli avvisi per guidare la risposta.