我正在尝试在 Ubuntu 20.04 桌面上安装 Snort 3.0。我使用手册作为此安装的指南。一切都很顺利，看起来安装也很顺利，但是，在第 6 页，要使用默认配置文件测试 Snort，它希望我通过
snort -c /usr/local/etc/snort/snort.luaError: Could not find requested DAQ moduel: pcap更新 所以我从 tcpdump 安装了 pcap，但这并没有解决它。我仍然遇到同样的错误。
http://www.tcpdump.org/release/libpcap-1.10.0.tar.gz
我通过了：
wget http://www.tcpdump.org/release/libpcap-1.10.0.tar.gz
tar -xzvf libpcap-1.10.0.tar.gz
安装顺利。
然后我就通过了：
/usr/local/bin/snort -V
,,_ -*> Snort++ <*-
o" )~ Version 3.1.0.0
'''' By Martin Roesch & The Snort Team
http://snort.org/contact#team
Copyright (C) 2014-2020 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using DAQ version 3.0.0
Using LuaJIT version 2.1.0-beta3
Using OpenSSL 1.1.1f 31 Mar 2020
Using libpcap version 1.9.1 (with TPACKET_V3)
Using PCRE version 8.44 2020-02-12
Using ZLIB version 1.2.11
Using FlatBuffers 1.12.0
Using Hyperscan version 5.3.0 2021-02-01
Using LZMA version 5.2.4
然后我就通过了：
administrator@Ubuntu:~/snort_src$ snort -c /usr/local/etc/snort/snort.lua
--------------------------------------------------
o")~ Snort++ 3.1.0.0
--------------------------------------------------
Loading /usr/local/etc/snort/snort.lua:
Loading snort_defaults.lua:
Finished snort_defaults.lua:
Loading file_magic.lua:
Finished file_magic.lua:
ssh
hosts
host_cache
pop
so_proxy
stream_tcp
smtp
gtp_inspect
packets
dce_http_proxy
stream_icmp
normalizer
alerts
rewrite
ips
stream_udp
binder
wizard
appid
search_engine
file_id
ftp_data
ftp_server
port_scan
dce_http_server
dce_smb
dce_tcp
telnet
ssl
sip
rpc_decode
netflow
http_inspect
network
http2_inspect
modbus
host_tracker
stream_user
stream_ip
trace
back_orifice
classifications
dnp3
active
ftp_client
decode
daq
stream
references
arp_spoof
output
process
dns
dce_udp
imap
stream_file
Finished /usr/local/etc/snort/snort.lua:
--------------------------------------------------
ERROR: Could not find requested DAQ module: pcap
FATAL: see prior 1 errors (0 warnings)
Fatal Error, Quitting..
请指教。谢谢你。
更新
看来我已经拥有最新的 pcap 版本了。
dministrator@Ubuntu:~/snort_src$ sudo apt-get install -y libpcap-dev
Reading package lists... Done
Building dependency tree
Reading state information... Done
libpcap-dev is already the newest version (1.9.1-3).
The following packages were automatically installed and are no longer required:
libfprint-2-tod1 libllvm10
Use 'sudo apt autoremove' to remove them.
0 upgraded, 0 newly installed, 0 to remove and 6 not upgraded.
运行 dir，看起来我已经安装了所有东西？
administrator@Ubuntu:~/snort_src$ dir
boost_1_74_0 libpcap-1.10.0.tar.gz
boost_1_74_0.tar.gz libsafec-02092020.0-g6d921f
flatbuffers-1.12.0 libsafec-02092020.tar.gz
flatbuffers-build LuaJIT-2.1.0-beta3
flatbuffers-v1.12.0.tar.gz LuaJIT-2.1.0-beta3.tar.gz
gperftools-2.8 pcre-8.44
gperftools-2.8.tar.gz pcre-8.44.tar.gz
hyperscan-5.3.0 ragel-6.10
hyperscan-5.3.0-build ragel-6.10.tar.gz
libdaq-3.0.0 snort3-3.1.0.0
libdaq-3.0.0.tar.gz snort3-3.1.0.0.tar.gz
libpcap-1.10.0 v5.3.0.tar.gz
我没有主意了......谢谢。
我遇到了同样的问题。我建议使用 --daq-dir。
例如我的daq安装在/usr/local/lib/daq。
运行snort时，使用命令：
/usr/local/snort/bin/snort -c /usr/local/snort/etc/snort/snort.lua --daq-dir /usr/local/lib/daq -i ens33 -l /var/log/snort
经过测试，我发现如果不使用 --daq-dir ，我的snort会报告“ERROR: Could not find requested DAQ module: pcap”。
如Snort 3 用户手册第15页，3.2 构建中所述，我们需要手动安装（可能还编译）libdaq并将
PKG_CONFIG_PATHexport PKG_CONFIG_PATH=$PKG_CONFIG_PATH:/usr/local/lib/pkgconfig
然后完成snort编译。一切都很好。
对我来说，解决方案是重新安装 libdaq 和 snort，但在 sudo 中执行每一步。我发现一个post解决了同样的问题，但对于snort 2。它在某些时候指出，
locate daq_dump.so/usr/local/lib/daq出现错误的原因是在安装 libcap 库之前编译了 libdaq。 （所以 libdaq 是在没有 libcap 的情况下编译的）
安装 libcap 后。
再次编译libdaq。 进入 libdaq 源目录运行 a:
make clean
./configure
确保您看到这个：
构建PCAP DAQ模块……：是的
make
make install
然后再次编译snort。 在snort源目录中：
cd build
make clean
cd ..
./configure_cmake.sh
cd build
make
make install
我认输了，通过 Docker 安装了 Snort3。已解决。