snort预处程序.docVIP

预处理程序 预处理程序从Snort版本1.5开始引入，使得Snort的功能可以很容易地扩展，用户和程序员能够将模块化的插件方便地融入Snort之中。预处理程序代码在探测引擎被调用之前运行，但在数据包译码之后。通过这个机制，数据包可以通过额外的方法被修改或分析。使用preprocessor关键字加载和配置预处理程序。在Snort规则文件中的preprocessor指令格式如下： preprocessor name: options 例子： preprocessor minfrag: 128 HTTP Decode HTTP Decode用于处理HTTP URI字符串并且将串中的数据转化为可读的ASCII字串。HTTP对于一些特性定义了一个十六进制编码方法，例如字符串%20被解释成一个空格。Web服务器被设计成能够处理无数的客户端并且支持多种不同的标准。 格式： http_decode:port list [unicode] [iis_alt_unicode]［double_encode] [iis_flip_slash] [full_whitespace] 例子： preprocessor http_decode: 80 8080 unicode iis_flip_slash iis_alt_unicode Portscan Detector Snort Portscan预处理程序的用处： 向标准记录设备中记录从一个源IP地址来的端口扫描的开始和结束。 如果指定了一个记录文件，在记录扫描类型的同时也记录目的IP地址和端口。 端口扫描定义为在时间T（秒）之内向超过P个端口进行TCP连接尝试，或者在时间T（秒）之内向超过P个端口发送UDP数据包。端口扫描可以是对任一IP地址的多个端口，也可以是对多个IP地址的同一端口进行。现在这个版本可以处理一对一和一对多方式的端口扫描，下一个完全版本将可以处理分布式的端口扫描（多对一或多对多）。端口扫描也包括单一的秘密扫描（stealth scan）数据包，比如NULL，FIN，SYNFIN，XMAS等。如果包括秘密扫描的话，端口扫描模块会对每一个扫描数据包告警。为避免这种情况，可以在Snort标准发行版中的scan-lib文件里把有关秘密扫描数据包的小节注释掉，这样对每次扫描就只记录一次。如果使用外部记录特性，可以在记录文件中看到（端口扫描的？）技术和类型。该模块的参数如下： network to monitor - 监视端口扫描的目标网络以network/CIDR表示。 number of ports - 在探测期间访问的端口数目。 detection period - 以秒计数的端口访问时间限制。 logdir/filename - 告警信息存放的目录/文件名，告警也可以写入标准的告警文件中。 格式： portscan: monitor network number of ports detection period file path 例子： preprocessor portscan: /24 5 7 /var/log/portscan.log Portscan Ignorehosts 如果用户的服务器（比如NTP，NFS和DNS服务器）会妨碍端口扫描的探测，可以通知portscan模块忽略源自这些主机的TCP SYN和UDP端口扫描。该模块的参数为IPs/CIDR的列表。 格式： portscan-ignorehosts: host list 例子： preprocessor portscan-ignorehosts: /32 /24 Frag2 Frag2是一个新的IP碎片重组预处理器。Frag2的内存使用和碎片时间超时选项是可配置的。不给出参数，frag2将使用缺省的内存量（4MB）和时间超时值（60秒）。这个时间值用来决定一个没有重组的分段将被丢弃的时间长度。 格式 preprocessor frag2: [memcap xxx], [timeout xx], [min_ttl xx], [detect_state_problems], [ttl_limit xx] timeout seconds 在状态表中保存一个不活跃的流的最大时间值，如果发现活动就重新刷新对话并且这个会话被自动拾起。缺省值是30秒。 memcap bytes 内存消耗的最大值，如果超出这个值，frag2就强制削减那些不活跃的会话，缺省值是4MB。detect_state_problems turns on alerts for events such as overlapping fragments min_ttl xx 设置frag2接受的最小ttl值。 detect_st