02-入侵行为检测实验.docVIP

?课程编写 类别 内容 实验课题名称 入侵行为检测实验 实验目的与要求 理解入侵检测的作用和原理，掌握snort入侵检测的方法 实验环境 VPC1(虚拟PC) 关闭防火墙 Windows XP操作系统 VPC1连接要求 PC?网络接口，本地连接与实验网络直连。 软件描述 WinPcap_4_1_2.exe Snort_2_9_1_2_Installer.exe Snort.rar Snortrules-snapshot-2903.tar.gz 实验环境描述 1、学生机与实验室网络直连 2、VPC1与实验室网络直连 3、学生机与VPC1物理链路连通 预备知识 入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection?system,IDS)是完成入侵检测功能的软件和硬件的集合。 入侵检测的功能主要体现在以下几个方面: 1、监视并分析用户和系统的活动。 2、核查系统配置和漏洞。 3、识别已知的攻击行为并报警。 4、统计分析异常行为。 5、评估系统关键资源和数据文件的完整性。 6、操作系统的审计跟踪管理并识别违反安全策略的用户行为。 实验内容 在Windows平台建立基于Snort的IDS，进行入侵行为检测实验。 实验步骤 1、打开虚拟机控制台，在D\tools下找到上述相关安装程序。 2、安装WinPcap_4_1_2.exe（按照向导提示安装即可） 3、安装Snort_2_9_1_2_Installer.exe（默认安装即可） 4、安装完成后单击“开始”“运行”，输入“cmd”，打开命令行，如下图所示： 5、使用下面命令检测安装是否成功： ???cd C:\snort\bin (回车) ???Snort –W ???如果出现小猪的形状就说明安装成功了。 6、将snortrules-snapshot-2903.tar.gz解压，并将文件夹拷贝覆盖到c:\Snort下，修改snort配置文件?etc里面的snort.conf文件。 原:?var?RULE_PATH ../rules 改为:?var?RULE_PATH C:\Snort\rules 原: #dynamicpreprocessor?directory /usr/local/lib/snort_dynamicpreprocessor/ 改为:dynamicpreprocessor?directory C:\Snort\lib\snort_dynamicpreprocessor(后面一定不要有/) 原: #dynamicengine?/usr/local/lib/snort_dynamicengine/libsf_engine.so 改为:dynamicengine?C:\Snort\lib\snort_dynamicengine\sf_engine.dll 原：dynamicdetection?directory /usr/local/lib/snort_dynamicrules 改为：dynamicdetection?directory C:\Snort\lib\snort_dynamicrules 然后将C:\Snort\so_rules\precompiled\FC-9\i386\里的所有文件拷贝到C:\Snort\lib\snort_dynamicrules?（snort_dynamicrules?文件夹需要新建） 原: include?classification.config 改为: include C:\Snort\etc\classification.config 原: include?reference.config 改为: include C:\Snort\etc\reference.config 原: # include?threshold.conf 改为: include C:\Snort\etc\threshold.conf 原：#Does nothing in IDS mode preprocessor normalize_ip4 preprocessor?normalize_tcp:?ips?ecn?stream preprocessor normalize_icmp4 preprocessor normalize_ip6 preprocessor normalize_icmp6 在之前加上#，注释掉。 原：preprocessor?http_inspect: global?iis_unicode_map?unicode.map 125