基于Snort的入侵检测系统分析和规则配置.pdfVIP

6 福建 电脑 2010年第4期 基于Snort的入侵检测系统分析和规则配置 吴丽萍 (福州大学现代教育技术中心福建福州350108) 【摘 要】：本文分析了较通用的Snort入侵检测系统，介绍了该系统的整体架构和工作过程，详细分析了其特征规则， 并从规则头和规则选项上进行配置得到新的规则。通过实际环审tm,I试了自定义的规则．测试表明自定义规则能适应特定环 境的需要。显示其检测的有效性。 【关键词】：snon；入侵检测系统；分析；规则配置 1、引言 户接口界面的选项进行选择。13志模式有三种形式：不用关闭、 入侵检测是对企图入侵、正在进行的入侵或者已经发生的 入侵进行识别的过程。任何类型的入侵检测系统模型都包括有 数据包。为了获得更高和更好的运行效果，我们可以关闭日志功 检测事件的产生、检测事件的分析、响应单元和事件数据库等主 能。只保留警报功能，但这不利于我们日后进行对入侵痕迹的分 要部分。入侵检测系统需要分析的数据统称为事件。它是网络中 析和判断。 的数据包或系统日志等从其他途径获得的信息。事件产生器的 2．2Snort系统规则 目的是从网络环境中获得活动．并向系统的其他部件提供该活 动；事件分析器分析该数据和产生分析结果：响应单元则是对分 并且把规则文件中的各项填充到相应的数据结构中。Snort规则 析结果做出反应：数据库用来存放各种中问和最终数据。 可以划分为两个逻辑部分：规则头和规则选项。。 人侵检测系统的活动可以根据一定规律来审计各种相关的 2．2．1规则头 记录．根据往常的正常记录的基本情况进行比较和判断．由规则 规则头包含了规则动作、协议、IP源地址和目的地址、子网 集管理引擎处理或与历史纪录比较分析．来实现入侵检测系统 掩码以及源端口和目标端口值等信息。规则动作包括Alert：使 的检测结果。与此同时入侵检测系统可以根据实际情况．修改规 用选定的报警方式生成警报信号。然后记录当前数据包；Log： 划设计或更新活动档案。Snort入侵检测系统是一个通用系统。记录当前数据包；Pass：丢弃(忽略)当前数据包。协议字段， 2．Snort系统 Snort主要支持对3种IP协议进行分析．以发现可疑行为，它们 2．1 Snort系统整体结构 是TCP、UDP和ICMP协议。 Snort入侵检测系统主要包括几个部分：数据包嗅探器．预2．2．2规则选项 处理器，检测引擎和报警输出模块。如图1所示。 设计将易用性和检测性能以及灵活性结合起来。规则选项主要 是nlsg：在警报信号和数据包日志中显示一条消息：log：将数据 包记录到用户指定名称的文件。而不是标准输出文件；content： Pwets icmp_seq、ipopdon等字段。 图lSnort系统工作流程 3、规则配置 1)数据包嗅探器 有时需要我们可以根据自己的需要、对snort系统配置相应 的规则。主要有以下几种情况。 主要完成数据包的捕获和保存．通过打开Hbpcap包捕获 接口。 3．1规则修改流程 2)预处理器 调用预处理器插件初始化函数InitPreprocessors．注册所有 的预处理器插件。 3)检测引擎 检测引擎将检测的规则存储在一个三维的链表结构中。主 晕一 要分为三个部分：规则动作、链表头和链表选项。在检测时首先