snort-安装-使用-截图.docVIP

snort-安装-使用-截图

Snort

在1998年,MartinRoesch先生用C语言开发了开放源代码(OpenSource)的入侵检测系统Snort.直至今天,Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析,网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(NetworkIntrusionDetection/PreventionSystem),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUNGeneralPubicLicense),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它.snort基于libpcap。

目录

简介

相关条目

基本指令封包记录模式

基本指令入侵侦测模式

主要指令

Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。

Snort最重要的用途还是作为网络入侵检测系统(NIDS)。

使用简介

Snort并非复杂难以操作的软体。Snort可以三个模式进行运作：

侦测模式（SnifferMode）：此模式下，Snort将在现有的网域内撷取封包，并显示在萤幕上。封包纪录模式（packetloggermode）：此模式下，Snort将已撷取的封包存入储存媒体中（如硬碟）。上线模式（inlinemode）：此模式下，Snort可对撷取到的封包做分析的动作，并根据一定的规则来判断是否有网路攻击行为的出现。

基本指令：侦测模式

若你想要在萤幕上显示网路封包的标头档（header）内容，请使用

./snort-v

如果想要在萤幕上显示正在传输的封包标头档内容，请使用

./snort-vd

如果除了以上显示的内容之外，欲另外显示资料连结层（Datalinklayer）的资料的话，请使用

./snort-vde

标头

标头的部份指的是此规则欲执行的动作。以上的例子为alert，即警示。完整的标头选项列表如下：

alert产生警示

log纪录该封包

pass忽略该封包

activate产生警示，并开启另一个动态规则

dynamic被activate指令触发后所执行的规则

drop让iptable丢弃该类型封包并记录下来

reject让iptable丢弃该类型封包，并送出TCP重新启动（TCPReset）的封包

sdrop让iptable丢弃该类型封包，但不记录

通讯协定

通讯协定指出执行该规则的协定为何。上述的例子是tcp协定。

目前snort支援四种通讯协定：

tcp,udp,icmp,ip

并计划在未来支援以下的协定：

ARP,IGRP,GRE,OSPF,RIP,IPX等等

进阶规则编辑

Includes:include允许指令的规则档包含其他的规则档。

include:

请注意，在该行结尾处没有分号。被包含的规则档会把任何预设的变数值替换为其本身的变数。

Variables:

在Snort中定义的变数。

var:

例子：varNET192.168.1.0/24alerttcpanyany-$NETany(flags:S;msg:FINpacket;)

变数名称可以用多种方法修改。可以在$符号之后定义变数。?和-可用于变数修改符号。$var-定义变数。$(var)-用变数var的值替换。$(var:-default)-用变数var的值替换。若var没有定义，则使用default替换。$(var:?messageXXX)-用变数var的值替换，或列印出错误讯息messageXXX。例子：varNET$(NET:-192.168.1.0/24)logtcpanyany-$(NET:?NETisundefined!)23

Config

Snort的很多配置和命令行选项都可以在配置档中设置。

config[:]

order改变规则顺序(snort-o)

alertfile建立警告输出档，例如：