snort入侵檢測(cè)系統(tǒng)平臺(tái)的構(gòu)建(編輯修改稿)
2025-08-05 12:53 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 給報(bào)警處理器．當(dāng)數(shù)據(jù)通過(guò)檢測(cè)引擎后，Snort會(huì)對(duì)其數(shù)據(jù)進(jìn)行不同的處理．如果數(shù)據(jù)和檢測(cè)引擎的規(guī)則相匹配，Snort就會(huì)觸發(fā)報(bào)警．報(bào)警可以通過(guò)網(wǎng)絡(luò)連接、UNIX的套接字或Windows Popup(SMB)，甚至SNMP陷阱機(jī)制發(fā)送到日志文件．也可以使用Snort的一些附加工具來(lái)通過(guò)Web接口顯示日志內(nèi)容，包括一些perl、PHP和Web服務(wù)器的插件等．日志可以存儲(chǔ)在文本文件中．報(bào)警和日志都可以記錄到數(shù)據(jù)庫(kù)中，如MySQL或Postgree等．另外，Snort報(bào)警可以通過(guò)系統(tǒng)日志工具如SWATCH發(fā)送電子郵件及時(shí)通知系統(tǒng)管理員，是系統(tǒng)不需要由專人24小時(shí)監(jiān)控．4. Snort的工作模式Snort有3種工作模式：嗅探器模式、數(shù)據(jù)包記錄器、網(wǎng)絡(luò)入侵檢測(cè)模式。嗅探器模式儀僅從網(wǎng)絡(luò)上讀取數(shù)據(jù)包并作為連續(xù)不斷的流量顯示在終端上。數(shù)據(jù)包記錄器模式把數(shù)據(jù)包記錄到日志中。網(wǎng)絡(luò)入侵檢測(cè)模式是Snort最主要的功能，是可配置的。5. 分布式Snort的體系結(jié)構(gòu)分布式Snort體系結(jié)構(gòu)如果上千兆數(shù)據(jù)必須存儲(chǔ)在Snort運(yùn)行的機(jī)器上，計(jì)算機(jī)的處理能力就是一個(gè)實(shí)際的問(wèn)題。所以Snort采用了3層體系結(jié)構(gòu)。Snort的3層體系結(jié)構(gòu)傳給第二層。第二層是服務(wù)器，它從傳感器收集報(bào)警數(shù)據(jù)并且將其轉(zhuǎn)換成用戶可讀的形式。第三層是分析員控制臺(tái)，數(shù)據(jù)在這一層顯示。6. Snort規(guī)則Snort是一個(gè)基于特征的入侵檢測(cè)系統(tǒng)，而Snort正是通過(guò)大量的規(guī)則集實(shí)現(xiàn)基于特征的入侵檢測(cè)系統(tǒng)的功能．這些規(guī)則集按照不同的類別進(jìn)行分類，如木馬、緩沖區(qū)溢出、訪問(wèn)不同的應(yīng)用程序等，并進(jìn)行定期的更新。所有的Snort規(guī)則都可以分為兩個(gè)邏輯組成部分：規(guī)則頭部和規(guī)則選項(xiàng)。規(guī)則的頭部包含規(guī)則所做動(dòng)作的信息，也包含與包所比對(duì)的一些條件。選項(xiàng)部分通常包含一個(gè)報(bào)警消息以及包的哪個(gè)部分被用來(lái)產(chǎn)生這個(gè)消息。一條規(guī)則可以用來(lái)探測(cè)一個(gè)或多個(gè)類型的入侵活動(dòng)，一個(gè)好的規(guī)則可以用來(lái)探測(cè)多種入侵特征。動(dòng)作是當(dāng)發(fā)現(xiàn)一個(gè)數(shù)據(jù)包滿足規(guī)則中的指定屬性時(shí)，Snort將做什么。規(guī)則動(dòng)作有5種缺省的行為：報(bào)警)、記日志(1og)、忽略(pass)、啟動(dòng)(activate)、動(dòng)態(tài)(dynamic)。協(xié)議部分用來(lái)在一個(gè)特定協(xié)議的包上應(yīng)用規(guī)則。地址用來(lái)指定需要監(jiān)控的源或目的地址。端口號(hào)用來(lái)指定需要監(jiān)控的源或目的地址的端口號(hào)。方向符用一或一 表示。Snort的規(guī)則存儲(chǔ)在文本文件中，并可以用文本編輯器修改。規(guī)則以類別分組。不同類別的規(guī)則存儲(chǔ)在不同的文件中。最后。Snort在啟動(dòng)時(shí)讀取這些規(guī)則，并建立內(nèi)部數(shù)據(jù)結(jié)構(gòu)或鏈表以用這些規(guī)則來(lái)捕獲數(shù)據(jù)。發(fā)現(xiàn)入侵特征并利用規(guī)則捕獲它們是一項(xiàng)具有技巧性的工作，因?yàn)樵趯?shí)時(shí)檢測(cè)中你應(yīng)用越多的規(guī)則，那么你將需要越多的處理能力，所以用盡量少的規(guī)則來(lái)捕獲盡量多的特征是非常重要的。Snort已經(jīng)預(yù)先定義了許多入侵檢測(cè)規(guī)則，并且你可以自由添加自定義的規(guī)則。同時(shí)，你也可以移除一些內(nèi)建規(guī)則以防止錯(cuò)誤告警。 規(guī)則的組成⑴規(guī)則頭：規(guī)則頭包含了規(guī)則的基本動(dòng)作（記錄日志或是報(bào)警）、網(wǎng)絡(luò)數(shù)據(jù)包的類型（TCP、UDP、ICMP等）、源和目的IP地址．源和目的端口。⑵規(guī)則可選項(xiàng)：可選項(xiàng)中指定了數(shù)據(jù)包中規(guī)則匹配的具體內(nèi)容。Snort使用特定的語(yǔ)法來(lái)定義這些規(guī)則．規(guī)則的語(yǔ)法涵蓋了Protocol的類型、內(nèi)容、長(zhǎng)度、Protocol頭及很多其他元素，類如定義緩沖區(qū)溢出規(guī)則的填充字節(jié)等。 規(guī)則頭規(guī)則頭定義了規(guī)則的行為（Action）、所匹配網(wǎng)絡(luò)包的Protocol、源地址、目標(biāo)地址、源端口和目標(biāo)端口等信息，其作用主要是定義網(wǎng)絡(luò)數(shù)據(jù)包分組中的報(bào)頭路由特征．規(guī)則頭格式如下：規(guī)則行為 Protocol 源地址 源端口 方向操作符 目的地址 目的端口 ⑴規(guī)則行為（Rule Action）規(guī)則行為指示了數(shù)據(jù)包與規(guī)則匹配時(shí)該做什么，此字段有五個(gè)選項(xiàng)：alert、log、pass、activate、dynamic．其語(yǔ)義如下：①alert：使用設(shè)定的警告方法生成警告信息，并記錄這個(gè)報(bào)文．②log：使用設(shè)定的記錄方法記錄這個(gè)報(bào)文．③pass：忽略該報(bào)文．④activate：進(jìn)行alert，然后激活對(duì)應(yīng)的一個(gè)dynamic規(guī)則．⑤dynamic：等待被一個(gè)對(duì)應(yīng)的activate規(guī)則激活，然后進(jìn)行l(wèi)og．其中activate和dynamic規(guī)則必須成對(duì)出現(xiàn)，已完成特定任務(wù)．當(dāng)某種攻擊發(fā)生后需要記錄兩個(gè)或多個(gè)包時(shí)，activate規(guī)則激活對(duì)應(yīng)的dynamic規(guī)則記錄后繼的若干個(gè)包．⑵Protocol字段（Protocol）：目前Snort主要支持TCP、UDP、ICMP三種Protocol，對(duì)應(yīng)的值為tcp、udp和icmp．⑶方向操作符（Direction）：指示規(guī)則所適用的流量方向．“”表示從左端到右端的數(shù)據(jù)包，“”反之，“”表示匹配雙向流量．⑷地址和端口信息地址可以是一個(gè)主機(jī)地址或者網(wǎng)絡(luò)地址．可以用關(guān)鍵字any來(lái)指定所有的地址．目的地址必須用CIDR表示法表示．CIDR表示法如下：IP地址后面用斜線來(lái)附加一個(gè)數(shù)字，表示掩碼的位數(shù)．比如192．168．2．0/24代表一個(gè)C類網(wǎng)絡(luò)192．168．2．0，其子網(wǎng)掩碼是255．255．255．0．一些子網(wǎng)掩碼：①如果子網(wǎng)掩碼是24位，它是一個(gè)C類網(wǎng)絡(luò)．②如果子網(wǎng)掩碼是16位，它是一個(gè)B類網(wǎng)絡(luò)．③如果子網(wǎng)掩碼是24位，它是一個(gè)A類網(wǎng)絡(luò)．④表示一個(gè)主機(jī)用32位掩碼．根據(jù)CIDR的支持，可以用任何位數(shù)的掩碼．五 課程設(shè)計(jì)的內(nèi)容1．Snort的安裝平臺(tái)安裝平臺(tái)：Windows XP + My SQL + Apache + PHP52．安裝所需要的軟件包 Windows 版本的Snort 安裝包2） snort規(guī)則庫(kù) 3）4） 基于php 的入侵檢測(cè)數(shù)據(jù)庫(kù)分析控制臺(tái)5） Windows 版本的mysql安裝包6） Windows 版本的vapache 安裝包7） 圖形庫(kù)for PHP8） ADOdb（Active Data Objects Data Base）庫(kù)for PHP9） Windows 版本的php 腳本環(huán)境支持3．詳細(xì)安裝步驟1. 安裝 Apache服務(wù)器 2. 安裝 PHP5語(yǔ)言 3. 安裝 Winpcap 網(wǎng)絡(luò)驅(qū)動(dòng) 4. 安裝 Snort 入侵檢測(cè)系統(tǒng) 5. 安裝和設(shè)置 Mysql數(shù)據(jù)庫(kù) 6. 安裝adodb組件 7. 安裝 jpgraph組件 8. 安裝 acid 9. 建立acid 運(yùn)行必須的數(shù)據(jù)庫(kù)10. 解壓 :\snort目錄下 安裝Apache為了保證 Apache 能夠正常的安裝與運(yùn)行，安裝的時(shí)候注意，如果你已經(jīng)安裝了IIS 并且啟動(dòng)了Web Server，因?yàn)镮IS WebServer 默認(rèn)在TCP 80 端口監(jiān)聽，所以會(huì)和Apache WebServer 沖突，在安裝前應(yīng)先把 IIS 的服務(wù)關(guān)閉,以免造成端口沖突。確保 IIS 服務(wù)已經(jīng)禁用和關(guān)閉自啟動(dòng)。.或者修改Apache WebServer為其他端口。也可修改IIS的端口。Apache的安裝配置：把 IIS 服務(wù)關(guān)了后，就可以正常安裝 Apahce 服務(wù)了，具體操作如圖：11（省略無(wú)圖則默認(rèn)下一步）圖 11 安裝Apache圖 12 填寫服務(wù)相關(guān)信息圖 13 選擇安裝路徑圖 14 完成Apache的安裝。在安裝目錄etc目錄下可以找到。安裝完 Apache 之后我們可以在瀏覽器中輸入圖 15 所
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1