| |
Snort是一個網(wǎng)絡(luò)入侵檢測系統(tǒng)(IPS)，它可以分析網(wǎng)絡(luò)上的數(shù)據(jù)包，用以決定一個系統(tǒng)是否被遠程攻擊了。多數(shù)Linux發(fā)行版本都有Snort程序，因此通過urpmi、apt-get、yum等安裝Snort是一件很輕松的事情。Snort可以將其收集的信息寫到多種不同的存儲位置以便于日后的分析。此外，Snort可被用作一個簡單的數(shù)據(jù)包記錄器、嗅探器，當然它主要是一個成熟的NDIS(網(wǎng)絡(luò)入侵檢測系統(tǒng))。
在Snort安裝之后，就可以立即使用了。我們只需執(zhí)行：
#snort –v
這就將Snort設(shè)置也了嗅探模式，數(shù)據(jù)通信會在屏幕上滾動，顯示Snort所看到的數(shù)據(jù)。要退出此程序，按下ctrl-c鍵就可以了，然后我們就會看到它所檢測到的內(nèi)容的一個簡短分析。要看到如tcpdump那樣更為詳細的信息，就需要使用-vd選項。
要使用Snort記錄數(shù)據(jù)，可以告訴此程序?qū)⑿畔⒂涗浀绞裁吹胤�。在下面的例子中，Snort會將信息記錄到/usr/local/log/snort目錄中，因此就確保此目錄真的存在：
# snort -l /usr/local/log/snort -d
Snort將以二進制方式記錄數(shù)據(jù)包，如:/usr/local/log/snort/snort.log.1199665001,要查看此記錄，可以使用-r選項來重新顯示所捕獲的數(shù)據(jù)。
# snort -r /usr/local/log/snort/snort.log.1199665001
要將Snort用作一個網(wǎng)絡(luò)入侵檢測系統(tǒng)還需要花點兒工夫。我們必須正確配置Snort，并要使用配置文件/etc/snort/snort.conf。注意，這個配置文件非同一般。Snort網(wǎng)站上的一些規(guī)則可能與Snort一起打包了，這依賴于你所使用的Linux版本。
開源社團的Snort的規(guī)則對任何人都是可用的，并極有可能與供應(yīng)商所提供的Snort的版本捆綁發(fā)布。你還可以從Sourcefire預(yù)訂、接收其更新，這樣就可以使規(guī)則保持不斷更新。
一旦下載了一個規(guī)則包，如Community-Rules-CURRENT.tar.gz，就要在系統(tǒng)中解開它，將其解到Snort配置所在的目錄中：
# cd /etc/snort
# tar xvzf Community-Rules-CURRENT.tar.gz
新的規(guī)則將出現(xiàn)在rules/ directory中。
要啟用之，需要編輯snort.conf文件并添加以下內(nèi)容：
var RULE_PATH rules
include $RULE_PATH/sql.rules
include $RULE_PATH/icmp.rules
...
不管你喜歡哪些規(guī)則，現(xiàn)在就可以啟動Snort并裝載配置文件/etc/snort/snort.conf，這會依次裝載下載的規(guī)則：
# snort -c /etc/snort/snort.conf
此時，Snort將會打印其初始化的信息，將其顯示在屏幕上，然后開始記錄與規(guī)則匹配的數(shù)據(jù)包。這些規(guī)則將決定Snort可以記錄什么,它將忽略哪些內(nèi)容，因此這里不像將Snort作為一個嗅探器來運行那樣，它所生成的記錄要小得多，因為它只記錄所謂的“重要的”數(shù)據(jù)包。默認情況下，這些記錄將會被存儲到/var/log/snort/中，Snort將會用我們前面所說-r選項來分析之。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
