仓酷云

标题: 来讲讲：Centos 下snort构建进侵检测体系IDS [打印本页]

作者: 再见西城 时间: 2015-1-14 21:09
标题: 来讲讲：Centos 下snort构建进侵检测体系IDS
小知识：在过去的四年中，我经常使用CentOS，主要是作为企业Linux商业版本产品的一种替代，很多个人、企业或机构都希望拥有主流企业Linux的稳定性、可靠性和声誉。snort简介
snort是一个基于libpcap的数据包嗅探并能够作为一个轻量级的收集进侵检测体系（NIDS）。所谓的轻量级是指在检测时尽量低地影响收集的一般操纵，一个优异的轻量级的NIDS应当具有跨体系平台操纵，对体系影响最小等特性而且***可以在短工夫内经由过程修正设置举行及时的宁静呼应，更加主要的是可以成为全体宁静布局的主要成员。
snort事情形式
snort有三种事情形式：嗅探器、数据包纪录器、收集进侵检测体系。
嗅探器形式仅仅是从收集上读取数据并作为接二连三的流显现在终端上；
数据包纪录器形式把数据包纪录到硬盘上；
收集进侵检测形式是最庞大的，并且是可设置的，我们可让snort剖析收集数据流以婚配用户界说的一些划定规矩，并依据检测了局接纳必定的举措。
实行情况：
snort主机：192.168.101.90
摹拟进侵主机：192.168.101.108
注：snort要与internet能够通讯
1、snort和划定规矩装置
yuminstallphpphp-gdphp-pearphp-mysqlmysql-serverhttpdlibpcap
yumlocalinstall--nogpgchecksnort-2.8.6.1snort-mysql-2.8.0.1-1.RH5.i386.rpm
tar-zxvfsnortrules-snapshot....-C/etc/snort
修正情况变量
[root@readhat~]#exportPCAP_FRAMES=max
启用办事
[root@readhathtml]#servicehttpdstart&&chkconfighttpdon
[root@readhathtml]#servicemysqldstart&&chkconfigmysqldon
2、mysql设置
[root@readhathtml]#mysqladmin-urootpassword"123"
创立数据库
createdatabasesnort;
usesnort;
source/usr/share/snort-2.8.0.1/schemas/create_mysql;导进模版，天生数据表
3、adodb装置
[root@readhathtml]#unzipadodb514.zip-d/var/www/html/
[root@readhathtml]#cd/var/www/html/
[root@readhathtml]#mvadodb5/adodb
4、base装置设置
[root@readhathtml]#tar-zxvf/root/base-1.4.5.tar.gz-C/var/www/html/
[root@readhathtml]#cd/var/www/html/
[root@readhathtml]#mvbase-1.4.5/base

pearinstall--forcePEAR-1.8.1
pearupgradepear
[root@readhathtml]#pearinstallImage_Graph-alphaImage_Canvas-alphaImage_ColorNumbers_RomanMail_MimeMail

[root@readhathtml]#cd/var/www/html/base
[root@readhatbase]#cpworld_map6.pngworld_map6.txt/usr/share/pear/Image/Graph/Images/Maps/

对base目次，增加可写属性，
[root@readhathtml]#chmodo+wbase
修正base内的标记链接
[root@readhathtml]#ln-s/etc/snort/doc/signatures/var/www/html/base/signatures

会见http://192.168.101.90/base

编纂php的设置文件
vim/etc/php.ini
error_reporting=E_ALL
改成
error_reporting=E_ALL&~E_NOTICE

再次测试一般

5、base网页设置
选择言语格局，及adodb的寄存目次，

设置数据库的相干属性，

创立***脚色，

乐成创立相干表、表选项，

base是从mysql中读取数据，而sort是如何将信息输入到mysql数据库，并没有设置。
snort与mysql的联系关系设置
[root@readhat~]#vim/etc/snort/snort.conf

[root@readhat~]#snort-v-c/etc/snort/snort.conf&>/dev/null&
[1]28542
[root@readhathtml]#jobs
[1]+Runningsnort-v-c/etc/snort/snort.conf>&/dev/null&
检察扫描形态

局域网内摹拟打击，举行端口扫描

再次检察形态

具体的数据格局

附录：
snort的事情形式及划定规矩复杂编写
1、嗅探器形式
所谓的嗅探器形式就是snort从收集上读出数据包然后显现在你的把持台上。起首，我们从最基础的用法动手。假如你只需把TCP/IP包头信息打印在屏幕上，只必要输出上面的下令：
#snort-v
利用这个下令将使snort只输入IP和TCP/UDP/ICMP的包头信息。假如你要看到使用层的数据，可使用：
#snort-vd
这条下令使snort在输入包头信息的同时显现包的数据信息。假如你还要显现数据链路层的信息，就利用上面的下令：
#snort-vde
注重这些选项开关还能够分隔写大概恣意分离在一块。比方：上面的下令就和下面最初的一条下令等价：
#snort-d-vCe
2、数据包纪录器：
假如要把一切的包纪录到硬盘上，你必要指定一个日记目次，snort就会主动纪录数据包：
snort-dev-l./log
固然，./log目次必需存在，不然snort就会呈报毛病信息并加入。当snort在这类形式下运转，它会纪录一切看到的包将其放到一个目次中，这个目次以数据包目标主机的IP地点定名，比方：192.168.10.1
假如你只指定了-l下令开关，而没有设置目次名，snort偶然会利用近程主机的IP地点作为目次，偶然会利用当地主机IP地点作为目次名。为了只对当地收集举行日记，你必要给出当地收集：
snort-dev-l./log-h192.168.1.0/24
这个下令告知snort把进进C类收集192.168.1的一切包的数据链路、TCP/IP和使用层的数据纪录到目次./log中。
注重：天生的数据文件格局是tcpdump格局的，可以使用”#snort-r数据文件名”来检察
假如你的收集速率很快，大概你想使日记加倍松散以便今后的剖析，那末应当利用二进制的日记文件格局。所谓的二进制日记文件格局就是tcpdump步伐利用的格局。利用上面的下令能够把一切的包纪录到一个单一的二进制文件中：
snort-l./log-b
3、进侵检测体系：
snort最主要的用处仍是作为收集进侵检测体系(NIDS)，利用上面下令行能够启动这类形式：
snort-dev-l./log-h192.168.1.0/24-c/etc/snort/snort.conf
snort.conf是划定规矩集文件。snort会对每一个包和划定规矩集举行婚配，发明如许的包就接纳响应的举动。假如你不指定输入目次，snort就输入到/var/log/snort目次。
注重：假如你想临时利用snort作为本人的进侵检测体系，最好不要利用-v选项。由于利用这个选项，使snort向屏幕上输入一些信息，会年夜年夜下降snort的处置速率，从而在向显现器输入的过程当中抛弃一些包。
别的，在尽年夜多半情形下，也没有需要纪录数据链路层的包头，以是-e选项也能够不必：
snort-d-h192.168.1.0/24-l./log-c/etc/snort/snort.conf
这是利用snort作为收集进侵检测体系最基础的情势，日记切合划定规矩的包，以ASCII情势保留在有条理的目次布局中。
编写snort划定规矩
snort利用一种复杂的，轻量级的划定规矩形貌言语，这类言语天真而壮大。在开辟snort划定规矩时要记着几个复杂的准绳。
第一，年夜多半snort划定规矩都写在一个单行上，大概在多行之间的行尾用/分开。Snort划定规矩被分红两个逻辑局部：划定规矩头和划定规矩选项。划定规矩头包括划定规矩的举措，协定，源和方针ip地点与收集掩码，和源和方针端口信息；划定规矩选项局部包括报警动静内容和要反省的包的详细局部。
上面是一个划定规矩典范：
alerttcpanyany->192.168.1.0/24111(content:"|000186a5|";msg:"mountdaccess";)
划定规矩举措协定源ip地点源端标语->方针ip地点方针端标语（划定规矩选项）
第一个括号前的局部是划定规矩头（ruleheader），包括的括号内的局部是划定规矩选项（ruleoptions）。划定规矩选项局部中冒号前的单词称为选项关头字（optionkeywords）。注重，不是一切划定规矩都必需包括划定规矩选项局部，选项局部只是为了使对要搜集或报警，或抛弃的包的界说加倍严厉。构成一个划定规矩的一切元素关于指定的要接纳的举动都必需是真的。当多个元素放在一同时，能够以为它们构成了一个逻辑与（AND）语句。同时，snort划定规矩库文件中的分歧划定规矩能够以为构成了一个年夜的逻辑或（OR）语句。
划定规矩举措：
划定规矩的头包括了界说一个包的who，where和what信息，和当满意划定规矩界说的一切属性的包呈现时要接纳的举动。划定规矩的第一项是"划定规矩举措"（ruleaction），"划定规矩举措"告知snort在发明婚配划定规矩的包时要干甚么。在snort中有五种举措：alert、log、pass、activate和dynamic.
1、Alert-利用选择的报警***天生一个警报，然跋文录（log）这个包。
2、Log-纪录这个包。
3、Pass-抛弃（疏忽）这个包。
4、activate-报警而且激活另外一条dynamic划定规矩。
5、dynamic-坚持余暇直到被一条activate划定规矩激活，被激活后就作为一条log划定规矩实行。

本文出自“刘园的博客”博客，请务必保存此出处http://liuyuan51.blog.51cto.com/5971950/1137198
小知识：社区支持的免费Linux发行版一般不会从商业支持中寻求什么好处，但对CentOS来说，这种情况即将改变。

作者: 分手快乐 时间: 2015-1-17 06:32
为了更好的学习这门课程，我不仅课上认真听讲，课下也努力学习，为此还在自己的电脑上安装了Ubuntu系统。

作者: 若相依 时间: 2015-1-26 13:34
学习Linux应具备的。[书籍+网络资源]

作者: 莫相离 时间: 2015-2-4 21:04
主流Linux发行版都自带非常详细的文档（包括手册页和FAQ），从系统安装到系统安全,针对不同层次的人的详尽文档，仔细阅读文档后40%问题都可在此解决。

作者: 乐观 时间: 2015-2-10 12:17
在学习的过程中，我们用的是VM虚拟机，开始时真的不真的该怎么去做，特别是我的是命令窗口界面，别人的是图形界面，我都不知道怎么调过来。

作者: 只想知道 时间: 2015-3-1 14:39
安装一个新的软件时先看README,再看INSTALL然后看FAQ,最后才动手安装,这样遇到问题就知道为什么。如果Linux说明文档不看,结果出了问题再去论坛来找答案反而浪费时间。

作者: 海妖 时间: 2015-3-10 22:08
我们这一代90后，从小接触的是windows98，家里条件好的自己有电脑装的是2000，后来又有了XP，上大学时又有了win7。

作者: 山那边是海 时间: 2015-3-17 17:10
我们自学，就这个循环的过程中，我们学习了基本操作，用vi，shell，模拟内存的分配过程等一些OS管理。

作者: 金色的骷髅 时间: 2015-3-24 21:06
我感觉linux的学习,学习编程~!~!就去学习C语言编程!!

欢迎光临仓酷云 (http://ckuyun.com/)