Snort入侵检测系统的体系结构、工作模式、及规则

最新推荐文章于 2025-05-14 16:45:08 发布

成谜的李四

最新推荐文章于 2025-05-14 16:45:08 发布

阅读量3k

点赞数

CC 4.0 BY-SA版权

文章标签： snort 网络安全

本文链接：https://blog.youkuaiyun.com/S2020chenxin/article/details/114779255

本文介绍了Snort入侵检测系统的体系结构，包括数据包嗅探、预处理、检测和报警/日志四个模块。Snort在数据链路层抓包，通过预处理器进行数据包解码和组装，然后根据规则进行检测。Snort有三种工作模式：嗅探器、数据包记录器和网络入侵检测系统。Snort规则定义包括规则头和规则体，支持多种响应机制如报警、记录和动态规则。规则体允许对协议细节、关键字等进行精确匹配。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

*Snort入侵检测系统的体系结构、工作模式、及规则*

Snort的结构由4大软件模块组成，它们分别是：
　　　（1）数据包嗅探模块——负责监听网络数据包，对网络进行分；
　　　（2）预处理模块——该模块用相应的插件来检查原始数据包，从中发现原始数据的“行为”，如端口扫描，IP碎片等，数据包经过预处理后才传到检测引擎；
　　　（3）检测模块——该模块是Snort的核心模块。当数据包从预处理器送过来后，检测引擎依据预先设置的规则检查数据包，一旦发现数据包中的内容和某条规则相匹配，就通知报警模块；
　　　（4）报警/日志模块——经检测引擎检查后的Snort数据需要以某种方式输出。如果检测引擎中的某条规则被匹配，则会触发一条报警，这条报警信息会通过网络、UNIXsocket、WindowsPopup(SMB)、SNMP协议的trap命令传送给日志文件，甚至可以将报警传送给第三方插件（如SnortSam），另外报警信息也可以记入SQL数据库。

Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。网络中的数据包有可能是以太网包、令牌环包、TCP/IP包、802.11包等格式。在这一过程包解码器将其解码成Snort认识的统一的格式；之后就将数据包送到预处理器进行处理，预处理包括能分片的数据包进行重新组装，处理一些明显的错误等问题。预处理的过程主要是通过插件来完成，比如Http预处理器完成对Http请求解码的规格化，Frag2事务处理器完成数据包的组装，Stream4预处理器用来使Snort状态化，端口扫描预处理器能检测端口扫描的能力等；对数据包进行了解码，过滤，预处理后，进入了Snort的最重要一环，进行规则的建立及根据规则进行检测。规则检测是Snort中最重要的部分，作用是检测数据包中是否包含有入侵行为。例如规则alert tcp any any ->202.12.1.0/24 80（msg：”misc large tcp packet”；dsize：>3000；）这条规则的意思