3、Snort 2.6：开源入侵检测系统的全面解析

Snort 2.6：开源入侵检测系统的全面解析

1. 什么是 Snort

Snort 是一款开源的入侵检测系统（NIDS），同时也是功能丰富的数据包嗅探器和实用的数据包记录器。它能在检测到入侵事件时发送实时警报，甚至可作为内联“入侵预防系统”，通过多种方式实时通知用户。

Snort 的起源可追溯到 1998 年 11 月，Marty Roesch 编写了仅适用于 Linux 的数据包嗅探器 APE。但他希望开发一款能在多操作系统上运行、使用十六进制转储有效负载转储且能统一显示不同网络数据包的嗅探器，于是 Snort 应运而生。1998 年 12 月 22 日，Snort 在 Packet Storm 上发布，当时仅有约 1600 行代码和两个文件，主要用于数据包嗅探。1999 年 1 月下旬，Snort 增加了基于签名的分析功能，可作为轻量级 IDS 使用。到 1999 年 12 月 Snort 1.5 版本发布时，确定了目前 2.x 版本使用的架构。之后，因 Roesch 参与的商业 IDS 初创公司失败，他开始专注于 Snort 的开发，并创立了 Sourcefire。尽管 Sourcefire 对 Snort 投入了大量工作，但 Snort 仍然保持开源。

随着时间推移，Snort 不断发展，增加了预处理能力、插件等功能。规则数量也不断增加，并按类型进行了组织，如 P2P、后门、分布式拒绝服务（DDoS）攻击等。这些规则映射到一个称为传感器 ID（SID）的数字，用于识别攻击或漏洞类型。由于 Snort 的日益流行，其他 IDS 供应商也开始采用 Snort 规则格式。

2. Snort 2.6 的新特性