5、Snort配置与插件使用全攻略

Snort配置与插件使用全攻略

1. 网络入侵检测系统（NIDS）的放置

在部署像Snort这样的网络入侵检测系统（NIDS）时，其有效性的关键因素之一是在网络中的放置位置。NIDS的价值在于识别恶意流量，如果它无法看到流量，就无法发挥作用。因此，应将NIDS放置在能最大程度获取数据的位置。

1.1 不同网络环境下的放置策略

• 小型网络环境 ：如果只有一个交换机或集线器，决策相对简单。根据目标，可以将其仅与互联网连接串联，这样就只检查进出互联网的流量。
• 大型网络环境 ：需要在NIDS中安装多个网卡，以便检查网络中多个关键点的流量。

1.2 安全考虑

• IDS自身安全 ：IDS和其他系统一样，也是黑客的目标，甚至更容易成为攻击对象。因此，应尽可能对IDS主机系统进行加固和锁定。
• 避免绕过防火墙 ：如果选择安装多个网卡来监控多个网段，可能会创建一个绕过防火墙的替代数据路径。为防止这种情况发生，可以采取以下措施：
  • 使用网络分接头 ：这是一种专门设计的硬件，只能监听流量而不进行传输。但网络分接头并非免费。
  • 禁用路由 ：确保主机没有静态路由，并禁用任何路由协议，这是一种免费的方法。

1.3 交换机和集线器的区别