13、高级Snort：增强网络安全检测的高级技巧

高级Snort：增强网络安全检测的高级技巧

1. 引言

简单构建和安装Snort的原始源代码并使用通用规则集，就能有效地使用Snort。然而，如果愿意编写自定义规则或专门的插件来增强预处理、检测或后处理功能，那么Snort将展现出全新的应用领域。下面将探讨一些增强元素及其作用，并结合不同的安全需求，介绍如何实现这些功能。

2. 网络监控

要将被监控的数据包引入Snort，在不同的网络环境中有不同的处理方式。

2.1 集线器与交换网络

在使用网络集线器时，只需将其连接到打算用作Snort监控端口的以太网接口。但如今，集线器仅在流量较小的小型网络中使用。对于交换网络，监控方式则更为复杂，具体取决于交换机类型、Snort系统的能力和预算。
- 管理型交换机 ：通常可以将其设置为镜像模式，使所有通过交换机的流量都能复制到一个交换机端口，该端口连接Snort监控接口。Cisco交换机将此配置称为SPAN，其他制造商可能使用端口镜像或监控等术语。不过，在繁忙的网络中使用SPAN模式可能会给交换机CPU带来沉重负担，影响其性能。如果VLAN的总流量超过1GB，无论如何设置，SPAN端口都可能无法将所有流量发送到Snort。若网络使用多个VLAN，则需要为每个VLAN设置单独的SPAN端口。
- 集线器连接 ：将集线器插入交换机并将Snort连接到集线器，这种方法不太可取，除非仅用于监控穿越网络的流量（如进出DMZ子网的流量，但不包括子网内的流量），因为在交换网络中引入集线器会严重影响网络性能。

2.2 被动网络分接头