57、开源网络入侵检测系统 Snort 全面解析

开源网络入侵检测系统 Snort 全面解析

1. Snort 简介

在网络安全领域，完整性检查器就像安全摄像头的录像带，在攻击发生时的作用远不如攻击发生后。因为完整性检查局限于本地系统，涉及的是本地文件而非网络数据包。当攻击者开始更改系统文件时，攻击往往已经得逞。为了更主动地检测入侵（如“正在进行的入侵”或“尝试入侵”），我们需要在攻击还在网络传输时就进行监控，而不是等其到达我们的系统。

Snort 是当之无愧的开源网络入侵检测系统（NIDS）冠军。它功能强大且用途广泛，主要体现在以下三个方面：
- 数据包嗅探器 ：作为数据包嗅探器（或更正式的“协议分析器”），Snort 相较于 tcpdump，就如同智人相较于能人，有着相同的基本“基因材料”，但更强大的“大脑”。它速度极快、检查全面且用户友好（至少对技术人员来说是这样）。
- 数据包记录器 ：Snort 可以保存完整的网络流量审计记录，这些记录能明确标识相关信息，并将证据“封装”起来。
- 可定制的网络入侵检测系统 ：Snort 是 100% 可定制的 NIDS，拥有一个由社区贡献的攻击特征库（规则）和用户可配置的规则引擎。它不仅能与昂贵的商业入侵检测系统相抗衡，在某些情况下甚至表现得更好、更快。与一些商业 IDS 不同，用户可以编写自己的 Snort 规则，甚至开发自己的检查引擎（“Snort 插件”）。当出现新的攻击漏洞时，用户可以快速轻松地编写自己的规则（前提是对 TCP/IP 网络有一定了解，这也是运行任何 NIDS 的先决条件）。

2. 获取、编译和安装 Snort