58、Snort入侵检测系统的使用与配置指南

Snort入侵检测系统的使用与配置指南

1. Snort嗅探器模式的使用

Snort的嗅探器模式允许我们对网络数据包进行解码和显示。可以使用 -d 标志来解码数据包，使用 -v 标志将数据包显示到屏幕上。还能使用Tcpdump原语来过滤输出。

2. 配置和使用Snort作为入侵检测系统（IDS）

Snort作为IDS使用时，需要进行一些预配置。通常可以将主配置文件 snort.conf 放在 /etc/snort 目录下，规则文件放在 /etc/snort/rules 目录下，但也可以放在其他位置。

2.1 snort.conf文件的主要部分

• 变量定义 ：
  • var HOME_NET ：指定哪些IP地址空间应被视为本地网络，使用逗号分隔，值之间不能有空格，例如 var HOME_NET 33.22.13.0/24,10.9.0.0/16,etc. 。
  • var DNS_SERVERS ：指定DNS服务器的IP地址，使用空格分隔。正常的DNS活动有时类似于端口扫描，当涉及此变量中列出的IP地址时，端口扫描插件会忽略此类活动。
• 预处理器插件语句 ：这些语句有详细的注释，包含示例说明它们可以接受的参数，部分参