3、Snort：网络入侵检测的全方位指南

Snort：网络入侵检测的全方位指南

1. Snort数据包处理流程

当网络数据包进入Snort正在嗅探的以太网线路时，会经历以下路径：
1. 数据包捕获库 ：数据包捕获库是一个独立的软件，它将网卡中的网络数据包传递给Snort。在Linux和Unix系统中，Snort使用libpcap；在Windows系统中，使用WinPcap。这里捕获的是未处理的数据链路层（OSI模型的第2层）数据包，如以太网帧。
2. 数据包解码器 ：解码器接收数据包捕获库传来的第2层数据，并将其解析。首先解码数据链路帧（如以太网、令牌环或802.11），接着解析IP协议，然后是TCP或UDP数据包。解码完成后，Snort就拥有了所有协议的信息，便于进一步处理。
3. 预处理器 ：Snort的预处理器有多个插件，可以开启或关闭。预处理器对解码后的数据包进行各种转换，使数据更易于Snort处理。它可以在将数据包发送到更消耗CPU资源的检测引擎之前，对数据包进行警报、分类或丢弃操作。
4. 检测引擎 ：检测引擎是Snort的核心。它从数据包解码器和预处理器获取信息，并在传输层和应用层（OSI模型的第4层和第5层）进行操作，将数据包中的内容与基于规则的检测插件中的信息进行比较。这些规则包含攻击特征。
5. 输出 ：当预处理器或规则被触发时，会生成警报并记录（可选地连同违规数据包一起）。Snort支持多种输出插件，包括基于文本和二进制的日志格式、多个数据库以及syslog。

在网络层（OSI模型的