入侵检测实验
一、实验目的及要求：
（1）理解入侵检测的作用和检测原理。
（2）理解误用检测和异常检测的区别。
（3）掌握Snort的安装、配置和使用等实用技术
二、实验环境
每2位学生为一个实验组，使用2台安装Windows 2000/XP的PC机，通过局域网互联，IP网络为192.168.1.0/24。其中一台（192.168.1.100）上安装Windows平台下的Snort 2.8.1软件，另一台的IP地址为192.168.1.101。实验环境的网络拓扑如图1所示。
192.168.1.101192.168.1.100校园网
Ethernet(192.168.1.0)
……
图1 入侵检测实验拓扑
三实验要求
1、实验任务
（1）安装和配置入侵检测软件。
（2）查看入侵检测软件的运行数据。
（3）记录并分析实验结果。
2、实验预习
（1）预习本实验指导书，深入理解实验的目的与任务，熟悉实验步骤和基本环节。（2）复习有关入侵检测的基本知识。
3、实验报告
（1）简要描述实验过程。
（2）实验中遇到了什么问题，如何解决的。
（3）分析入侵检测系统在网络安全方面的作用。
（4）实验收获与体会。
四Windows下Snort的配置
一．安装软件：
一、安装WinPcap_3_1
二、安装Snort_2_4_5
五、实验内容或步骤：
1 安装和配置轻量级IDS软件Snort
由于需要对网络底层进行操作，安装Snort前需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库）。Snort安装程序，双击安装程序进行安装，选择安装目录为D：\Snort。
（2）进行到选择日志文件存时，为简单起见，选择不需要数据库支持，或者选择Snort
默认的MySQL和OCBC数据库的方式。
（3）单击“开始”菜单，选择“运行”命令，输入cmd并按回车键，在命令行方式下输入如下命令：
C：\Documents and Settings\Administrator> D：
D：\>cd Snort\bin
D：\Snort\bin>snort –W
如果Snort安装成功，系统将显示出如图所示的信息。
（4）从返回的结果可知主机上有哪个物理网卡正在工作及该网卡的详细信息。图2中显示的第二个是具有物理地址的网卡。输入snort -v–i2命令启用Snort。其中，-v表示使用
Verbose模式，把信息包打印在屏幕上；-i2表示监听第二个网
（5）为了进一步查看Snort的运行情况，可以人为制造一些ICMP网络流量。在局域网的另一台主机上使用Ping指令，探测Snort的主机。
（6）回到运行Snort的主机，可以发现Snort已经记录了这次探测的数据包。例如图
4所示，Snort在屏幕上输出了从172.29.24.9到172.29.255.255的ICMP数据包头。
（7）打开D：\Snort\etc\snort.conf，设置Snort的内部网络和外部网络网络检测范围。
将Snort.conf文件中的var HOME_NET any语句的any改为自己所在的子网地址，即将Snort监测的内部网络设置为所在的局域网。如本地IP为172.29.24.9，则改为172.29.24.9/24。
（8）配置网段内提供网络服务的IP地址，只需要把默认的$HOME_NET改成对应的主机
地址即可。
var DNS_SERVERS $HOME_NET
var SMTP_SERVERS $HOME_NET
var HTTP_SERVERS $HOME_NET
var SQL_SERVERS $HOME_NET
var TELNET_SERVERS $HOME_NET
var SNMP_SERVERS $HOME_NET
如果不需要监视类型的服务，可以用#号将上述语句注释掉。
（9）在Snort.conf文件中，修改配置文件classification.config和reference.config的路径：
include D：\snort\etc\classification.config
include D：\snort\etc\reference.config
其中classification.config文件保存的是规则的警报级别相关的配置，reference.config文件保存了提供更多警报相关信息的链接。
六操作与测试
（1）Snort嗅探器模式
检测Snort安装是否成功时，用到的就是Snort嗅探器模式。输入命令如下：
snort -v-i2
使Snort只将IP和TCP/UDP/ICMP的包头信息输出到屏幕上。如果要看到应用层的数据，可以输入如下命令：
snort -v–e-i1
如图所示。
（2）数据包记录器模式
上面的命令只是在屏幕上输出，如果要记录在LOG文件上，需要预先建立一个Log目录。输入下面的命令数据包记录器模式：
snort -dve-i2-l d：\Snort\log -h 172.16.7.0/24 -K ascii
其中，-l选项指定了存放日志的文件夹：-h指定目标主机，这里检测对象是局域网段
内的所有主机，如不指定-h，则默认检测本机；-K指定了记录的格式，默认是Tcpdump格
式，此处使用ASCII码。在命令行窗口运行了该指令后，将打开保存日志的目录。
在Log目录下自动生成了许多文件夹和文件，文件夹是以数据包主机的IP地址命名的，每个文件夹下记录的日志就是和该外部主机相关的网络流量。打开其中任一个，使用记事本查看日志文件，会发现文件的内容和嗅探器模式下的屏幕输出类似，
Snort数据包记录器模式记录的日志
Snort数据包记录器模式下日志的内容
七、思考讨论题或体会或对改进实验的建议
实验10：入侵检测系统 【实验题目】 入侵检测系统 【实验目的与要求】 （1）理解入侵检测系统的工作原理； （2）掌握开源入侵检测系统（软件类）的发展现状；安装调研一种入侵检测系统如Snort 进行试用； （3）调研目前主流厂家的入侵检测系统和入侵防护系统（硬件类）的发展状况（厂商、产品型号和报价等）； 【实验需求】 （1）入侵检测系统的工作原理: 数据收集：收集的数据包括主机日志、防火墙日志、数据库日志、应用程序数据以及网络数据包等； 数据处理：由于之前收集到的数据过于庞大和繁杂，需要对其进行相应的处理（去除冗余、噪声，并且进行数据标准化及格式化处理）； 数据分析：采用统计、智能算法能方法分析数据是否正常，显示是否存在入侵；行为 响应处理：当发现入侵行为时，采取预案措施进行防护（如切断网络，记录日志）、并保留入侵证据以作他日调查所用，同时向管理员报警。 （2）开源入侵检测系统的发展现状:从总体上讲，目前除了完善常规的、传统的技术（模式识别和完整性检测）外，入侵检测系统应重点加强与统计分析相关的研究。许多学者在研究新的检测方法，如采用自动代理的主动防御方法，将免疫学原理应用到入侵检测的方法等。其主要发展方向可以概括为： （1）分布式入侵检测与CIDF 传统的入侵检测系统一般局限于单一的主机或网络架构，对异构系统及大规模网络的检测明显不足，同时不同的入侵检测系统之间不能协同工作。为此，需要分布式入侵检测技术与CIDF。 （2）应用层入侵检测 许多入侵的语义只有在应用层才能理解，而目前的入侵检测系统仅能检测Web之类的通用协议，不能处理如Lotus Notes数据库系统等其他的应用系统。许多基于客户/服务器结构、中间件技术及对象技术的大型应用，需要应用层的入侵检测保护。
实验：入侵检测系统（Snort）的安装与配置 一、实验目的 学会WINDOWS下SNORT的安装与配置 二、实验环境 WinXP虚拟机 三、实验步骤与结果 一．在“我的电脑”中C盘中建立文件夹“zhangxiaohong” 二．安装WinPcap，运行WinPcap_4_1_2.zip，默认安装。 三．安装mysql，运行mysql-5.0.22-win32.zip，选择自定义安装选择安装路径 C:\zhangxiaohong\mysql 下，安装时注意：端口设置为3306（以后要用到），密码本实验设置成123 四．安装apache 1.运行apache_ 2.2.4-win32-x86-no_ssl.zip，安装到c:\zhangxiaohong\Apache 2.安装Apache，配置成功一个普通网站服务器 3.出现Apache HTTP Server 2.0.55的安装向导界面，点“Next”继续 4.确认同意软件安装使用许可条例，选择“I accept the terms in the license agreement”，点“Next”继续 5.将Apache安装到Windows上的使用须知，请阅读完毕后，按“Next”继续 6.选择安装类型，Typical为默认安装，Custom为用户自定义安装，我们这里选 择Custom，有更多可选项。按“Next”继续 7.出现选择安装选项界面，如图所示，左键点选“Apache HTTP Server 2.0.55”，
选择“This feature, and all subfeatures, will be installed on local hard drive.” 8.即“此部分，及下属子部分内容，全部安装在本地硬盘上”。点选 “Change...”，手动指定安装目录。 9.我这里选择安装在“C:\zhangxiaohong\Apache”，各位自行选取了，一般建议 不要安装在操作系统所在盘，免得操作系统坏了之后，还原操作把Apache配置文件 也清除了。选“OK”继续。 10.返回刚才的界面，选“Next”继续。 11.好了现在我们来测试一下按默认配置运行的网站界面，在IE地址栏打 “.0.1”，点“转到”，就可以看到如下页面，表示Apache服务器已安装成功。 12. 五．安装和配置PHP53、安装winpcap 1.解压php-5. 2.5-Win32到c:\zhangxiaohong\php 2.添加gd图形库支持 复制c:\zhangxiaohong\php\php5ts.dll和c: \zhangxiaohong\php\libmysql.dll文件到 C:\Windows\system32 复制c: \zhangxiaohong\php\php.ini-dist到C:\Windows文件夹并重命名为php.ini， 修改php.ini，分别去掉“extension=php_gd2.dll”和“extension=php_mysql.dll”前的分号， 3.并指定extension_dir="c:\zhangxiaohong\php\ext"， 4.同时复制c:\zhangxiaohong\php\ext下的php_gd2.dll与php_mysql.dll到C:\Windows\system32 在C:\zhangxiaohong\apache\conf\httpd.conf中添加 LoadModule php5_module c:/zhangxiaohong/php/php5apache2.dll AddType application/x-httpd-php .php AddType application/x-httpd-php-source .phps AddType application/x-httpd-php .html AddType application/x-httpd-php .htm 5.重启Apache服务 在C:\zhangxiaohong\apache\htdocs目录下新建webinf.php（文件内容为：）并使用访问测试是否能够显示当前Apache服务器的信息，如果能够显示表明Apache和php工作基本正常 六．安装snort 1.运行Snort_2_9_0_5_Installer.exe 安装在C:\zhangxiaohong\Snort下即可， 运行C:\zhangxiaohong\Snort\bin\snort.exe或者在DOS中找到该位置， 如果安装Snort成功会出现一个可爱的小猪 2.并按照以下修改C:\zhangxiaohong\Snort\etc\snort.conf文件
实验七入侵检测实验 一、实验目的 通过本实验掌握入侵检测系统（IDS）的基本原理和应用，掌握Windows 系统进行日常安全检测的基本方法和操作技能。 二、实验要求 1、实验前学生应具备以下知识： ?了解常见网络攻击技术的特点。 ?了解Windows系统用于安全审计的系统工具。 ?了解入侵检测系统（IDS）的基本概念。 2、实验内容可根据实验室的具体情况和课时安排的变化进行适当的调整实验过程中，部分实验内容需要与相邻的同学配合完成。此外，学生需要将实验的结果记录下来，实验内容中的思考题以书面形式解答并附在实验报告的后面。 3、需要注意的是，学生在实验过程中要严格按实验指导书的操作步骤和要求操作，且小组成员应紧密配合，以保证实验过程能够顺利完成。 三、实验仪器设备和材料清单 实验设备： 1．WindowsGP，Windows20GG服务器；或VMWare，Windows20GG/GP虚拟机。 2．TCPView、360安全卫士。 3．Snort。 4．黑客工具包。 四、实验内容
本次实验的主要项目包括以下几个方面： 1、利用TCPView监控网络连接和会话。 2、利用Windows系统工具监控文件共享、系统进程和服务。 3、配置Windows系统审核策略，监控敏感文件，攻击模拟后查看系统安全日志。 4、攻击模拟后查看Web、FTP等服务的访问日志。 5、安装、配置Snort监控所在网络的通信。 五、实验步骤 参考配置和步骤如下： 1、利用TCPView监控网络连接和会话 运行工具软件TCPView，运行浏览器等网络软件，如下图，查看本机的网络连接和会话。 2、利用360安全卫士进行安全检查 360安全卫士是目前最为流行的桌面安全工具，在其“高级工具”中集成了多个检测工具，可以帮助我们发现恶意程序和黑客的入侵，并作出相应的修补。 类似TCPView的工具也可以在360安全卫士的高级工具中找到。 3、利用Windows系统工具监控文件共享、系统进程和服务 运行“计算机管理”管理工具，打开“共享文件夹”，查看已经建立的会话和打开的文件。
网络安全实验报告 姓名：杨瑞春 班级：自动化86 学号：08045009
实验一：网络命令操作与网络协议分析 一．实验目的： 1.熟悉网络基本命令的操作与功能。 2.熟练使用网络协议分析软件ethereal分析应用协议。 二．实验步骤： 1. ping tracert netstat ipconfig telnet netcat Arp route nslookup Ssh 2.协议分析软件：ethereal的主要功能：设置流量过滤条件，分析网络数据包， 流重组功能，协议分析。 三．实验任务： 1．跟踪某一网站如google的路由路径 2．查看本机的MAC地址，ip地址 输入ipconfig /all 找见本地连接. Description . . .. . : SiS 900-Based PCI Fast Ethernet Adapte Physical Address.. . : 00-13-8F-07-3A-57 DHCP Enabled. . .. . : No IP Address. . . .. . : 192.168.1.5 Subnet Mask . . .. . : 255.255.255.0 Default Gateway .. . : 192.168.1.1 DNS Servers . . .. . : 61.128.128.67 192.168.1.1
Default Gateway .. . : 192.168.1.1 这项是网关.也就是路由器IP Physical Address.. . : 00-13-8F-07-3A-57 这项就是MAC地址了.
入侵检测技术 一、实验目的 通过实验深入理解入侵检测系统的原理和工作方式，熟悉入侵检测系统的配置和使用。实验具体要求如下： 1.理解入侵检测的作用和原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用技术 二、实验原理 1、入侵检测概念及其功能 入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection system,IDS)是完成入侵检测功能的软件和硬件的集合。 入侵检测的功能主要体现在以下几个方面： 1）. 监视并分析用户和系统的活动。 2）. 核查系统配置和漏洞。 3）. 识别已知的攻击行为并报警。 4）. 统计分析异常行为。 5）. 评估系统关键资源和数据文件的完整性。 6）. 操作系统的审计跟踪管理，并识别违反安全策略的用户行为。 2、入侵检测的分类 根据IDS检测对象和工作方式的不同，可以将IDS分为基于网络的IDS(简称NIDS)和基于主机的IDS(简称HIDS)。NIDS和HIDS互为补充，两者的结合使用使得IDS有了更强的检测能力。 1）. 基于主机的入侵检测系统。 HIDS历史最久，最早用于审计用户的活动，比如用户登录、命令操作、应用程序使用资源情况等。HIDS主要使用主机的审计记录和日志文件作为输入，某些HIDS也会主动与主机系统进行交互以获得不存在于系统日志的信息。HIDS所收集的信息集中在系统调用和应用层审计上，试图从日志寻找滥用和入侵事件的线索。HIDS用于保护单台主机不受网络攻击行为的侵害，需要安装在保护的主机上。 2）. 基于网络的入侵检测系统。 NIDS是在网络中的某一点被动地监听网络上传输的原始流量，并通过协议分析、特征、统计分析等分析手段发现当前发生的攻击行为。NIDS通过对流量分析提取牲模式，再与已知攻击牲相匹配或与正常网络行为原形相比较来识别攻击事件。 3、入侵检测系统 1）. 入侵检测系统的特点： 入侵检测系统(Intrusion Detection System)是对防火墙有益的补充，它对网络和主机行为
遵义师范学院计算机与信息科学学院 实验报告 （2013—2014学年第1 学期） 课程名称：网络安全实验 班级： 学号： 姓名： 任课教师： 计算机与信息科学学院
实验报告
闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： ·监视、分析用户及系统活动 · 系统构造和弱点的审计 · 识别反映已知进攻的活动模式并向相关人士报警 · 异常行为模式的统计分析 · 评估重要系统和数据文件的完整性 ·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。 入侵检测系统所采用的技术可分为特征检测与异常检测两种: 特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。 异常检测(Anomaly detection)的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为 Snort入侵检测系统： Snort简介：在1998年，Martin Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台 (Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它。snort基于libpcap。 Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网络入侵检测模式是最复杂的，而且是可配置的。我们可以让snort 分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。 Snort原理：Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort 通过对获取的数据包，进行各规则
入侵检测概念、过程分析和布署 入侵检测概念、过程分析和布署 1、入侵检测的基本概念入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”（参见国标GB/T18336）。入侵检测是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行?募际酢＝?腥肭旨觳獾娜砑?胗布?淖楹媳闶侨肭旨觳庀低常↖ntrusion Detection System，简称IDS）。 2、入侵检测系统的发展历史 1980年JamesP.Anderson在给一个保密客户写的一份题为《计算机安全威胁监控与监视》的技术报告中指出，审计记录可以用于识别计算机误用，他给威胁进行了分类，第一次详细阐述了入侵检测的概念。1984年到1986年乔治敦大学的DorothyDenning和SRI公司计算机科学实验室的PeterNeumann研究出了一个实时入侵检测系统模型- IDES（Intrusion Detection Expert Systems入侵检测专家系统），是第一个在一个应用中运用了统计和基于规则两种技术的系统，是入侵检测研究中最有影响的一个系统。1989年，加州大学戴维斯分校的Todd Heberlein写了一篇论文《A Network SecurityMonitor》，该监控器用于捕获TCP/IP分组，第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机，网络入侵检测从此诞生。 3、系统模型为解决入侵检测系统之间的互操作性，国际上的一些研究组织开展了标准化工作，目前对IDS进行标准化工作的有两个组织：IETF的Intrusion Detection Working Group（IDWG）和Common Intrusion Detection Framework（CIDF）。CIDF早期由美国国防部高级研究计划局赞助研究，现在由CIDF工作组负责，是一个开放组织。 CIDF阐述了一个入侵检测系统（IDS）的通用模型。它将一个入侵检测系统分为以下组件：事件产生器（Event generators），用E盒表示；事件分析器（Event analyzers），用A盒表示；响应单元（Responseunits），用R盒表示；事件数据库（Event databases），用D盒表示。
入侵检测系统安装和使 用 Document serial number【KK89K-LLS98YT-SS8CB-SSUT-SST108】
入侵检测系统安装和使用 【实验目的】 通过安装并运行一个snort系统，了解入侵检测系统的作用和功能 【实验内容】 安装并配置appahe，安装并配置MySQL，安装并配置snort；服务器端安装配置php脚本，通过IE浏览器访问IDS 【实验环境】 硬件PC机一台。 系统配置：操作系统windows10。 【实验步骤】 1、安装appache服务器 启动appache服务器 测试本机的80端口是否被占用， 2、安装配置snort 查看Snort版本 安装最新版本程序 2、安装MySql配置mysql 运行snort 1、网络入侵检测snort的原理 Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。 Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。
实验五：入侵检测技术 一、实验目的 通过实验深入理解入侵检测系统的原理和工作方式，熟悉入侵检测系统的配置和使用。实验具体要求如下： 1.理解入侵检测的作用和原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用技术 二、实验原理 1、入侵检测概念及其功能 入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(intrusion detection system,IDS)是完成入侵检测功能的软件和硬件的集合。 入侵检测的功能主要体现在以下几个方面： 1）. 监视并分析用户和系统的活动。 2）. 核查系统配置和漏洞。 3）. 识别已知的攻击行为并报警。 4）. 统计分析异常行为。 5）. 评估系统关键资源和数据文件的完整性。 6）. 操作系统的审计跟踪管理，并识别违反安全策略的用户行为。 2、入侵检测的分类 根据IDS检测对象和工作方式的不同，可以将IDS分为基于网络的IDS(简称NIDS)和基于主机的IDS(简称HIDS)。NIDS和HIDS互为补充，两者的结合使用使得IDS有了更强的检测能力。 1）. 基于主机的入侵检测系统。 HIDS历史最久，最早用于审计用户的活动，比如用户登录、命令操作、应用程序使用资源情况等。HIDS主要使用主机的审计记录和日志文件作为输入，某些HIDS也会主动与主机系统进行交互以获得不存在于系统日志的信息。HIDS所收集的信息集中在系统调用和应用层审计上，试图从日志寻找滥用和入侵事件的线索。HIDS用于保护单台主机不受网络攻击行为的侵害，需要安装在保护的主机上。 2）. 基于网络的入侵检测系统。 NIDS是在网络中的某一点被动地监听网络上传输的原始流量，并通过协议分析、特征、统计分析等分析手段发现当前发生的攻击行为。NIDS通过对流量分析提取牲模式，再与已知攻击牲相匹配或与正常网络行为原形相比较来识别攻击事件。 3、入侵检测系统 1）. 入侵检测系统的特点： 入侵检测系统(Intrusion Detection System)是对防火墙有益的补充，它对网络和主机行为
入侵检测实验 （一）实验人 04软件工（程信息技术）04381084 姚瑞鹏 04软件工（程信息技术）04381083 姚斌 04软件工（程信息技术）04381086 钟俊方 04软件工（程信息技术）04381090 郭睿 （二）实验目的 1.理解入侵检测的作用和检测原理 2.理解误用检测和异常检测的区别 3.掌握Snort的安装、配置和使用等实用的技术 （三）实验设备与环境 2台安装Windows XP的PC机，在其中一台主机上安装Windows平台下的Snort2.4.5软件，一台Windows平台下的安装Nmap软件，通过Switch相连。 实验环境的网络拓扑如下图所示。
（四）实验内容与步骤 平台下Snort的安装与配置 由于需要对网络底层进行操作，安装Snort需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库），如图所示： 1）安装Snort，双击安装程序进行安装，选择安装目录为D:\Snort。
2）进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持或者Snort 默认的MySQL和ODBC数据库支持的方式，如图所示： 3）单击“开始”按钮，选择“运行”，输入cmd，在命令行方式下输入下面的命令： C:\>cd D:\Snort\bin D:\ Snort\bin>snort –W 如果Snort安装成功，系统将显示出如图所示的信息。
4）从返回的结果可知主机上有哪个物理网卡正在工作及该网卡的详细信息，上图显示的两张物理地址的网卡。这里我们实用第2张网卡监听。输入snort –v –i2命令，-v表示使用Verbose模式，把信息包打印在屏幕上，-i2表示监听第二个网卡。 5）我们在另一台主机上安装Nmap软件，如图所示：
测评中心控制编号：BJ-4122-08 / 修改记录：第0次 编号：BC-2012-1019/19 重要信息系统安全等级测评 现场检测表 被测单位名称： 被测系统名称： 测试对象编号： 测试对象名称： 配合人员签字： 测试人员签字： 核实人员签字： 测试日期： 测评中心 测试类别等级测评（二级） 测试对象 测试类网络安全 测试项安全审计 测试要求： 1.应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； 2.审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他和审计相关的信 息。 测试内容： 1.应访谈安全审计员，询问边界和关键网络设备是否开启审计功能，审计内容包括哪些项；询 问审计记录的主要内容有哪些； 2.应检查边界和关键网络设备，查看其审计策略是否包括网络设备运行状况、网络流量、用户 行为等； 3.应检查边界和关键网络设备，查看其事件审计记录是否包括：事件的日期和时间、用户、事 件类型、事件成功情况及其他和审计相关的信息。
1.入侵检测设备是否启用系统日志功能？ □否□是 2.网络中是否部署网管软件？ □否□是，软件名称为：________________ 3.日志记录是否包括设备运行状况、网络流量、用户行为等？ □否□是 4.日志审计内容包括： □时间 □类型 □用户 □事件类型 □事件是否成功 □其他_________ 备注： 测试类别等级测评（二级） 测试对象 测试类网络安全 测试项入侵防范 测试要求： 1)能在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、 缓冲区溢出攻击、IP 碎片攻击、网络蠕虫攻击等入侵事件的发生。 测试内容： 1)访谈安全管理员，询问网络入侵防范措施有哪些；询问是否有专门设备对网络入侵进行防范； 2)评测网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻 击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等； 3)评测网络入侵防范设备，查看其规则库是否为最新； 4)测试网络入侵防范设备，验证其检测策略是否有效。
遵义师范学院计算机与信息科学学院 告验报实 ）学期2013—2014学年第1 （ 网络安全实验课程名称： 班级： 号：学 姓名： 任课教师：
计算机与信息科学学院．实验报告
1 闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现：监视、分析用户及系统活动··系统构造和弱点的审计·识别反映已知进攻的活动模式并向相关人士报警·异常行为模式的统计分析·评估重要系统和数据文件的完整性·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。: 两种特征检测与异常检测入侵检测系统所采用的技术可分为，这一检测假设入侵Misuse detection 特征检测(Signature-based detection) 又称者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。的假设是入侵者活动异常于正常主体的活动。根据这一(Anomaly detection)异常检测理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何从而不把正常的操作作为“入侵”或忽略真建立“活动简档”以及如何设计统计算法，
入侵检测系统实验 学习Windows系统下配置和使用入侵检测系统软件Snort 一、实验目的 .1、.通过实验深入理解入侵检测系统的原理和工作方式。 .2、.熟悉入侵检测工具snort在Windows操作系统中的安装和配置方法。 二、实验环境 ..实验室所有机器安装了Windows 2000操作系统，并并附带Apache、php、mysql、snort、adodb、acid、窘迫grapg、winpcap等软件的安装包。 三、实验原理 1、..入侵检测系统简介 ..入侵检测系统通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。2、..入侵检测系统的分类 ..入侵检测系统可分为主机型和网络型 ..主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。 ..网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式（promiscmode）,监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。 3、..入侵检测的实现技术 ..可分为两类：一种基于标志（signature-based），另一种基于异常情况(anomaly-based)。 ..对于基于标识的检测技术来说，首先要定义违背安全策略的事件的特征，如网
实验八入侵检测系统snort的使用 【实验目的】 1) 理解入侵检测的作用和检测原理。 2) 掌握Snort的安装、配置和使用等实用技术。 【实验环境】 Windows系统、snort软件、nmap软件 【实验重点及难点】 重点：入侵检测的工作原理。 难点：snort的配置文件的修改及规则的书写。 【Snort简介】 Snort是一套开放源代码的网络入侵预防软件与网络入侵检测软件。Snort使用了以侦测签章（signature-based）与通讯协定的侦测方法。截至目前为止，Snort的被下载次数已达到数百万次。Snort被认为是全世界最广泛使用的入侵预防与侦测软件。 【实验步骤】 1、从ftp上下载所需要的软包，winpcap，snort，nmap。安装软件前请阅读readme文件。 2、注意安装提示的每一项，在选择日志文件存放方式时，请选择“不需要数据库支持或者 snort默认的MySQL和ODBC数据库支持的方式”选项。 3、将snort.exe加入path变量中（该步骤可选，否则要切换到安装路径下执行命令）。 4、执行snort.exe，看能否成功执行，并利用“-W”选项查看可用网卡。如下： 上例中共有两个网卡，其中第二个是可用网卡，注意识别你自己机器上的网卡！ 注：snort的运行模式主要有3种：嗅探器模式（同sniffer）、数据包记录器模式和网络入侵检测模式。 5、嗅探器模式 嗅探器模式就是snort从网络上读出数据包然后显示在你的控制台上。可用如下命令启动该模式： snort –v –i2 //-i2 指明使用第二个网卡，该命令将IP和TCP/UDP/ICMP的包头信息显示在屏幕上。如果需要看到应用层的数据，使用以下命名： snort –v –d –i2 更多详细内容请参考https://www.doczj.com/doc/7b10188742.html,/network/snort/Snortman.htm。 6、数据包记录器模式
实验四：入侵检测系统的构建 一、实验目的 了解现有入侵检测系统的产品情况；掌握开源入侵检测系统（snort）的安 装、配置和使用方法。 二、实验内容 1）在 WINDOW平台上安装最新版本的 SNORT； 2）熟悉并了解 SNORT 的配置方法； 3）熟悉并了解 SNORT 的三种不同工作模式。 4）熟悉并了解 SNORT 的入侵检测用规则的语法及规则编写方法； 5）编写检测规则,实现网络入侵行为的检测功能,并对其优缺点进行评估。 三、实验准备 1．SNORT 入侵检测系统的特性 开源特性： SNORT 是基于GPL 的跨多平台、轻量级、网络入侵检测软件。功能强大，代码简洁、短小， 并采用C语言实现。在遵循GPL的条件 下，任何人都可以使用该软件或者基于该软件进行二次开发。该系统是 目前最活跃的开源项目之一。 模块化结构： SNORT 的结构分为解码器、检测引擎和报警与日志等三个部分。各部分均可以采用相应的模块进行扩展。解码器部分可以支持的模块是各 种预处理器模块，以实现对各种协议的网络数据包进行不同层次的解 码；规则引擎可以通过规则的扩充与修改实现不同入侵行为的检测；报 警与日志部分则支持多种报警与日志输出模式，并可以借助各种输出插 件进行功能的扩展或调整。
基于规则的入侵检测技术： SNORT 是一种基于规则匹配的网络入侵检测器。在检测时，SNORT 会对规则文件中的规则进行解析，并在内存中建立规则树。检测时，每读入一个数据包，首先对包进行解码处理。然后，将解码后的数据包与规则树进行匹配工作。若找到相关的匹配规则，将触发该规则指定的报警或日志动作。 规则描述了入侵行为的特征；因此，SNORT是一种误用入侵检测技术。但借助相关的插件，例如 SPADE，SNORT 也可实现一定程度的异常入侵检测功能。 2．SNORT 的三种工作模式 SNORT 支持三种工作模式，分别为嗅探器工作模式、数据包记录模式 和网络入侵检测工作模式： 2.1 嗅探器工作模式： snort -vde. 该模式下，SNORT 将对网络数据包进行解码工作，并按照命令选项开指定的信息粒度，将数据包信息输出至用户终端供用户查看、分析。 2.2 网络数据包记录模式：snort –vde –l path/log。 该模式与嗅探器工作模式相比，SNORT 会将数据包信息记录至日志文件。日志文件的目录路径由 path/log 指定。 2.3 网络入侵检测工作模式：snort –vde –c path/snort.conf 该模式为SNORT 最重要最复杂的工作模式。在该模式下，STIDE将按照 SNORT.CONF文件的配置信息，完成网络入侵检测的功能。 3．SNORT 入侵检测规则语法及规则编写方法 SNORT 入侵检测规则的目的是描述入侵行为的特征。SNORT 规则语法 简单，实用。通常，一种规则分为规则头和规则选项等两部分： 规则头 Alert tcp !192.168.1.0/24 any -> 192.168.1.0/24 111 ( content: “｜00 01 86 a5|”; msg: “external mounted access”;) 规则选项 规则头通常包括：规则匹配时的触发动作、所检测数据包的协议、源和
入侵检测实验报告 一、实验课题：snort策略配置分析 二、实验目的：熟悉snort的环境，掌握其使用方法，理解其策略配置过程。 三、实验内容： snrot使用一种简单的轻量级的规则描述语言来描述它的规则配置信息，它灵活而强大。Snort规则被分成两个逻辑部分：规则头和规则选项。规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息；规则选项部分包含报警消息内容和要检查的包的具体部分。下面是一个规则范例： alert tcp any any -> 192.168.1.0/24 111 (content:"|00 01 86 a5|"; msg: "mountd access";)括号前的部分是规则头，括号内的部分是规则选项。规则选项部分中冒号前的单词称为选项关键字。注意：不是所有规则都必须包含规则选项部分，选项部分只是为了使对要收集或报警，或丢弃的包的定义更加严格。组成一个规则的所有元素对于指定的要采取的行动都必须是真的。当多个元素放在一起时，可以认为它们组成了一个逻辑与（AND）语句。同时，snort规则库文件中的不同规则可以认为组成了一个大的逻辑或（OR）语句。 在snort中有五种动作：alert，log和pass，activate和dynamic。 1．Alert-使用选择的报警方法生成一个警报，然后记录（log）这个包 2．Log-记录这个包 3．Pass-丢弃（忽略）这个包 4．报警然后打开另外一个dynamic规则 5．等待一个activate来激活，在被激活后，向log规则一样记录数据包 规则的下一部分是协议。Snort当前分析可疑包的ip协议有三种：tcp ,udp 和icmp。将来可能会更多，例如arp，igrp，gre，ospf，rip，ipx等。 IP地址：规则头的下一个部分处理一个给定规则的ip地址和端口号信息。 关键字"any"可以被用来定义任何地址。Snort没有提供根据ip地址查询域名的机制。地址就是由直接的数字型ip地址和一个cidr块组成的。Cidr 块指示作用在规则地址和需要检查的进入的任何包的网络掩码。/24表示c 类网络，/16表示b类网络，/32表示一个特定的机器的地址。例如， 192.168.1.0/24代表从192.168.1.1到192.168.1.255的地址块。在这个地址范围的任何地址都匹配使用这个192.168.1.0/24标志的规则。这种记法给我们提供了一个很好的方法来表示一个很大的地址空间。在“例一” 中，源ip地址被设置为任何连接的计算机，而目标地址被设置为 192.168.1.0上的c类网络。
网络信息安全综合实验 任务书 一、目的与要求 根据实验内容的要求和实验安排，要求学生在掌握网络信息安全基本知识的基础上，能够设计出相应的软件，并且熟练地运用各种网络信息安全技术和手段，发现并解决各类安全问题，维护网络 及操作系统的安全。 二、主要内容 实验一加密认证通信系统实现 设计实现一个通信系统，双方可以通过消息和文件通信，用户可选择一种加密算法和认证算法，对消息和文件进行加密通信和完整性验证。（要实现认证和加密，工具和语言不限，可以直接调用现有模块，认证和加密不限） 实验二综合扫描及安全评估 利用常见的一些扫描工具可以检测本系统及其它系统是否存在漏洞等安全隐患，给出全面而完善的评估报告，帮助管理员发现存在的问题，进而采取有力措施予以弥补，从而提高系统的安全性能。 实验三网络攻防技术 矛与盾的关系告诉我们，在研究网络安全技术时，只着眼于安全防范技术是远远不够的，知己 知彼方能百战不殆，因此，很有必要同时研究攻击与防范技术，才能更有效地解决各种威胁。 实验四Windows系统安全配置方案 作为网络节点，操作系统安全成为网络信息安全首先应予考虑的事务，然而人们往往忽视了OS 的安全性。其实，OS的安全不只体现在密码口令上，这仅仅是最基本的一个方面。除此之外，服务、端口、共享资源以及各种应用都很有可能存在着安全隐患，因此，应采取相应措施设置完善的本地安全策略，并使用防病毒软件、防火墙软件甚至入侵检测软件来加强系统的安全。 其中实验一要求编程实现，可直接调用相关功能函数完成。实验二至实验四可在机房的网络信 息安全综合实验系统上完成。
四、实验成果要求 1．要求程序能正常运行，并实现任务书要求功能。 2．完成实验报告，要求格式规范，内容具体而翔实，应体现自身所作的工作，注重对设计思路的归纳和对问题解决过程的总结。 五、考核方式 平时成绩+程序验收+实验报告。 学生姓名： 指导教师： 2016 年6 月13 日
实验四编写简单Snort报警规则 一、snort入侵检测模式基本知识 snort最重要的用途还是作为网络入侵检测系统(NIDS)，即入侵检测模式，可以根据用户事先定义的一些规则分析网络数据流，并根据检测结果采取一定的动作。 在NIDS模式下，有很多的方式来配置snort的输出。在默认情况下，snort 以ASCII格式记录日志，使用full报警机制。如果使用full报警机制，snort会在包头之后打印报警消息。如果你不需要日志包，可以使用-N选项。 snort有6种报警机制：full、fast、socket、syslog、smb(winpopup)和none。其中有4个可以在命令行状态下使用-A选项设置。这4个是： 代码: -A fast：报警信息包括：一个时间戳(timestamp)、报警消息、源/目的IP 地址和端口。 -A full：是默认的报警模式。 -A unsock：把报警发送到一个UNIX套接字，需要有一个程序进行监听，这样可以实现实时报警。 -A none：关闭报警机制。 使用-s选项可以使snort把报警消息发送到syslog，默认的设备是LOG_AUTHPRIV和LOG_ALERT。可以修改snort.conf文件修改其配置。 snort使用一种简单的，轻量级的规则描述语言，这种语言灵活而强大。在开发snort规则时要记住几个简单的原则。Snort规则是基于文本的，规则文件按照不同的组进行分类，比如，文件ftp.rules包含了FTP攻击内容。 大多数snort规则都写在一个单行上，或者在多行之间的行尾用/分隔。Snort规则被分成两个逻辑部分：规则头和规则体。 （1）规则头：包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息； （2）规则体：包含报警消息内容和要检查的包的具体部分。
实验入侵检测系统 实验要求与目的 熟悉一种入侵检测系统。 实验内容 1、分析snort开源入侵检测系统的原理和工作过程。 答： 原理： Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort 通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。 Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。 工作过程： Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。网络中的数据包有可能是以太网包、令牌环包、TCP/IP包、802.11包等格式。在这一过程包解码器将其解码成Snort认识的统一的格式；之后就将数据包送到预处理器进行处理，预处理包括能分片的数据包进行重新组装，处理一些明显的错误等问题。预处理的过程主要是通过插件来完成，比如Http预处理器完成对Http请求解码的规格化，Frag2事务处理器完成数据包的组装，Stream4预处理器用来使Snort状态化，端口扫描预处理器能检测端口扫描的能力等；对数据包进行了解码，过滤，预处理后，进入了Snort的最重要一环，进行规则的建立及根据规则进行检测。规则检测是Snort中最重要的部分，作用是检测数据包中是否包含有入侵行为。例如规则alert tcp any any ->202.12.1.0/24 80（msg：”misc large tcp packet”；dsize：>3000；）这条规则的意思是，当一个流入202.12.1.0这个网段的TCP包长度超过3000B时就发出警报。规则语法涉及到协议的类型、内容、长度、报头等各种要素。处理规则文件的时候，用三维链表来存规则信息以便和后面的数据包进行匹配，三维链表一旦构建好了，就通过某种方法查找三维链表并进行匹配和发生响应。规则检测的处理能力需要根据规则的数量，运行Snort 机器的性能，网络负载等因素决定；最后一步就是输出模块，经过检测后的数据包需要以各种形式将结果进行输出，输出形式可以是输出到alert文件、其它日志文件、数据库UNIX 域或Socket等。 通用的入侵检测的工作流程主要分为以下四步： 第一步：信息收集。信息收集的内容包括系统、网络、数据及用户活动的状态和行为。这一步非常重要，因为入侵检测很大程度上依赖于收集信息的可靠性和正确性。 第二步：信息分析。是指对收集到的数据信息，进行处理分析。一般通过协议规则分析、模式匹配、通缉分析和完整性分析几种手段来分析。