Snort的配置与使演示课件

一、设置网络变量1、网络变量配置用户通过声明网络参数变量配置snort，variables可以包含字符串（路径）、IP和端口。

1）IP变量与IP列表IP有四声明方式：对IP具体声明、列表形式以及CIDR组，或者它们的任意组合。

IP变量以ipvar关键字声明。

示例：ipvar EXAMPLE [1.1.1.1,2.2.2.0/24,![2.2.2.2,2.2.2.3]]2）端口变量与列表端口列表支持端口声明及查找端口列表范围。

端口范围从0到65535.端口变量以portvar声明，示例：portvar EXAMPLE1 80portvar EXAMPLE3 anyportvar EXAMPLE4 [!70:90]portvar EXAMPLE5 [80,91:95,100:200]portvar pvar1 80portvar pvar2 [$pvar1,90]alert tcp any $EXAMPLE1 -> any $EXAMPLE2_PORT (msg:"Example"; sid:1;)alert tcp any $PORT_EXAMPLE2 -> any any (msg:"Example"; sid:2;)alert tcp any 90 -> any [100:1000,9999:20000] (msg:"Example"; sid:3;)配置服务器列表DNS服务：var DNS_SERVERS $HOME_NETSMTP服务：var SMTP_SERVERS $HOME_NETWeb 服务：var HTTP_SERVERS $HOME_NETSQL服务：var SQL_SERVERZ $HOME_NETTelnet服务：var TELNET_SERVERS $HOME_NETFTP服务：var FTP_SERVERS $HOME_NETSNMP服务：var SNMP_SERVERS $HOME_NET配置服务端口这使得snort去跟踪针对特点端口应用的攻击，如web server在端口8180上，则应这样配置：portvar HTTP_PORTS 8180不过这个值通常为80，因此定义为：portvar HTTP_PORTS 80如果希望定义多HTTP端口：portvar HTTP_PROTS [80,8080] 或者portvar HTTP_PROTS[80,8000:8080]eg：定义希望发现SHELLCODE的端口：portvar SHELLCODE_PORTS !80可能发现对ORACLE的攻击：portvar ORACLE_PORTS 1521针对FTP服务的端口：portvar FTP_PORTS 21配置rules文件路径这个可以是一个相对路径var RULE_PATH /etc/snort/rulesvar PREPROC_RULE_PATH /etc/snort/preproc_rules二、配置解码器解码器解码是数据包进入snort的第一个处理过程。

贵州大学实验报告学院：计信学院专业：班级:（10 ）测试snort的入侵检测相关功能实（1）装有Windows2000 或WindowsXP 操作系统的PC机；验（2）Apache_2.0.46、php-4.3.2、snort2.0.0、Mysql 、adodb、acid、jpgraph 库、仪win pcap 等软件。

器（1）Apache_2.0.46 的安装与配置（2）php-4.3.2 的安装与配置（3）sn ort2.0.0 的安装与配置实（4）Mysql数据库的安装与配置验（5）adodb的安装与配置步（6）数据控制台acid的安装与配置骤（7）jpgraph 库的安装（8）win pcap的安装与配置（9）snort规则的配置（10 ）测试snort的入侵检测相关功能（一）windows 环境下snort 的安装实1、安装 Apache_2.0.46验（1）双击 Apache_2.0.46-win32-x86-no_src.msi ，安装在默认文件夹C:\apache 内下。

安装程序会在该文件夹下自动产生一个子文件夹apache2 。

容Php)3、安装 snort安装snort-2_0_0.exe , snort 的默认安装路径在 C:\snort安装配置Mysql 数据库(1)安装Mysql 到默认文件夹 C:\mysql ，并在命令行方式下进入C:\mysql\bin ,输入下面命令： C:\mysql\bin\mysqld - install 这将使 mysql 在 Windows 中以服务方式运行。

(2)在命令行方式下输入 net start mysql ，启动mysql 服务(3 )进入命令行方式，输入以下命令 C:\mysql\b in> mysql -u root -p如下图:出现Enter Password 提示符后直接按"回车”，这就以默认的没有密码的 root 用户 登录mysql 数据库。

Snort安装与配置Snort是免费NIPS及NIDS软件，具有对数据流量分析和对网络数据包进行协议分析处理的能力，通过灵活可定制的规则库(Rules)，可对处理的报文内容进行搜索和匹配，能够检测出各种攻击，并进行实时预警。

Snort支持三种工作模式：嗅探器、数据包记录器、网络入侵检测系统，支持多种操作系统，如Fedora、Centos、FreeBSD、Windows等，本次实训使用Centos 7，安装Snort 2.9.11.1。

实训任务在Centos 7系统上安装Snort 3并配置规则。

实训目的1．掌握在Centos 7系统上安装Snort 3的方法；2．深刻理解入侵检测系统的作用和用法；3．明白入侵检测规则的配置。

实训步骤1．安装Centos 7 Minimal系统安装过程不做过多叙述，这里配置2GB内存，20GB硬盘。

2．基础环境配置根据实际网络连接情况配置网卡信息，使虚拟机能够连接网络。

# vi /etc/sysconfig/network-scripts/ifcfg-eno16777736TYPE="Ethernet"BOOTPROTO="static"DEFROUTE="yes"IPV4_FAILURE_FATAL="no"NAME="eno16777736"UUID="51b90454-dc80-46ee-93a0-22608569f413"DEVICE="eno16777736"ONBOOT="yes"IPADDR="192.168.88.222"PREFIX="24"GATEWAY="192.168.88.2"DNS1=114.114.114.114~安装wget，准备使用网络下载资源：# yum install wget –y将文件CentOS-Base.repo备份为CentOS-Base.repo.backup，然后使用wget下载阿里yum 源文件Centos-7.repo：# mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup#wget –O /etc/yum.repos.d/CentOS-Base.repo /repo/Centos-7.repo更新yum源，并缓存：# yum clean all# yum makecache# yum -y update3．安装Snort安装epel源：# yum install -y epel-release安装依赖：经过前面的设置阿里源、源更升级后，将能够很顺利的安装完依赖。

windows下Snort的配置与使用实验1：Snort的配置与使用1实验目的和要求学习Snort的配置与使用，要求：1）掌握Snort入侵检测环境的搭建；2）掌握Snort的配置与使用；3）熟悉Snort的工作原理。

2实验设备及材料1）系统环境：Windows XP/Windows 20032）软件安装：JDK：jdk-6u17-windows-i586.exe（可选）TOMCAT：apache-tomcat-5.5.30.exe（可选）MySQL：mysql-5.5.15-win32.msiWinPcap：WinPcap_4_1_2.exeSnort：Snort_2_9_1_Installer.exeIDSCenter：idscenter109b21.zip3实验内容3.1软件安装与配置3.1.1 JDK安装与配置软件版本：jdk-6u17-windows-i586.exe双击jdk-6u17-windows-i586.exe安装JDK，安装完后设置环境变量：变量名变量值java_home C:\Program Files\Java\jdk1.6.0_17classpath C:\Program Files\Java\jdk1.6.0_17\jre\libpath C:\Program Files\Java\jdk1.6.0_17\binjava –version // 查看软件版本信息，确定软件是否安装成功3.1.2 Tomcat安装与配置软件版本：apache-tomcat-5.5.30.exe、apache-tomcat-5.5.30-admin.zip 1）安装apache-tomcat-5.5.30.exe安装过程中会要求指定JRE的安装目录，确定端口，用户名和密码（用于可视化配置界面登录）。

启动Tomcat：验证安装是否成功：http://localhost:8088/http://127.0.0.1:8088/2）安装pache-tomcat-5.5.30-admin.zip首先解压apache-tomcat-5.5.30-admin.zip，用解压后的文件替换以下tomcat 文件。

实验八入侵检测系统snort的安装与使用一、实验序号：8二、实验学时：2三、实验目的（1）理解入侵检测的作用和检测原理。

（2）理解误用检测和异常检测的区别。

（3）掌握Snort的安装、配置。

（4）掌握用Snort作为基于主机的入侵检测系统(HIDS)的使用。

四、实验环境每2位学生为一个实验组，使用2台安装Windows 2000/XP的PC机，其中一台上安装Windows平台下的Snort 2.9软件；在运行snort的计算机上，安装WinpCap4.1.2程序。

五、实验要求1、实验任务（1）安装和配置入侵检测软件。

（2）查看入侵检测软件的运行数据。

（3）记录并分析实验结果。

2、实验预习（1）预习本实验指导书，深入理解实验的目的与任务，熟悉实验步骤和基本环节。

（2）复习有关入侵检测的基本知识。

六实验背景1 基础知识入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或者系统中是否有违反安全策略的行为和被攻击的迹象。

入侵检测系统（Intrusion Detection System， IDS）是完成入侵检测功能的软件和硬件的集合。

随着网络安全风险系数不断揭帖，防火墙作为最主要的安全防范手段已经不能满足人们对网络安全的需求。

作为对防火墙极其有益的补充，位于其后的第二道安全闸门IDS能够帮助网络系统快速发现网络攻击的发生，有效扩展系统管理员的安全管理能力及提高信息安全基础结构的完整性。

IDS能在不影响网络及主机性能的情况下对网络数据流和主机审计数据进行监听和分析，对可疑的网络连接和系统行为进行记录和报警，从而提供对内部攻击、外部攻击和误操作的实时保护。

2 入侵检测软件Snort简介Snort是一款免费的NISD，具有小巧、易于配置、检测效率高等我，常被称为轻量级的IDS。

Snort具有实时数据流量分析和IP数据包日志分析能力，具有跨平台特征，能够进行协议分析和对内容的搜索或匹配。

windows下Snort的配置与使用实验1：Snort的配置与使用1实验目的和要求学习Snort的配置与使用，要求：1）掌握Snort入侵检测环境的搭建；2）掌握Snort的配置与使用；3）熟悉Snort的工作原理。

2实验设备及材料1）系统环境：Windows XP/Windows 20032）软件安装：JDK：jdk-6u17-windows-i586.exe（可选）TOMCAT：apache-tomcat-5.5.30.exe（可选）MySQL：mysql-5.5.15-win32.msiWinPcap：WinPcap_4_1_2.exeSnort：Snort_2_9_1_Installer.exeIDSCenter：idscenter109b21.zip3实验内容3.1软件安装与配置3.1.1 JDK安装与配置软件版本：jdk-6u17-windows-i586.exe双击jdk-6u17-windows-i586.exe安装JDK，安装完后设置环境变量：变量名变量值java_home C:\Program Files\Java\jdk1.6.0_17classpath C:\Program Files\Java\jdk1.6.0_17\jre\libpath C:\Program Files\Java\jdk1.6.0_17\binjava –version // 查看软件版本信息，确定软件是否安装成功3.1.2 Tomcat安装与配置软件版本：apache-tomcat-5.5.30.exe、apache-tomcat-5.5.30-admin.zip 1）安装apache-tomcat-5.5.30.exe安装过程中会要求指定JRE的安装目录，确定端口，用户名和密码（用于可视化配置界面登录）。

启动Tomcat：验证安装是否成功：http://localhost:8088/http://127.0.0.1:8088/2）安装pache-tomcat-5.5.30-admin.zip首先解压apache-tomcat-5.5.30-admin.zip，用解压后的文件替换以下tomcat 文件。

1．在Windows环境下安装snort。

（1）安装Apache_2.0.46①双击apache_2.0.46-win32-x86-no_src.msi，安装在文件夹C:\apache下。

安装程序会在该文件夹下自动产生一个子文件夹apache2。

②为了避免Apache Web服务器的监听端口与Windows IIS中的Web服务器的80监听端口发生冲突，这里需要将Apache Web服务器的监听端口进行修改。

打开配置文件C:\apache\apache2\conf\httpd.conf，将其中的Listen 80，更改为Listen50080。

如图3.34所示。

图3.34修改apache的监听端口③单击“开始”按钮，选择“运行”，输入cmd，进入命令行方式。

输入下面的命令：C:\>cd apache\apache2\binC:\apache\apache2\bin\apache –k install这是将apache设置为以Windows中的服务方式运行。

如图3.35所示。

图3.35Apache以服务方式运行（2）安装PHP①解压缩php-4.3.2-Win32.zip里面的文件至C:\php\。

②复制C:\php下php4ts.dll至%systemroot%\System32，复制C:\php下php.ini-dist 至%systemroot%\，然后修改文件名为：php.ini。

③添加gd图形库支持，把C:\php\extensions\ php_gd2.dll拷贝到%systemroot%\System32，在php.ini中添加extension=php_gd2.dll。

如果php.ini有该句，将此语句前面的“；”注释符去掉。

如图3.36所示图3.36修改php.ini配置文件④添加Apache对PHP的支持。

在C:\apache\apache2\conf\httpd.conf中添加：LoadModule php4_module "C:/php/sapi/php4apache2.dll"AddType application/x-httpd-php .php如图3.37和图3.38所示。

Snort入侵检测系统安装配置1.实验目的实现流量监控，实现入侵检测2.拓扑图3.拓扑图介绍通过搭建snort检测系统，对局域网内的计算机进行流量监控，实现入侵检测4.实验原理5.实验步骤①、libpcap是linux平台下的网络数据包捕获的含书包，大多数网络监控软件都是以它作为基础在安装libpcap前，还要安装两个软件bison、flex[root@boss snort]#wget ftp:///gnu/bison/bison-2.4.1.tar.bz2[root@boss snort]#tar xf bison-2.4.1.tar.bz2[root@boss snort]#cd bison-2.4.1[root@boss snort]# ./configure && make && make install[root@boss snort]#wget/project/flex/flex/flex-2.5.35/flex-2.5.35.tar.bz2[root@boss snort]#tar xf flex-2.5.35.tar.bz2[root@boss snort]#cd flex-2.5.35[root@boss snort]#./configure && make && make install安装libpcap[root@boss snort]#wget /release/libpcap-1.0.0.tar.gz[root@boss snort]#tar zxvf libpcap-1.0.0.tar.gz[root@boss snort]#cd libpcap-1.0.0[root@boss snort]#./configure --prefix=/usr/local/libpcap[root@boss snort]#make && make install②、daq，snort编译时会用到该库[root@boss snort]#wgetftp:///sites//s/sn/snort.mirror/Snort%202.9.4/daq-2.0.0.t ar.gz[root@boss snort]#tar zxvf daq-2.0.0.tar.gz[root@boss snort]#cd daq-2.0.0[root@boss snort]#./configure && make && make install③、libdnet 通用网络安全开发包[root@boss snort]#wgetftp:///slacky/slackware-12.2/libraries/libdnet/1.11/src/libdnet-1.11.tar.gz [root@boss snort] #tar zxvf libdnet-1.11.tar.gz[root@boss snort] #cd libdnet-1.11[root@boss snort]#./configure && make && make install④、安装PCRE库[root@boss snort]# wget ftp:///pub/software/programming/pcre/pcre-8.34.tar.gz [root@boss snort]# tar zxvf pcre-8.34.tar.gz[root@boss snort]# cd pcre-8.34[root@boss snort]# ./configure && make && make install⑤、编译安装snort[root@boss snort]#wget /mirrors/snort/snort-2.9.2.1.tar.gz[root@boss snort]#cd snort-2.9.2.1[root@boss snort]#./configure --with-mysql=/usr/local/mysql--with-libpcap-includes=/usr/local/libpcap/include --with-libpcap-libraries=/usr/local/libpcap/lib [root@boss snort]#make && make install⑥、snort的相关配置[root@boss snort]#mkdir /etc/snort ------snort的主配置文件目录[root@boss snort]#mkdir /var/log/snort -------------snort的日志文件目录[root@boss snort]#groupadd snort ---------创建snort用户组[root@boss snort]#useradd -g snort -s /sbin/nologin snort ------------创建snort用户[root@boss snort]# wgetftp:///sites//s/sn/snorty/snortrules-snapshot-2920.ta r.gz[root@boss snort]# tar zxvf snortrules-snapshot-2920.tar.gz -C /etc/snort/[root@boss snort]#cd /etc/snort/[root@boss snort]#lsetc preproc_rules rules so_rules[root@boss snort]#cp etc/* /etc/snort/[root@boss snort]#chown snort.snort /var/log/snort----------修改相关目录的属主和属组[root@boss snort]#touch /var/log/snort/alert[root@boss snort]#chown snort.snort /var/log/snort/alert[root@boss snort]#chmod 600 /var/log/snort/alert ---------------防止其他用户修改[root@boss snort]#mkdir /usr/local/lib/snort_dynamicrules[root@boss snort]#cp/etc/snort/so_rules/precompiled/RHEL-6-0/x86-64/2.9.2.0/*.so /usr/local/lib/snort_dynamicrules/ -------------库文件[root@boss snort]#vim /etc/snort/snort.conf#修改下面这几行var RULE_PATH /etc/snort/rulesvar SO_RULE_PATH /etc/snort/so_rulesvar PREPROC_RULE_PA TH /etc/snort/preproc_rulesoutput unified2: filename snort.log, limit 128⑦、mysql数据库的修改[root@boss snort]#mysql –u root -p[root@boss snort]#mysql> create database snort; --------------创建snort数据库[root@boss snort]#mysql> grant all privileges on snort.* to snort@'localhost' with grantoption ; -------------给snort用户授权[root@boss snort]#mysql> set password for snort@localhost = password('123456'); --------这也是一种修改mysql用户密码的方式[root@boss snort]# cd /opt/snort/snort-2.9.2.1/schemas/[root@boss schemas]#mysql –u root –p < create_mysql snort[root@boss snort]#[root@boss snort]#[root@boss snort]#[root@boss snort]#⑧、Base解压[root@boss snort]#wget/projects/secureideas/files/BASE/base-1.4.5/base-1.4.5.tar.gz[root@boss opt]# tar zxvf base-1.4.5.tar.gz -C /usr/local/apache2/htdocs/yzx01com/[root@boss yzx01com]# mv base-1.4.5 base⑨、pear的安装（Pear是PHP扩展与应用库的缩写，它是一个php扩展及应用的一个代码仓库）[root@boss ~]# /usr/local/php5/bin/pear install mage_Graph-alpha Image_Canvas-alpha Image_Color Numbers_Roman Mail_Mime Mail //php编译安装在/usr/local/php5目录下[root@boss base]# cp world_map6.png world_map6.txt/usr/local/php5/lib/php/Image/Graph/Images/Maps //复制base文件到maps中⑩、安装adobd[root@boss snort]wget/project/adodb/adodb-php5-only/adodb-511-for-php5/adodb511.zip [root@boss opt]# unzip adodb511.zip[root@boss opt]# mv adodb5 /usr/local/apache2/htdocs/yzx01com/adodb/⑪、base的安装[root@boss yzx01com]#chown daemon.daemon /usr/local/apache2/htdocs/yzx01com/base/ -R 在浏览器中输入/base点击Continue选择简体中文，下面输入adodb的路径/usr/local/apache2/htdocs/yzx01com/ad odb/ 然后点击Continue填入相关的mysql信息，点击continue设置管理账号密码，点击continue可以看到红色部分表示成功，继续下一步点击 Now continue to step 5...就可以看到base界面了⑫、页面配置完成后，还需要安装一下图标的插件，这个时候就要求php必须得支持gd了如果想让BASE起作用还得需要安装一些插件，必须联网才能安装//php编译安装在/usr/local/php5目录下[root@boss ~]# /usr/local/php5/bin/pear install image_Canvas-alpha[root@boss ~]# /usr/local/php5/bin/pear install image_Graph-0.8.0[root@boss ~]# /usr/local/php5/bin/pear install Numbers_Roman⑬、测试snort再次修改snort的配置文件[root@boss ~]#vim /etc/snort/snort.conf将 511 # output database: alert, <db_type>, user=<username> password=<password> test dbname=<name> host=<hostname>512 # output database: log, <db_type>, user=<username> password =<password> test dbname=<name> host=<hostname>这地方一定要注意，如果使用的是snort-2.9.2.1版本，请你务必按照格式改，改版本存有bug，每一项后面都要加","而且之间不能有空格！要不然会报将 110 var WHITE_LIST_PATH /etc/snort/rules111 var BLACK_LIST_PATH /etc/snort/rules488 whitelist $WHITE_LIST_PATH/white_list.rules, \489 blacklist $BLACK_LIST_PATH/black_list.rules这四行注释掉，即在每行前面加#将下面三行的# 去掉594 include $PREPROC_RULE_PATH/preprocessor.rules595 include $PREPROC_RULE_PATH/decoder.rules596 include $PREPROC_RULE_PATH/sensitive-data.rules⑭、测试snort[root@boss ~]#snort -c /etc/snort/snort.conf如果可以看到这只小猪，那么就证明你成功了在这一步完成后，snort不会自己退出，需要使用ctrl+c自己终止退出。