snort参数详解

一、设置网络变量1、网络变量配置用户通过声明网络参数变量配置snort，variables可以包含字符串（路径）、IP和端口。

1）IP变量与IP列表IP有四声明方式：对IP具体声明、列表形式以及CIDR组，或者它们的任意组合。

IP变量以ipvar关键字声明。

示例：ipvar EXAMPLE [1.1.1.1,2.2.2.0/24,![2.2.2.2,2.2.2.3]]2）端口变量与列表端口列表支持端口声明及查找端口列表范围。

端口范围从0到65535.端口变量以portvar声明，示例：portvar EXAMPLE1 80portvar EXAMPLE3 anyportvar EXAMPLE4 [!70:90]portvar EXAMPLE5 [80,91:95,100:200]portvar pvar1 80portvar pvar2 [$pvar1,90]alert tcp any $EXAMPLE1 -> any $EXAMPLE2_PORT (msg:"Example"; sid:1;)alert tcp any $PORT_EXAMPLE2 -> any any (msg:"Example"; sid:2;)alert tcp any 90 -> any [100:1000,9999:20000] (msg:"Example"; sid:3;)配置服务器列表DNS服务：var DNS_SERVERS $HOME_NETSMTP服务：var SMTP_SERVERS $HOME_NETWeb 服务：var HTTP_SERVERS $HOME_NETSQL服务：var SQL_SERVERZ $HOME_NETTelnet服务：var TELNET_SERVERS $HOME_NETFTP服务：var FTP_SERVERS $HOME_NETSNMP服务：var SNMP_SERVERS $HOME_NET配置服务端口这使得snort去跟踪针对特点端口应用的攻击，如web server在端口8180上，则应这样配置：portvar HTTP_PORTS 8180不过这个值通常为80，因此定义为：portvar HTTP_PORTS 80如果希望定义多HTTP端口：portvar HTTP_PROTS [80,8080] 或者portvar HTTP_PROTS[80,8000:8080]eg：定义希望发现SHELLCODE的端口：portvar SHELLCODE_PORTS !80可能发现对ORACLE的攻击：portvar ORACLE_PORTS 1521针对FTP服务的端口：portvar FTP_PORTS 21配置rules文件路径这个可以是一个相对路径var RULE_PATH /etc/snort/rulesvar PREPROC_RULE_PATH /etc/snort/preproc_rules二、配置解码器解码器解码是数据包进入snort的第一个处理过程。

1 绪论1.1 目的与意义随着网络的普及，每个人都通过不同的方式来访问网络，尤其是在B/S模式的网络结构中，比如很多的公司机密资料、广大人群的购物交易、安全部门为人们了解国家所发布的文章都是通过网络来传输，有很多的"不良分子"在利益的驱使下，通过攻击web的漏洞，来获取的自己所要的东西，已达到自己不可告人的目的。

任何试图破坏网络活动的正常化都可以称为网络安全问题，过去保护网络安全的最常用、最传统的方法就是防火墙，但是防火墙只是一种被动防御性的网络安全工具，随着科学技术的不断发展，网络日趋复杂化，传统防火墙是不足以满足如今复杂多变的网络安全问题，在这种情况下，逐渐产生了入侵检测系统，入侵检测系统不仅能够为网络安全提供实时的入侵检测及采取响应的防护手段，它还可以识别针对计算机或网络资源的恶意企图和行为，并对此做出反应，它提供了对系统受到内部攻击、外部攻击和误操作的实时保护，能够帮助系统对付网络攻击。

入侵检测系统能很好的弥补防火墙的不足，是防火墙的合理完善。

Snort是一个轻量级的入侵检测系统，它具有截取网络数据报文，进行网络数据实时分析、报警,以及日志的能力。

snort的报文截取代码是基于libpcap库的，继承了libpcap库的平台兼容性。

它能够进行协议分析，内容搜索/匹配，能够用来检测各种攻击和探测，例如：缓冲区溢出、隐秘端口扫描、CGI攻击、SMB探测、OS指纹特征检测等等。

snort使用一种灵活的规则语言来描述网络数据报文，因此可以对新的攻击作出快速地翻译。

snort具有实时报警能力。

可以将报警信息写到syslog、指定的文件、UNIX套接字或者使用WinPopup消息。

snort具有良好的扩展能力。

它支持插件体系，可以通过其定义的接口，很方便地加入新的功能。

snort还能够记录网络数据，其日志文件可以是tcpdump格式，也可以是解码的ASCII 格式。

而且，Snort对硬件没有特殊的要求，对Snort来说，硬件系统的处理器频率越高越好，不同网络使用的网卡和硬盘空间大小会制约Snort捕捉数据包和存储数据包的功能。

一、介绍Snort规则Snort是一个开源的网络入侵检测系统，它能够对网络中的数据进行实时的监控和分析，帮助用户发现和应对网络中的安全威胁。

Snort规则是Snort系统检测和识别网络入侵行为的基础，其功能类似于防火墙规则，用于定义和描述要监测的网络流量特征和入侵行为模式。

二、Java解析Snort规则在实际的网络安全应用中，用户通常需要对Snort规则进行定制化的调整和优化，以适应自己的网络环境和安全需求。

而Java作为一种广泛应用于企业级应用开发的编程语言，具有强大的文本处理和解析能力，因此可以很好地用于解析Snort规则。

1. Snort规则的基本结构Snort规则是由一系列的关键字和参数组成的文本字符串，用于描述需要检测和拦截的网络流量特征。

一个典型的Snort规则包括以下关键字和参数：- Action: 描述规则的动作，包括alert、log、pass、activate等。

- Protocol: 描述网络流量的传输协议，如TCP、UDP、ICMP等。

- Source/Destination IP: 描述网络流量的源位置区域和目标位置区域。

- Source/Destination Port: 描述网络流量的源端口和目标端口。

- Content: 描述需要匹配的网络流量特征。

- Options: 描述规则的其它选项和参数，如SID、Rev、Msg等。

2. Java解析Snort规则的方法Java提供了丰富的文本处理和解析工具，用户可以利用这些工具来解析和分析Snort规则。

以下是一种常用的Java解析Snort规则的方法：- 使用Java的字符串操作方法，如indexOf()、substring()等，逐一解析规则中的关键字和参数。

- 使用正则表达式，从规则文本中提取出需要匹配的网络流量特征。

- 使用Java的集合类，如HashMap、ArrayList等，将规则中的关键字和参数进行结构化的存储和管理。

Snort简明使用手册2007-03-22 22:28Snort2.6——USAGE（中文）1.0 开始使用snortSnort不是很难使用，但是也存在着很多的命令行选项需要掌握，并且它们中许多很多时候并不能一起使用。

这个文件的目的就是使新人能够更简单的使用snort。

在我们进行下一步之前，有一些关于snort的基本概念需要了解。

snort能够配置成三种模式运行:嗅探器(sniffer)，包记录器(packet logger)和网络入侵检测系统(NIDS)。

嗅探模式（sniffer mode）简单的读取网络中的数据包，并以连续的数据流显示在控制台上。

包记录模式（packet logger mode）把捕获的数据包记录在磁盘上。

网络入侵检测模式(NIDS mode)是最复杂的、有机的配置，在这个模式下，snort分析网络中的数据，并通过使用用户自定义的规则集进行模式匹配，并根据匹配的结果执行多种操作。

2.0 嗅探模式（sniffer mode）首先，让我们从基础开始。

如果你只是想要在屏幕上打印出TCP/IP的包头信息（嗅探模式），使用下面的命令：./snort –v使用这个命令运行snort，将只显示IP和TCP/UDP/ICMP头信息，而不显示任何其它信息。

如果你想要查看传输的有效负载信息，可以使用如下命令：./snort –vd这条命令在打印协议头信息的同时也打印相应的包数据。

如果你想要一个更详细的现实，可以使用下面的命令来打印出数据链路层头信息：./snort –vde（注：这些选项参数能够分开或者拆散成任和结合的方式。

比如上一个命令也可以写做这种方式：./snort -d -v –e来达到同样的效果）3.0 包记录模式（PACKET LOGGER MODE）好的，上面的命令运行的都相当的好。

但是如果你想要记录包到磁盘上，你需要指定一个记录目录，然后snort将自动的进入包记录模式：./snort -dev -l ./log当然，这里假设你在当前目录下有一个叫做―log‖的目录。