当前位置：文档之家 › Snort入侵检测系统实验

Snort入侵检测系统实验

  • 格式：doc
  • 大小：1.47 MB
  • 文档页数：12

Snort入侵检测系统实验 小组成员：09283012 09283025

1. 实验概述 Snort是一套开放源代码的网络入侵预防软件与网络入侵检测软件。Snort使用了以侦测签章（signature-based）与通讯协定的侦测方法。 Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。Snort最重要的用途还是作为网络入侵检测系统(NIDS)。 本次实验任务主要有： (1) 在虚拟机中的ubuntu上安装Snort。 (2) 描述Snort规则并进行检测。

2. 实验环境 1. 主机CPU: Pentium 双核 *************2. Vmware版本: VMware Workstation 3. Linux发行版 : Ubuntu 11.04 4. Linux 内核: Linux 2.6.38

3. 实验过程 由于 Ubuntu 是 Debian 系的 Linux，安装软件非常简单，而且 Ubuntu 在中国科技大学有镜像，在教育网和科技网下载速度非常快(2~6M/s)，就省掉了出国下载安装包的麻烦，只需要一个命令即可在几十秒钟内安装好所有软件。

具体实验步骤如下： 1、这里使用 Ubuntu 默认命令行软件包管理器 apt 来进行安装。 以下是代码片段： $ sudo apt-get install libpcap0.8-dev libmysqlclient15-dev mysql-client-5.1 mysql-server-5.1 bison flex apache2 libapache2-mod-php5 php5-gd php5-mysql libphp-adodb php-pear pcregrep snort snort-rules-default 需要注意的是在安装 MySQL 数据库时会弹出设置 MySQL 根用户口令的界面，临时设置其为“test”。 2、在 MySQL 数据库中为 Snort 建立数据库。Ubuntu 软件仓库中有一个默认的软件包 snort-mysql 提供辅助功能，用软件包管理器下载安装这个软件包。 以下是代码片段： $ sudo apt-get install snort-mysql

3、安装好之后查看帮助文档： $ less /usr/share/doc/snort-mysql/README-database.Debian

根据帮助文档中的指令，在 MySQL 中建立 Snort 的数据库用户和数据库。所使用的命令如下： 以下是代码片段： $ mysql –u root –p 登陆进入mysql的界面之后，根据上面文件中的配置方法对mysql进行配置： 以下是代码片段： mysql> CREATE DATABASE snort; mysql> grant CREATE, INSERT, SELECT, UPDATE on snort.* to snort@localhost; mysql> grant CREATE, INSERT, SELECT, UPDATE on snort.* to snort; mysql> SET PASSWORD FOR snort@localhost=PASSWORD('snort-db'); mysql> exit 以上命令的功能是在 MySQL 数据库中建立一个 snort 数据库，并建立一个 snort 用户来管理这个数据库，设置 snort 用户的口令为 snort-db。

然后根据 README-database.Debian 中的指示建立 snort 数据库的结构。 以下是代码片段： $ cd /usr/share/doc/snort-mysql $ zcat create_mysql.gz mysql -u snort -D snort -psnort-db 这样就为 snort 在 MySQL 中建立了数据库的结构，其中包括各个 snort 需要使用的表。设置 snort 把 log 文件输出到 MySQL 数据库中

4、修改 Snort 的配置文件：/etc/snort/snort.conf 以下是代码片段： $ sudo vim /etc/snort/snort.conf 在配置文件中将 HOME_NET 有关项注释掉，然后将 HOME_NET 设置为本机 IP 所在网络，将 EXTERNAL_NET 相关项注释掉，设置其为非本机网络，如下所示： 以下是代码片段： #var HOME_NET any var HOME_NET 192.168.0.0/16 #var EXTERNAL_NET any var EXTERNAL_NET !$HOME_NET 将 output database 相关项注释掉，将日志输出设置到 MySQL 数据库中，如下所示：

以下是代码片段： output database: log, mysql, user=snort password=snort-db dbname=snort host=localhost #output database: log, mysql 这样，snort 就不再向 /var/log/snort 目录下的文件写记录了，转而将记录存放在 MySQL 的snort数据库中。

5、测试一下 Snort 工作是否正常： 以下是代码片段： $ sudo snort -c /etc/snort/snort.conf 如果出现一个用 ASCII 字符画出的小猪，那么 Snort 工作就正常了，可以使用 Ctrl-C 退出;如果 Snort 异常退出，就需要查明以上配置的正确性了。

6、测试 Web 服务器 Apache 和 PHP 是否工作正常，配置 apache 的 php 模块，添加 msql 和 gd 的扩展。 以下是代码片段： $ sudo vim /etc/php5/apache2/php.ini extension=msql.so extension=gd.so 重新启动 apache 以下是代码片段： $ /etc/init.d/apache2 restart

7、在/var/www/目录下新建一个文本文件test.php 以下是代码片段： $ sudo vim /var/www/test.php

输入内容： 以下是代码片段： phpinfo(); ?>

8、然后在浏览器中输入 http://localhost/test.php，如果配置正确的话，就会出现 PHP INFO 的经典界面，就标志着 LAMP 工作正常。 安装和配置 acid-base很简单，使用 Ubuntu 软件包管理器下载安装即可： 以下是代码片段： $ sudo apt-get install acidbase 安装过程中需要输入 acidbase 选择使用的数据库，这里选 MySQL，根用户口令 test，和 acid-base 的口令(貌似也可以跳过不设置)。将acidbase从安装目录中拷贝到www目录中，也可以直接在apache中建立一个虚拟目录指向安装目录，这里拷贝过来主要是为了安全性考虑。 sudo cp –R /usr/share/acidbase/ /var/www/ 因为 acidbase 目录下的 base_conf.php 原本是一个符号链接指向 /etc/acidbase/ 下的base_conf.php，为了保证权限可控制，我们要删除这个链接并新建 base_conf.php 文件。 以下是代码片段： $ rm base_conf.php $ touch base_conf.php 暂时将 /var/www/acidbase/ 目录权限改为所有人可写，主要是为了配置 acidbase 所用。 以下是代码片段： $ sudo chmod 757 acidbase/

9、现在就可以开始配置 acid-base 了，在浏览器地址栏中输入 http://localhost/acidbase，就会转入安装界面，然后就点击 continue 一步步地进行安装：

(1) 选择语言为 english，adodb 的路径为：/usr/share/php/adodb; (2) 选择数据库为 MySQL，数据库名为 snort，数据库主机为 localhost，数据库用户名为

snort 的口令为 snort-db;

(3) 设置 acidbase 系统管理员用户名和口令，设置系统管理员用户名为 admin，口令为 test。然后一路继续下去，就能安装完成了。 (4) 安装完成后就可以进入登录界面，输入用户名和口令，进入 acidbase 系统。 (5) 这里需要将 acidbase 目录的权限改回去以确保安全性，然后在后台启动 snort，就表明 snort 入侵检测系统的安装完成并正常启动了： 以下是代码片段： $ sudo chmod 775 acidbase/ $ sudo snort -c /etc/snort/snort.conf -i eth0 –D

10、检查入侵检测系统工作状况，更改入侵检测规则。正常情况下在一个不安全的网络中，登录 acidbase 后一会儿就能发现网络攻击。如果没有发现网络攻击，可以添加更严格的规则使得正常的网络连接也可能被报攻击，以测试 Snort IDS 的工作正确性，比如在 /etc/snort/rules/web-misc.rules 的最后添加下面的话： 以下是代码片段： $ sudo vi /etc/snort/rules/web-misc.rules alert tcp any :1024 -> $HTTP_SERVER 500: 或者为： $ sudo vi /etc/snort/rules/web-misc.rules alert tcp $EXTERNAL_NET any->$HOME_NET 80

这一行的意思是：对从任何地址小于 1024 端口向本机 500 以上端口发送的 tcp 数据包都报警。杀死 Snort 的后台进程并重新启动，就应该能检测到正常的包也被当作攻击了。（第

合集下载

917620-计算机系统与网络安全技术-标准实验报告(6)-防火墙、入侵检测系统的安装、配置和使用

917620-计算机系统与网络安全技术-标准实验报告(6)-防火墙、入侵检测系统的安装、配置和使用

示例：
$ iቤተ መጻሕፍቲ ባይዱtables -D INPUT --dport 80 -j DROP
五、实验目的：
目的：掌握一种防火墙和入侵检测系统的安装、配置和使用
六、实验内容：
选择一种开源防火墙和入侵检测系统，设计其网络拓扑结构，并进行安装、配置、验证。
a)3~5人一组
b)安装和配置防火墙（或其他防火墙系统）；
c)安装配置Snort入侵检测系统。
d)修改防火墙或入侵检测系统的部分源代码，实现防火墙和入侵检测系统的联动（增强实验，可选）
用户：至少对Linux OS有中等水平的了解，以及具备配置Linux内核的经验。
安装前的准备
在开始安装iptables用户空间工具之前，需要对系统做某些修改。首先，需要使用make config命令来配置内核的选项。在配置期间，必须通过将CONFIG_NETFILTER和CONFIG_IP_NF_IPTABLES选项设置为Y来打开它们，因为这是使netfilter/iptables工作所必需的。下面是可能要打开的其它选项：
安装netfilter/iptables系统
因为netfilter/iptables的netfilter组件是与内核2.4.x集成在一起的，所以只需要下载并安装iptables用户空间工具。
下面是安装netfilter/iptables系统的需求：
硬件：要使用netfilter/iptables，需要有一个运行Linux OS并连接到因特网、LAN或WAN的系统。
另一个背后的原因是，通过阻塞来自类似广告站点之类的源的多余流量，可以节省带宽。
因而，可以定制防火墙配置来满足任何特定需求和任何安全性级别需求。这就是netfilter/iptables系统的用武之处。
信息安全的实验报告(3篇)

信息安全的实验报告(3篇)

第1篇一、实验目的本次实验旨在通过实际操作，加深对信息安全理论知识的理解，提高实际操作能力，培养信息安全意识。

实验内容包括：1. 熟悉常用的信息安全工具和软件；2. 学习基本的加密和解密方法；3. 掌握常见的信息安全攻击和防范措施；4. 了解网络安全的防护策略。

二、实验原理信息安全是指保护信息在存储、传输和处理过程中的保密性、完整性和可用性。

本实验涉及以下原理：1. 加密技术：通过对信息进行加密，使未授权者无法获取原始信息；2. 解密技术：使用密钥对加密信息进行解密，恢复原始信息；3. 安全协议：确保信息在传输过程中的安全；4. 入侵检测：实时监控网络和系统，发现并阻止恶意攻击。

三、实验内容1. 加密与解密实验（1）使用RSA算法对文件进行加密和解密；（2）使用AES算法对文件进行加密和解密；（3）使用对称密钥和非对称密钥进行加密和解密。

2. 信息安全工具使用实验（1）使用Wireshark抓取网络数据包，分析网络通信过程；（2）使用Nmap进行网络扫描，发现目标主机的开放端口；（3）使用XSSTest进行跨站脚本攻击实验；（4）使用SQL注入攻击实验。

3. 信息安全防护实验（1）使用防火墙设置访问控制策略；（2）使用入侵检测系统（IDS）监控网络流量；（3）使用安全审计工具对系统进行安全审计。

四、实验步骤1. 安装实验所需软件，如Wireshark、Nmap、XSSTest等；2. 按照实验指导书的要求，进行加密和解密实验；3. 使用信息安全工具进行网络扫描、漏洞扫描和攻击实验；4. 设置防火墙和入侵检测系统，对网络进行安全防护；5. 使用安全审计工具对系统进行安全审计。

五、实验结果与分析1. 加密与解密实验：成功使用RSA和AES算法对文件进行加密和解密，验证了加密技术的有效性；2. 信息安全工具使用实验：成功使用Wireshark抓取网络数据包，分析网络通信过程；使用Nmap进行网络扫描，发现目标主机的开放端口；使用XSSTest和SQL 注入攻击实验，验证了信息安全工具的功能；3. 信息安全防护实验：成功设置防火墙和入侵检测系统，对网络进行安全防护；使用安全审计工具对系统进行安全审计，发现潜在的安全隐患。

主机入侵检测实验报告(3篇)

主机入侵检测实验报告(3篇)

第1篇一、实验目的1. 理解主机入侵检测系统的基本原理和组成。

2. 掌握主机入侵检测系统的搭建过程。

3. 学习如何使用主机入侵检测系统进行入侵检测。

4. 提高网络安全意识和防护能力。

二、实验环境1. 操作系统：Windows 102. 主机入侵检测系统：OSSEC3. 实验网络拓扑：单主机局域网三、实验步骤1. 系统环境准备（1）安装操作系统：在实验主机上安装Windows 10操作系统。

（2）安装OSSEC：从OSSEC官网下载最新版本的OSSEC安装包，按照安装向导完成安装。

2. 配置OSSEC（1）配置OSSEC服务器：- 编辑`/etc/ossec.conf`文件，设置OSSEC服务器的基本参数，如服务器地址、日志路径等。

- 配置OSSEC服务器与客户端的通信方式，如SSH、SSL等。

- 配置OSSEC服务器接收客户端发送的日志数据。

（2）配置OSSEC客户端：- 在客户端主机上安装OSSEC客户端。

- 编辑`/etc/ossec.conf`文件，设置客户端的基本参数，如服务器地址、日志路径等。

- 配置客户端与服务器之间的通信方式。

3. 启动OSSEC服务（1）在服务器端，启动OSSEC守护进程：```bashsudo ossec-control start```（2）在客户端，启动OSSEC守护进程：```bashsudo ossec-control start```4. 模拟入侵行为（1）在客户端主机上，执行以下命令模拟入侵行为：```bashecho "test" >> /etc/passwd```（2）在客户端主机上，修改系统配置文件：```bashecho "test" >> /etc/hosts```5. 检查OSSEC日志（1）在服务器端，查看OSSEC日志文件：```bashcat /var/log/ossec/logs/alerts.log```（2）分析日志文件，查找与入侵行为相关的报警信息。

Snort入侵检测系统算法分析研究论文

Snort入侵检测系统算法分析研究论文

Snort入侵检测系统的算法分析研究摘要：本文对snom入侵检测系统的几种算法进行了介绍和分析，分析了各种不同的算法对入侵检测系统效率的影响，通过改进匹配算法来提高匹配的效率，使检测系统的效率得到了提高。

关键词：snort；ac算法；kmp算法；bm算法中图分类号：tp393．08 文献标识码：a 文章编号：1006-3315(2011)12-177-002随着网络技术的不断发展和网络用户的不断增加，人们得益于网络带来的便利的同时，计算机和网络系统的安全问题也越显突出。

目前的网络安全技术如：防火墙、信息加密，作为网络安全的第一道防线远不能有效阻止来自网络上的入侵。

针对网络系统攻击的普遍性，攻击手法的复杂性，入侵检测技术也随着网络技术和相关学科的发展日趋成熟，成为网络安全的第二道防线。

它对计算机和网络资源上的恶意使用行为进行识别和响应，它不仅可以检测到来自外部的入侵，也可以监督内部用户的未授权活动。

一、入侵检测系统snonsnort是由sourcefire公司mar-tyroeseh等人开发的一个基于libpcap的轻量级入侵检测系统，是一个开放源代码的网络安全解决方案，是一个多功能的轻量级网络入侵检测系统。

从检测机制上看，它不仅具有基于规则的误用检测方法，而且还有基于异常的检测方法预处理功能。

从体系结构上看，它充分考虑到扩展的需求，大量使用了插件机制。

从功能模块上看，各个模块功能明晰，相对独立，设计合理。

从编码上看，具有很好的设计风格和详细的注释，易于理解的体系结构功能模块设计独立，功能明晰。

sno,总体模块图[1]如下图1所示：二、入侵检测系统snort算法1．ac算法aho-corasick[2]算法简称(ac)算法，是多模式检测算法之一，该算法的基本思想是：在预处理阶段，有限自动机算法建立三个函数，转向函数goto，失效函数failure和输出函数output，由此构造一个树型有限自动机。