搜索

[15705] 2020-08-08_基于Kali的Snort配置和入侵检测测试

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-08-08_基于Kali的Snort配置和入侵检测测试 基 于 K a l i 的 S n o r t 配 置 和 入 侵 检 测 测 试 A l e x l i 8 8 8   F r e e B u f   2 0 2 0 - 0 8 - 0 8 S n o r t 简 介 简 介 s n o r t 作 为 一 个 开 源 代 码 的 入 侵 检 测 工 具 ， 在 入 侵 检 测 系 统 开 发 的 过 程 中 有 着 重 要 的 借 鉴 意 义 ， 其 主 要 有 初 始 化 工 作 ， 解 析 命 令 行 ， 读 入 规 则 库 ， 生 成 用 于 检 测 的 三 维 规 则 链 表 ， 然 后 循 环 检 测 。 流 程 图 ： 1 . 在 k a l i   L i n u x 下 对 s n o r t 进 行 安 装 ( 1 ) h t t p s : / / w w w . s n o r t . o r g / d o w n l o a d s 官 网 中 下 载 s n o r t - 2 . 9 . 1 5 . 1 . t a r . g z d a q - 2 . 0 . 6 . t a r . g z 进 行 安 装 包 解 压 ：
t a r   - z x v f   s n o r t - 2 . 9 . 1 5 . 1 . t a r . g z t a r   - z x v f   d a q - 2 . 0 . 6 . t a r . g z ( 2 ) 安 装 d a q 所 依 赖 的 开 发 包 ， 直 接 编 译 会 出 现 错 误 A p t - g e t   i n s t a l l   f l e x A p t - g e t   i n s t a l l   b i s o n A p t - g e t   i n s t a l l   l i b p c a p - d e v ( 3 ) 查 看 目 录 下 文 件 ， 并 对 d a g 包 进 行 编 译 ( 4 ) 安 装 s n o r t 所 依 赖 的 软 件 包 A p t - g e t   i s n a t l l   l i b p c r e 3 - d e v A p t - g e t   i n s t a l l   l i b d u m b n e t - d e v A p t - g e t   i n s t a l l   z l i b i g - d e v 同 样 对 s n o r t 包 进 行 编 译 ： . / c o n f i g u r e   – d i s a b l e - o p e n - a p p i d   & &   m a k e   & &   m a k e   i n s t a l l ( 5 ) 查 看 s n o r t 是 否 安 装 成 功 2 . 配 置 配 置 s n o r t 规 则 ， 进 行 规 则 ， 进 行 p i n g 攻 击 检 测 攻 击 检 测 从 官 网 下 载 规 则 包 ： （ 需 注 册 登 录 ）
下 载 并 解 压 最 新 的 规 则 包 将 s n o r t 安 装 目 录 的 包 用 规 则 包 进 行 替 换 练 习 一 条 规 则 练 习 一 条 规 则 在 r u l e s / l o c a l . r u l e s 下 进 行 规 则 配 置
实 现 对 内 网 的 U D P 协 议 相 关 流 量 进 行 检 测 ， 并 报 警 重 启 s n o r t 使 规 则 生 效 。 利 用 利 用 S n o r t 检 测 检 测 p i n g 攻 击 攻 击 在 r u l e s / i c m p - i n f o . r u l e s 文 件 中 设 置 如 下 规 则 ： 创 建 s n o r t 检 测 日 志 将 s n o r t 规 则 中 的 路 径 ( R U L E _ P A T H ) 改 为 s n o r t 下 的 r u l e s 规 则 路 径
使 用 s n o r t 规 则 对 流 量 进 行 检 测 ， 并 将 结 果 输 出 到 s n o r t 日 志 中 成 功 开 启 s n o r t 进 行 检 测 使 用 局 域 网 内 主 机 对 安 装 s n o r t 主 机 进 行 包 > 8 0 0 的 p i n g 攻 击 在 日 志 中 查 看 检 测 结 果 ：
成 功 检 测 包 大 于 8 0 0 的 p i n g 攻 击 ！ 利 用 利 用 S n o r t 检 测 检 测 n m a p 扫 描 扫 描 1 . 对 s n o r t 规 则 进 行 修 改 ， 将 检 测 的 家 庭 网 络 改 为 所 在 局 域 网 2 . 在 r u l e s / l o c a l . r u l e s 下 进 行 t c p 规 则 配 置 3 . 启 动 s n o r t 进 行 局 域 网 内 的 扫 描 检 测 4 . 使 用 宿 主 机 进 行 局 域 网 内 的 n a m p 扫 描
5 . 在 v a r / l o g / s n o r t 中 查 看 检 测 结 果 遇 到 的 问 题 及 解 决 方 法 ： 遇 到 的 问 题 及 解 决 方 法 ： 1 . 在 启 动 s n o r t 规 则 中 ， 出 现 如 下 错 误 ： 这 个 错 误 与 安 装 的 依 赖 有 关 ， 这 里 我 们 可 对 3 2 6 ， 3 2 7 行 进 行 注 释 ， 并 删 除 3 2 4 后 的 2 . 在 s n o r t 文 件 中 没 有 w h i l e _ l i s t . r u l e s 和 b l a c k _ l i s t . r u l e s :
这 里 我 们 可 以 进 行 删 除 或 者 注 释 掉 3 . 在 t c p 规 则 的 设 定 中 ， 没 有 s i d 号 导 致 错 误 （ 注 释 ： < 1 0 0 保 留 ， 1 0 0 ～ 9 9 9 9 9 9 为 s n r o t 发 布 用 ， > = 1 0 0 0 , 0 0 0 本 地 用 ） 结 语 结 语 s n o r t 还 可 以 对 网 站 的 访 问 进 行 检 测 。 由 于 s n o r t 只 能 检 测 到 入 侵 行 为 并 发 出 报 警 信 息 ， 但 是 不 能 直 接 地 阻 断 入 侵 行 为 ， 可 以 将 s n o r t 与 i p t a b l e s 联 动 来 解 决 这 个 问 题 。 ① 利 用 S n o r t 的 扩 展 功 能 ， 自 定 义 开 发 集 成 插 件 ( s n o r t s a m ) :   S n o r t   有 个 插 件 机 制 提 供 了 预 处 理 插 件 和 处 理 插 件 等 方 式 。 而 这 种 插 件 在 S n o r t 里 是 支 持 自 定 义 开 发 并 加 载 的 。 因 此 第 一 种 实 现 方 式 就 是 自 定 义 开 发 插 件 , 当 检 测 到 规 则 匹 配 时 则 调 用 远 程 或 对 应 主 机 的 防 火 墙 ， 将 有 入 侵 行 为 的 i p   和 端 口 ， 建 立 对 应 的 一 条 I p t a b l e s 规 则 丢 弃 这 个 连 接 、 端 口 的 数 据 包 或 将 此 i p 的 所 有 包 都 丢 弃 。 ② 利 用 S n o r t 的 告 警 日 志 ， 自 定 义 开 发 脚 本 。 相 对 于 S n o r t 的 插 件 方 式 ， 第 二 种 的 实 现 方 式 非 常 简 单 且 易 于 实 现 , 就 是 利 用 一 个 简 单 的 脚 本 实 时 读 取 告 警 日 志 ， 将 记 录 到 的 I p 和 端 口 ， 创 建 对 应 的 一 条 l p t a b l e s 规 则 ， 加 入 到 远 程 或 对 应 主 机 的 防 火 墙 规 则 中 , 也 就 是 实 现 了 同 第 一 种 方 式 相 同 的 功 能 ， 虽 然 后 者 在 处 理 速 度 上 没 有 第 一 种 方 式 及 时 ， 但 整 体 防 护 能 力 上 并 未 有 太 大 什 么 区 别 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理