Snort入侵检测系统安装与配置

第1章      Snort简介

第2章      软件列表

第3章      Snort 安装与配置

第4章      Snort的操作与使用

第5章      常见问题与解决方法

 

 

第1章           Snort简介

 

Snort是一个免费的IDS(入侵监测系统)软件。它的一些源代码是从著名的tcpdump软件发展而来的。它是一个基于libpcap包的网络监控软件，可以作为一个十分有效的网络入侵监测系统。它能够监测多种网络攻击和探测，例如：缓冲器溢出攻击，端口扫描，CGI攻击，SMB探测等等。Snort具有实时的告警能力，将告警记入一个特别的告警文件--系统日志，或者将告警信息通过samba转发给另一台Windows PC机。
　　Snort首先根据远端的ip地址建立目录,然后将检测到的包以tcpdump的二进制格式记录或者以自身的解码形式存储到这些目录中.这样一来,你就可以使用snort来监测或过滤你所需要的包.

snort是一个轻量级的入侵检测系统，它具有截取网络数据报文，进行网络数据实时分析、报警,以及日志的能力。snort的报文截取代码是基于libpcap库的，继承了libpcap库的平台兼容性。它能够进行协议分析，内容搜索/匹配，能够用来检测各种攻击和探测，例如：缓冲区溢出、隐秘端口扫描、CGI攻击、SMB探测、OS指纹特征检测等等。snort使用一种灵活的规则语言来描述网络数据报文，因此可以对新的攻击作出快速地翻译。snort具有实时报警能力。可以将报警信息写到syslog、指定的文件、UNIX套接字或者使用WinPopup消息。snort具有良好的扩展能力。它支持插件体系，可以通过其定义的接口，很方便地加入新的功能。snort还能够记录网络数据，其日志文件可以是tcpdump格式，也可以是解码的ASCII格式。

软件名称	功能简述	正式网址	软件版本
Snort	网络入侵探测器		1.8.6
Libpcap	Snort所依赖的网络抓包库		0.7.1
MySQL	入侵事件数据库		3.23.49
Apache	Web服务器		1.3.24
Mod_ssl	为Apache提供SSL加密功能的模块		2.8.8
OpenSSL	开放源代码的SSL加密库，为mod_ssl所依赖		0.9.6d
MM	为Apache的模块提供共享内存服务		1.1.3
ACID	基于Web的入侵事件数据库分析控制台		0.9.6b21
PHP	ACID的实现语言		4.0.6
GD	被PHP用来即时生成PNG和JPG图像的库		1.8.4
ADODB	为ACID提供便捷的数据库接口	php.weblogs.com/ADODB	2.00
PHPlot	ACID所依赖的制图库		4.4.6

 

安装与配置

 

在正式进行软件安装之前，请检查系统，确保拥有符合ANSI标准的C/C++编译器等软件开发工具。

1．安装入侵事件数据库MySQL

首先，以超级用户的身份登录系统，创建MySQL 用户和MySQL用户组; 然后，以MySQL身份登录，按照缺省配置将MySQL安装在/usr/local目录下；接下来，将源代码树中的缺省配置文件My.cnf拷贝到/etc目录下；再用超级用户身份执行源码树中Scripts目录下的可执行脚本文件Mysql_install_db创建初始数据库; 随后，用/etc/init.d/mysql.server命令启动数据库服务器，使用/usr/local/bin/mysqladmin程序改变数据库管理员的口令。

2．安装Snort

首先安装Snort所依赖的网络抓包库Libpcap，将其按照缺省配置安装在/usr/local目录下之后，开始正式安装Snort。

         #gzip -d -c snort-1.8.6.tar.gz | tar xvf -

         #cd snort-1.8.6

         #./configure --prefix=/usr/local --with-mysql=/usr/local

         --with-libpcap-includes=/usr/local \

         --with-libpcap-libraries=/usr/local

         #make

         #make install

安装完毕后，将源码树中的Snort.conf文件、Classification.config文件和规则文件（*.rules）拷贝到系统的/etc目录下。

按照下列步骤配置Snort，以便将其捕获的网络信息输出到MySQL数据库。

（1）创建Snort入侵事件数据库和存档数据库。

#/usr/local/bin/mysqladmin -u root -p create snort

#/usr/local/bin/mysqladmin -u root -p create snort_archive

（2）执行Snort源码树下Contrib目录下的Create_mysql SQL脚本文件，创建相关表。

#/usr/local/bin/mysql -u root -D snort -p < create_mysql

#/usr/local/bin/mysql -u root -D snort_archive -p < create_mysql

（3）编辑/etc/snort.conf文件，在Output Plugin 段中加入如下一行：

output database: alert, mysql, user=root password=abc123 dbname=snort host=localhost

3．安装Web服务器Apache

（1）安装MM库

按照缺省配置将MM库安装在/usr/local目录下。

（2）安装OpenSSL

按照缺省设置将OpenSSL安装在/usr/local目录下。

（3）为Apache扩展mod_ssl代码

         #gzip -d -c apache-1.3.24.tar.gz | tar xvf -

         #gzip -d -c mod_ssl-2.8.8-1.3.24.tar.gz | tar xvf -

         #cd mod_ssl-2.8.8-1.3.24

         #./configure --with-apache=apache-1.3.24

该命令运行成功之后，会有提示说明已经成功扩展了Apache的源代码。

（4）安装Apache

         #cd ../apache-1.3.24

         #SSL_BASE=/usr/local EAPI_MM=/usr/local \

          ./configure --enable-module=so

          --enable-module=ssl --prefix=/usr/local

         #make

         #make certificate

         #make install

其中，Make certificate命令是为mod_ssl生成所需的安全证书，按照提示输入相应信息即可。这样，Apache就被安装在/usr/local目录下。

4．安装实现语言PHP

按照缺省配置，将为PHP提供即时生成PNG和JPG图像功能的GD库安装到/usr/local目录下; 然后采用PHP的Apache DSO安装模式将其安装到/usr/local/libexec目录，成为Apache的动态共享模块。另外，不要忘记把对MySQL的支持和GD库也编译到模块里。

5．安装分析控制台ACID

该部分的安装工作具体包括3个软件包：Adodb200.tar.gz、Phplot-4.4.6.tar.gz和Acid-0.9.6b21.tar.gz。安装过程十分简单，只需分别将这3个软件包解压缩并展开在Apache服务器的文档根目录下即可。

然后开始配置工作。转到Acid-0.9.6b21目录下编辑ACID的配置文件Acid_conf.php，给下列变量赋值：

         $Dblib_path="../adodb200"

         $DBtype="mysql"

         $alert_dbname="snort"

         $alert_host="localhost"

         $alert_port="3306"

         $alert_user="root"

         $alert_password="abc123"

         $archive_dbname="snort_archive"

         $archive_host="localhost"

         $archive_port="3306"

         $archive_user="root"

         $archive_password="abc123"

         $ChartLib_path="../phplot-4.4.6"

         $Chart_file_format="png"

         $portscan_file="/var/log/snort/portscan.log"

至此，网络入侵检测系统的软件安装工作结束。

三、系统部署及运行

本系统被部署在网络服务器所处的DMZ区，用来监控来自互联网和内网的网络流量。负责监控的网络探测器Snort使用无IP地址的网卡进行监听，以保证NIDS自身的安全; 通过另一块网卡接入内网，并为其分配内网所使用的私有IP地址，以便从内网访问分析控制台程序ACID。通过启用Apache服务器的用户身份验证和访问控制机制，并结合SSL，保证系统的访问安全。

另外，部署NIDS的关键是应当保证系统的监听网卡所连接的设备端口能够“看到”受监控网段的全部网络流量。在共享式网络中，这不是问题，但在交换式网络中，由于交换机的每个端口拥有自己的冲突域，因此无法捕获除广播和组播之外的网络流量，这就要求交换机提供监控端口，本网络使用的是Cisco Catalyst系列交换机，其监控端口是通过端口的SPAN特性来实现的，用交换机管理软件启用该特性即可。

为了运行该系统，以超级用户身份执行下列命令：

#/etc/init.d/mysql.server start

#/usr/local/bin/snort -c /etc/snort.conf -l /var/log/snort -I elx0 -D

#/usr/local/bin/apachectl sslstart

这样，NIDS已开始运行，然后在内网的管理PC机上启动浏览器，在地址栏中键入：，其中192.168.1.8是为该NIDS内网网卡分配的IP地址。首次运行时，控制台会提示用户对入侵事件数据库进行扩展，按照提示扩展完毕后，控制台主界面出现。如图1所示。

图1 一天之内的报警频率

主界面里显示的信息包括：触发安全规则的网络流量中各种协议所占的比例、警报的数量、入侵主机和目标主机的IP地址及端口号等。ACID控制台还提供强大的搜索功能，用户可根据时间、IP地址、端口号、协议类型以及数据净荷（payload）等多种条件的灵活组合，在入侵事件数据库中进行查询，以帮助网管人员进行分析。

入侵特征库是否丰富对一个NIDS非常重要，本系统同时支持多种有影响的入侵特征库，包括CERT/CC、arachNIDS和CVE等。在警报中除了列出入侵事件的命名外，还有到相应入侵特征库的Web链接，如果某个警报存在多个命名，则同时予以列出，以便参考。网络管理人员可通过这些链接去查找在线入侵特征库，以便获得关于特定入侵事件更加详细的信息和相应的解决办法。

应用ACID提供的制图功能可以直观地对网络入侵事件进行分析，而生成的图表又可进一步丰富网管人员编制的报告。例如ACID分析控制台可以按用户指定的时间段生成入侵事件的频率图，如图2所示。

图2 一周报警频率

结束语

网络安全是一个复杂的问题，只依靠1～2种网络安全产品是不能解决问题的，必须综合应用多种安全技术，并将其功能有机地整合到一起，进而构成统一的网络安全基础设施。

 

的操作与使用

Snort采取命令行方式运行。格式为：snort -[options] 。options中可选的参数很多，下面逐一介绍。
首先介绍-[options]的内容：
-A 设置告警方式为full,fast或者none。 在full方式下，Snort将传统的告警信息格式写入告警文件，告警内容比较详细。在fast方式下，Snort只将告警时间，告警内容，告警IP地址和端口号写入文件。在none方式下，系统将关闭告警功能。
-a 显示ARP包
-b 以tcpdump的格式将数据包记入日志。 所有的数据包将以二进制格式记入名为snort.log的文件中。这个选项提高了snort的操作速度，因为直接已二进制存储，省略了转换为文本文件的时间，通过-b选项的设置，snort可以在100Mbps的网络上正常工作。
-c 使用配置文件。这是一个规则文件。文件内容主要控制系统哪些包需要记入日志，哪些包需要告警，哪些包可以忽略等。
-C 仅抓取包中的ASCII字符
-d 抓取应用层的数据包
-D 在守护模式下运行Snort。告警信息发送至/var/log/snort.alert，除非特别配置。
-e 显示和记录网络层数据包头信息
-F 从文件中读取BPF过滤信息。
-h 设置(C类IP地址)为内部网络.当使用这个开关时,所有从外部的流量将会有一个方向箭头指向右边,所有从内部的流量将会有一个左箭头.这个选项没有太大的作用,但是可以使显示的包的信息格式比较容易察看.
-i 使用网络接口文件 。
-l 将包信息记录到目录下。设置日志记录的分层目录结构，按接收包的IP地址将抓取的包存储在相应的目录下。
-M 向〉文件中的工作站发送WinPopup消息。文件格式非常简单。文件的每一行包含一个目的地址的SMB名。
-n 处理完包后退出。
-N 关闭日志功能。告警功能仍然工作。
-o 改变应用于包的规则的顺序。标准的应用顺序是：Alert->Pass->Log；采用-o选项后，顺序改为：Pass->Alert->Log，允许用户避免使用冗长的BPF命令行来过滤告警规则。
-p 关闭混杂模式的嗅探（sniffing）。这个选项在网络严重拥塞时十分有效。
-r 读取tcpdump生成的文件。Snort将读取和处理这个文件。例如：当你已经得到了一个Shadow文件或者tcpdump格式的文件，想处理文件包含的内容时，这个选项就很有用了。
-s 将告警信息记录到系统日志。在其他的平台下，日志文件可以出现在/var/log/secure, /var/log/messages目录里。
-S ,n=v> 设置变量n的值为v。这个选项可以用命令行的方式设置Snort规则文件中的变量。例如：如果要给Snort规则文件中的变量HOME_NET赋值，就可以在命令行下采用这个选项。
-v 将包信息显示到终端时，采用详细模式。这种模式存在一个问题：它的显示速度比较慢，如果你是在IDS网络中使用Snort，最好不要采用详细模式，否则会丢失部分包信息。
-V 显示版本号，并退出。
-x 当收到骚扰IPX包时，显示相关信息。
-？ 显示使用摘要，并退出。
下面介绍一下< filters >的内容：
这里的"filters"与TCPDump中的filter相同，是标准的BPF格式的过滤器。一般来说，你可以指定过滤器的主机，网络或者协议，还可以给出逻辑表达式，定制特定的过滤器。例如：
[root@ice snort-1.6]# ./snort -h 192.168.1.0/24 -d -v host 192.168.1.1
表示记录从主机192.168.1.1发送和接收的所有包信息。
[root@ice snort-1.6]# ./snort -h 192.168.1.0/24 -d -v net 192.168.1 and not host 192.168.1.1
表示记录子网192.168.1中从192.168.1.0到192.168.1.24的所有主机接收和发送的包信息，但不包括192.168.1.1的信息。
在1.3版本中，你可以使用选项-F从文件中读入自己的BPF过滤器。
前面将常提到规则文件，先面简单介绍一下规则。详细的内容可以从下面的站点得到。
~roesch/snort_rules.html 。系统生成的告警信息都记录在alert.log文件中。你可以简单的使用"tail -f"查看日志信息。同时这些日志信息还被记录在系统日志中，其缺省的目录是/var/log/snort.你可以使用-L选项来指定特定的目录.如果你设置了smbalert功能,那么这些告警就可以通过smbclient在windows的机子上弹出一个对话框.
实际上,在使用snort的过程中,大家一定感受到规则(rules)文件的重要性.如何构造高效全面的规则文件就成了重点.下面我们就介绍一下该文件.
在该文件中,一条规则必须在一行中,符号#是注释行.所有的ip地址和端口号都要使用数字形式,系统并不支持名字服务.一条规则的格式如下:

func proto src_ip/mask src_port_range -> dst_ip/mask dst_port_range (options)
动作 协议 源地址 源端口 目标地址 目标端口 (选项)
动作包括三类:告警(alert),日志(log)和通行(pass).表明snort对包的三种处理方式.
在源/目的地址/端口中可以使用any来代表任意的地址或端口.还可以使用符号!来表明取非运算.同时,在目的和源地址之间可以使用标识符<>来指明方向.
选项包括:
1. msg -------将要放入alert或log文件中的输出信息;
2. flags-------tcp协议中的标志,如SYN,ACK等等,如果是0则表明全部标志.
3. ttl -------在ip包中的ttl值,有利于识别traceroute包.
4. content----数据包的应用层,查找缓冲区溢出攻击.
5. itype-------icmp包的类型;
6. icode-------icmp包的编码;
7. minfrag----最小的分片的有效载荷大小.
8. seg---------tcp包中的顺序号;
9. ack --------tcp包中的响应号;
10. id ------ip 包中分片的序号;
.
11. logto---指定特殊的存放告警信息的文件;
12. dsize---指定特定的包的长度;
13. offset---在包中查找一定字节内容;
14. depth---在数据包中仅仅查找depth字节.
15. ipopts---查找一个特定的ip选项.

下面我们就举一些例子来说明规则的作用:
1. 下面这条规则记录了所有登录到一个特定主机的数据包:
log tcp any any -> 192.168.1.1/32 23
2. 在第一条的基础上记录了双向的流量.
log tcp any any <> 192.168.1.1/32 23
3. 这一条规则记录了所有到达你的本地主机的icmp数据包.
log icmp any any -> 192.168.1.0/24 any
4. 这条规则允许双向的从你的机子到其他站点的http包.
pass tcp any 80 <> 192.168.1.0/24 any
5.这条告警规则显示了本地主机对其他主机的111端口的访问,并在log中显示端口影射调用('portmapper call')信息:
alert tcp 192.168.1.0/24 any -> any 111 (msg:"Portmapper call";)
6.记录其他任意地址的小于1024端口访问本地小于1024端口的流量:
log tcp any :1024 -> 192.168.1.0/24 :1024
7.这条规则将会发现SYN FIN扫描:
alert tcp any any -> 192.168.1.0/24 any (msg:"SYN-FIN scan!"; flags: SF;)
8.这条规则将会发现空tcp扫描:
alert tcp any any -> 192.168.1.0/24 any (msg:"Null scan!"; flags: 0;)
9.这条规则将会发现Queso fingerprint扫描:
alert tcp any any -> 192.168.1.0/24 any (msg:"Queso fingerprint";flags: S12;)
10.这条规则将进行基于内容的查找以发现溢出攻击:
alert tcp any any -> 192.168.1.0/24 143 (msg:"IMAP Buffer overflow!"; content:"|90E8 C0FF FFFF|/bin/sh";)
11.这条规则将会发现PHF攻击:
alert tcp any any -> 192.168.1.0/24 80 (msg:"PHF attempt"; content:"/cgi-bin/phf";)
12.这条规则将会发现traceroute包:
alert udp any any -> 192.168.1.0/24 any (msg:"Traceroute"; ttl:1;)
13.这条规则将会发现其他主机对本地发出的icmp包.
alert udp any any -> 192.168.1.0/24 any (msg:"Traceroute"; ttl:1;)
14.这条规则发现nmap的tcp 的ping扫描
alert tcp any any -> 192.168.1.0/24 any (flags: A; ack: 0; msg:"NMAP TCP ping!";)
15.这条规则将会发现源路由的数据包(源路由攻击):
alert tcp any any -> any any (ipopts: lsrr; msg: "Source Routed packet!";)

由于snort也在不断的发展着,许多功能正在被开发出来,如果需要详细的信息,需要大家随时关注它的发展.希望以上的介绍会对大家有所帮助,利用snort可以建立一个有效的IDS系统.

略