snort是一款最重要的开源网络入侵检测系统，基本上意味着它留意坏的通讯并给你提供警告，它始终保存你读取原始tcpdump内容的输出，Debian用户可以通过apt-get install snort来获取它，默认情况下，它将网络接口设置为混杂模式，也就是说，所有在线路上的数据包都被检查。
如果你正在尝试保护一个网络，通常你的snort传感器应该放在主路由器的SPAN端口上，这样它就能查看到所有经过那个路由器的网络通讯内容。（SPAN端口提供了所有经过路由器的通讯的一个总和）如果你正在尝试保护一个单独的主机，只需要在主机上简单地按照它即可。
Snort依靠一个规则数据库来检查数据包，/etc/snort/rules/bad-traffic.rules中有一个例子标记出了一个tcp端口号为0的无效通讯：
alert tcp $EXTERNAL_NET any <> $HOME_NET 0 (msg:"BAD-TRAFFIC tcp port 0 traffic"; flow:stateless; classtype:misc-activity; sid:524; rev:8;) |
snort将它的警告信息记录到一个文件中，典型地是/var/log/snort/alert，看起来象是这样，表明一个策略规则已经生效，因为来自Google Desktop用户代理的web通讯被观察到了：
[**] [1:2002801:3] BLEEDING-EDGE WEB Google Desktop User-Agent Detected [**] [Classification: Potential Corporate Privacy Violation] [Priority: 1] 11/02-11:27:58.855143 10.0.0.82:3449 -> 66.35.250.209:80 TCP TTL:128 TOS:0x0 ID:35935 IpLen:20 DgmLen:399 DF ***AP*** Seq: 0x847921EE Ack: 0x1A7D5C20 Win: 0xFFFF TcpLen: 20 [Xref => http://news.com.com/2100-1032_3-6038197.html] Snort也能被配置为记录匹配tcpdump格式的数据包，如下： # log_tcpdump: log packets in binary tcpdump format # ------------------------------------------------- # The only argument is the output file name. # output log_tcpdump: tcpdump.log |
当上面的选项生效后，snort将记录与tcpdump文件匹配的数据包并将其保存到警告文件中，这样就允许你更容易地判断哪个警告是需要担心的哪个警告是错误的警告，你可以象下面这样来阅读它们：
# tcpdump -r /var/log/snort/tcpdump.log.1161106015 reading from file /var/log/snort/ ↪tcpdump.log.1161106015, link-type EN10MB (Ethernet) 06:37:50.839942 IP 10.0.0.82.1410 > 10.10.218.95.www: P 2352360050:2352360119(69) ack 1723804156 win 65535 06:53:07.792492 IP 10.0.0.82.1421 > 10.10.218.95.www: P 2124589760:2124589829(69) ack 2684875377 win 65535 ... |
如果你象查看数据包的内容，使用-X参数，tcpdump –X –r /var/log/snort/tcpdump.log.1161106015，snort也有一些功能来中断基于规则匹配（灵活的响应）的连接，也有许多第三方的规则，可以在http://www.bleedingthreats.net/找到。
| 共6页: 上一页 [1] [2] [3] 4 [5] [6] 下一页 | ||||||||
|
|
|||
| 名称：SQL Server数据库管理精品黄皮书 简介：书中文章经过精挑细选，便于用户能根据自己的实际工作和学习，快速在本书寻找到相关资料。内容涵盖了SQL Server的安装与升级、语句查询、数据备份和恢复、自动化任务、数据同步、数据字典、安全和预防、性能和优化、集群等各方面应用信息，以及DBA管理人员在数据库管理工作中 |
|||
| 名称：2007路由技术大全 简介：《2007路由技术大全》由51CTO.com网站特别策划制作，该书包括路由器技术、路由器产品、路由器配置、安全设置、路由器故障处理、路由器密码恢复，以及广大网友在实践使用中的心得经验和技巧文章，内容注重实用性，适用于初学者入门，也适合多年从业者提高，是一本实践和理论完 |
|||
| 名称：网络安全精品应用黄皮书 简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。 |
|
||||
| · VPN技术 · iSCSI应用与发展 · SQL Server 2008/2005.. · SQL Server 2008/2005.. · iSCSI应用与发展 · RAID——磁盘阵列基础 · 中间件应用技术专题 · 深入了解PGP加密技术 |
· 病毒查杀专题 · VPN技术 · 国际文档格式标准开战 · SSL VPN详细知识 · Linux防火墙 · 打造安全服务器 · Sniffer安全技术从入门.. · 木马原理与防范 |
|||
|
||||
| · SQL Server 2008/2005.. · iSCSI应用与发展 · 中间件应用技术专题 · SQL Server 2008/2005.. · iSCSI应用与发展 · RAID——磁盘阵列基础 · 身份认证技术 · 病毒查杀专题 |
· 清除流氓软件——51CTO.. · SSL VPN详细知识 · Sniffer安全技术从入门.. · VPN技术 · 了解统一威胁管理(UTM).. · 网络钓鱼 · ADSL应用面面俱到 · ADSL应用面面俱到 |
|||
