Snort数据包分析研究及软件开发[学报]

Snort数据包分析研究及软件开发尤良芳董忠（天水师范学院物理与信息科学学院，甘肃天水741001）摘要：网络入侵检测是网络安全领域研究的热点，对snort系统分析方法加以改进，提出以太帧、IP数据报、TCP数据报和应用层数据进行协议分析的原理和方法，结果可以用自动方式对海量数据加以提取分析。

以捕获http协议GET请求数据包为例，探讨运用该方法解析Snort日志文件中网络数据包的原理。

关键字：入侵检测，snort系统，协议分析在过去的几年中，针对关键信息资源的威胁数量和类型都在急剧上升，攻击手段更加隐秘多变，及时对网络攻击行为做出主动反应是网络安全领域研究的热点。

误用检测（Misuse Detection）和异常检测（Anomaly Detection）是两种常用的网络入侵检测技术，但前者漏报率高，它的查全率（能够检测所有入侵的能力）跟入侵模式库的更新程度有密切关系，因此系统的灵活性和自适性比较差；后者却只能识别与正常情况有较大偏差的入侵行为，网络适应性差，误报率高。

已有文献提出将异常检测和误用检测两种技术相结合的网络入侵检测系统[1，2]。

Snort关注模式匹配、报警和数据包的记录，但是对记录的数据包没有提供应用层的分析工具，用户需要手工提取分析数据包中的内容。

面对海量的数据，用户显得力不从心，使Snort的应用效果受到了限制[3]。

本文基于snort系统分析方法，给出其以太帧、IP数据报、TCP数据报和应用层数据进行协议分析的原理和方法，结果可以用自动方式对海量数据加以提取分析，不仅使系统具有自动化能力,而且改检测机制使系统的检测速度得到提高。

以捕获http协议GET请求数据包为例，探讨解析Snort日志文件中网络数据包的原理。

1 snort系统的基本概念[4]Snort是一个基于libpcap的开放源入侵检测系统，直至今天Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析,网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System)。

是目前安全领域中，最活跃的开放源码工程之一。

Snort还是昂贵的商业入侵检测系统最好的替代产品之一。

snort系统组成：snort由三个重要的子系统构成：数据包解码器，检测引擎，日志与报警系统。

Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。

嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。

数据包记录器模式把数据包记录到硬盘上。

网络入侵检测模式是最复杂的，而且是可配置的。

可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。

2数据获取OpenBSD+Pf搭建防火墙部署在局域网络出口，利用Snort2.8.4捕获用户访问百度搜索引擎的所有数据包，规则文件如下：$ more Snort.conflog tcp any any -> any 80 (sid:90000001;msg:"Alert baidu";content:"";)执行命令sudo snort -i dc0 -c etc/snort.conf –l ./logsudo：允许您使用管理特权运行Snort。

Snort 需要比普通用户更多的权限。

-i dc0：选项使Snort在网卡dc0上侦听并捕获数据包。

-l logs：告诉Snort 记录包和生成的警告，并将所有内容放入到logs/ 目录。

-c etc/snort.conf：表示使用etc/snort.conf 作为配置文件来运行Snort。

用户包捕获后保存在log目录下，生成了log/snort.log.1277199346日志文件。

3 相关协议介绍3.1 ethernet协议以太网是应用最为广泛的局域网，包括标准以太网（10Mbps）、快速以太网（100Mbps）、千兆以太网（1000 Mbps）和10G以太网，它们都符合IEEE802.3系列标准规范。

在ISO的OSI参考模型中，数据链路层的功能相对简单。

它只负责将数据从一个节点可靠地传输到相邻节点。

但在局域网中，多个节点共享传输介质，必须有某种机制来决定下一个时刻，哪个设备占用传输介质传送数据。

因此，局域网的数据链路层要有介质访问控制的功能。

为此，一般将数据链路层又划分成两个子层：●逻辑链路控制LLC（Logic Line Control）子层●介质访问控制MAC（Media Access Control）子层其中，LLC子层负责向其上层提供服务；MAC子层的主要功能包括数据帧的封装/卸装，帧的寻址和识别，帧的接收与发送，链路的管理，帧的差错控制等。

MAC子层的存在屏蔽了不同物理链路种类的差异性。

在MAC子层的诸多功能中，非常重要的一项功能是仲裁介质的使用权，即规定站点何时可以使用通信介质。

依据以太网帧格式在程序中声明其首部：#define ETHER_ADDR_LEN 6 /* Ethernet address length*/struct ether_header {u_int8_t ether_dhost[ETHER_ADDR_LEN]; /*destination ether address */u_int8_t ether_shost[ETHER_ADDR_LEN]; /*source ether address */u_int16_t ether_type; /*packet type ID field*/};3.2 IP协议IP的基本功能：寻址、路由选择和数据包的分割和组装，它不提供可靠的传输服务。

依据IP报文格式在程序中声明IP首部：struct in_addr{u_int32_t s_addr;};struct ip {u_int8_t ip_vhl; /*header length, version*/#define IP_V(ip) (((ip)->ip_vhl & 0xf0) >> 4)#define IP_HL(ip) ((ip)->ip_vhl & 0x0f)u_int8_t ip_tos; /* type of service */u_int16_t ip_len; /* total length */u_int16_t ip_id; /* identification */u_int16_t ip_off; /* fragment offset field */#define IP_RF 0x8000 /* reserved fragment flag */#define IP_DF 0x4000 /* dont fragment flag */#define IP_MF 0x2000 /* more fragments flag */#define IP_OFFMASK 0x1fff /* mask for fragmenting bits */u_int8_t ip_ttl; /* time to live */u_int8_t ip_p; /* protocol */u_int16_t ip_sum; /* checksum */struct in_addr ip_src, ip_dst; /* source and dest address */};3.3 TCP协议TCP提供全双工和可靠交付的服务。

该协议主要用于在主机间建立一个虚拟连接，以实现高可靠性的数据包交换。

依据TCP报文格式在程序中声明TCP包头：typedef u_int32_t tcp_seq;struct tcp {u_int16_t th_sport; /* source port */u_int16_t th_dport; /* destination port */tcp_seq th_seq; /* sequence number */tcp_seq th_ack; /* acknowledgement number */u_int8_t th_x2off; /* data offset */#define TH_OF(tcp) (((tcp)->th_x2off & 0xf0) >> 4)u_int8_t th_flags;#define TH_FIN 0x01#define TH_SYN 0x02#define TH_RST 0x04#define TH_PUSH 0x08#define TH_ACK 0x10#define TH_URG 0x20#define TH_ECE 0x40#define TH_CWR 0x80u_int16_t th_win; /* window */u_int16_t th_sum; /* checksum */u_int16_t th_urp; /* urgent pointer */};4 Pcap文件格式及文件头Snort利用Pcap库采集和保存数据，数据包日志文件和Pcap的保持一致。

Pcap文件格式：Pcap文件头(24Bytes) +Pcap 数据包头1(16Bytes) + 数据包1 + Pcap数据包头2(16Bytes) + 数据包2……，如图1。

图1: Pcap文件格式依据Pcap文件格式、Pcap文件头格式和Pcap附加在每个数据包前的包头格式声明如下数据结构：Pcap文件头格式：struct pcap_file_header {bpf_u_int32 magic;u_short version_major;u_short version_minor;bpf_int32 thiszone; /* gmt to local correction */bpf_u_int32 sigfigs; /* accuracy of timestamps */bpf_u_int32 snaplen; /* max length saved portion of each pkt */bpf_u_int32 linktype; /* data link type (DLT_*) */};Pcap附加在每个数据包前的包头格式：struct pcap_pkthdr {struct bpf_timeval ts; /* time stamp */bpf_u_int32 caplen; /* length of portion present */bpf_u_int32 len; /* length this packet (off wire) */};struct bpf_timeval {u_int32_t tv_sec;u_int32_t tv_usec;};字段说明：Timestamp：时间戳高位，精确到secondsTimestamp：时间戳低位，精确到microsecondsCaplen：当前数据区的长度，即抓取到的数据帧长度，由此可以得到下一个数据帧的位置。