实训-Snort安装与配置

snort实验

实验7 基于snort的IDS配置实验1．实验目的通过配置和使用Snort，了解入侵检测的基本概念和方法，掌握入侵检测工具的使用方法，能够对其进行配置。

2．实验原理2.1 入侵检测基本概念入侵检测系统（Intrusion Detection System简称为IDS）工作在计算机网络系统中的关键节点上，通过实时地收集和分析计算机网络或系统中的信息，来检查是否出现违反安全策略的行为和是否存在入侵的迹象，进而达到提示入侵、预防攻击的目的。

入侵检测系统作为一种主动防护的网络安全技术，有效扩展了系统维护人员的安全管理能力，例如安全审计、监视、攻击识别和响应的能力。

通过利用入侵检测系统，可以有效地防止或减轻来自网络的威胁，它已经成为防火墙之后的又一道安全屏障，并在各种不同的环境中发挥关键作用。

1．入侵检测系统分类根据采集数据源的不同，IDS可分为基于网络的入侵检测系统（Network-based IDS，简称NIDS）和基于主机的入侵检测系统（Host-based IDS，简称HIDS）。

NIDS使用监听的方式，在网络通信的原始数据包中寻找符合网络入侵模版的数据包。

NIDS的网络分析引擎放置在需要保护的网段内，独立于被保护的机器之外，不会影响这些机器的CPU、I/O与磁盘等资源的使用，也不会影响业务系统的性能。

NIDS一般保护的是整个网段。

HIDS安装在被保护的机器上，在主机系统的审计日志或系统操作中查找信息源进行智能分析和判断，例如操作系统日志、系统进程、文件访问和注册表访问等信息。

由于HIDS 安装在需要保护的主机系统上，这将影响应用系统的运行效率。

HIDS对主机系统固有的日志与监视能力有很高的依赖性，它一般保护的是其所在的系统。

NIDS和HIDS各有优缺点，联合使用这两种方式可以实现更好的检测效果。

2．入侵检测系统的实现技术入侵检测系统的实现技术可以简单的分为两大类：基于特征的检测（Signature-based）和基于异常的检测（Anomaly-based）。

(完整版)Snort详细安装步骤

Snort使用报告一、软件安装安装环境:windows 7 32bit软件:Snort 2.9.5.5、WinPcap 4.1.1规则库: snortrules-snapshot-2970.tar.gz二、实验内容熟悉入侵检测软件Snort的安装与使用三、实验原理Snort是一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS四.安装步骤1.下载实验用的软件Snort、Snort的规则库snortrules 和WinPcap.本次实验使用的具体版本是Snort 2.9.5.5、snortrules-snapshot-2970.tar.gz 和WinPcap 4.1.3首先点击Snort安装点击I Agree.同意软件使用条款，开始下一步，选择所要安装的组件：全选后，点击下一步：选择安装的位置，默认的路径为c:/Snort/,点击下一步，安装完成。

软件跳出提示需要安装WinPcap 4.1.1以上2.安装WinPcap点击WinPcap安装包进行安装点击下一步继续：点击同意使用条款：选择是否让WinPcap自启动，点击安装：安装完成点击完成。

此时为了看安装是否成功，进入CMD，找到d：/Snort/bin/如下图：（注意这个路径是你安装的路径，由于我安装在d盘的根目录下，所以开头是d:）输入以下命令snort –W，如下显示你的网卡信息，说明安装成功了！别高兴的太早，这只是安装成功了软件包，下面还要安装规则库：3.安装Snort规则库首先我们去Snort的官网下载Snort的规则库，必须先注册成会员，才可以下载。

具体下载地址为https:///downloads，往下拉到Rules，看见Registered是灰色的，我们点击Sign in：注册成功后，返回到这个界面就可以下载了。

Snort 使用手册_from_IBM

Snort 使用手册，第 1 部分: 安装与配置保护和分析 Web 站点及其流量2007 年 6 月 24 日Web 站点是 Internet 技术中最脆弱也最易受攻击的部分。

尝试接触 Snort ，它是一款免费、开源的网络入侵防御系统（Network Intrusion Prevention System ，NIPS ）和网络入侵检测系统（Network Intrusion Detection System ，NIDS ）工具，用于管理和防御黑客入侵您的 Web 站点、应用程序和支持 Internet 的程序。

了解 Snort 能够如何帮助保护您的站点，分析您的网络的真实情况。

学习本文之后，您将懂得利用 Snort 提供的某些高级入侵检测，并根据 Snort 提供的信息来优化您的站点和网络。

安全性是重中之重假设您已经付出了几个月乃至几年的时间来学习最热门的 Web 技术。

您阅读了 developerWorks 的文章，购买了相关图书，在您的 Mac OS X 终端和 Windows® shell 上进行了试验。

您已经设法构建了一个非常出色的约有 100 个页面的 Web 应用程序 ——— 有一部分是静态 HTML ，还有一部分由 PHP 脚本生成。

您已经开始添加某些 Ajax 技术和特效，使您的站点更具交互性，更具响应能力。

您正处于 Web 编程世界的巅峰。

然而某一天早上醒来之后，您突然发现站点上全是某个与您毫无相关的站点的全页横幅广告。

此外，您的购物车也慢得跟蜗牛一样，因为数千个无用数据包正在冲击您的 Web 站点，这也使客户烦恼和愤怒。

尽管听起来很有戏剧性，但大多数认真的 Web 开发人都知道有些人已经遇到过类似的场景，或者自己亲身经历过这样的场景。

无论您的站点或应用程序有多出色，只要未得到周全的保护，即便是相当成功的，也会成为攻击的目标。

无论是十二岁的顽童，还是作为商业间谍的专业黑客，Web 站点都是非常脆弱的，比其他类型的应用程序更容易受到攻击。

入侵检测软件Snort的使用实验

⼊侵检测软件Snort的使⽤实验1．安装和配置 IDS 软件 Snort并查看⽹卡信息从返回的结果可知主机上有哪个物理⽹卡正在⼯作及该⽹卡的详细信息。

图中显⽰此计算机只有1个⽹卡，且该⽹卡具有物理地址。

2.输⼊ snort –v –i1命令启⽤ Snort并捕捉到⼀些流量3. 配置snort3.1打开 snort配置⽂件，设置 Snort 的内部⽹络和外部⽹络⽹络检测范围。

将 Snort.conf ⽂件中的 var HOME_NET any 语句的 any 改为⾃⼰所在的⼦⽹地址，即将Snort 监测的内部⽹络设置为所在的局域⽹。

我实验的机器ip地址为192.168.1.131，故⼦⽹地址应该为192.168.1.0/243.2配置⽹段内提供⽹络服务的 IP 地址，只需要把默认的$HOME_NET 改成对应的主机地址即可。

var DNS_SERVERS $HOME_NETvar SMTP_SERVERS HOME N ETvarHTTP S ERVERS HOME_NETvar SQL_SERVERS HOME N ETvarTELNET S ERVERS HOME_NETvar SNMP_SERVERS $HOME_NET3.3配置动态预处理器库# path to dynamic preprocessor librariesdynamicpreprocessor directory c:\Snort\lib\snort_dynamicpreprocessordynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_dce2.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_dns.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_ftptelnet.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_sdf.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_smtp.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_ssh.dlldynamicpreprocessor file c:\Snort\lib\snort_dynamicpreprocessor\sf_ssl.dlldynamicengine c:\Snort\lib\snort_dynamicengine\sf_engine.dll3.4修改配置⽂件 classification.config 和 reference.config的路径:include c:\Snort\etc\classification.configinclude c:\Snort\etc\reference.config其中 classification.config ⽂件保存的是规则的警报级别相关的配置，reference.config ⽂件保存了提供更多警报相关信息的链接。

实训指导4.1-1基于Snort入侵检测功能配置(精)

计算机网络安全技术与实施
学习情境4：实训任务4.1 基于Snort入侵检测功能配置
专业务实
学以致用
内容介绍
1
任务场景
2 3
4
任务相关工具软件介绍任务设计、规划
任务实施及方法技巧
5
6
任务检查与评价任务总结
专业务实
学以致用
任务场景
专业务实
学以致用
任务相关工具软件介绍
SNORT[snö t]喷鼻息；鼓鼻
到了也不处理
目的地为C 的数据帧
我要，我要送交系统共享介质
A主机网卡为正常模式专业务实
B主机网卡为混杂模式学以致用
C主机
任务实施及方法技巧
（2）如何将网卡设置为混杂模式主要是通过底层的程序或者说是底层驱动来实现，一般分为两类： Linux平台常利用Libpcap实现网卡底层数据的获取。 Windows平台常利用WinPcap实现网卡底层数据的获取。
专业务实
学以致用
任务设计、规划
已经学习了入侵检测的基本原理与概念 , 本任务是要对整体企业园区网络实施网络入侵检测（NIDS）。
企业总部
防火墙路由器互联网
攻击者
HIDS
NIDS 专业务实学以致用
任务实施及方法技巧
1、交换式以太网中网络入侵检测系统的部署
由于交换机对数据帧进行了过滤与转发。如何获取网络主干流量并进行入侵检测分析及处理呢？解决的办法是：多数可网管交换机的支持端口分析(SPAN)或端口镜像（Port Monitor) 。如果对交换机配置端口镜像，用户可将IDS 系统接到镜像目的端口上，流经镜像源端口的数据都可被以复制的方式发送到镜像目的端口上。

snort入侵检测实验报告

实验：入侵检测系统（Snort）的安装与配置一、实验目的学会WINDOWS下SNORT的安装与配置二、实验环境WinXP虚拟机三、实验步骤与结果一．在“我的电脑”中C盘中建立文件夹“zhangxiaohong”二．安装WinPcap，运行WinPcap_4_1_2.zip，默认安装。

三．安装mysql，运行mysql-5.0.22-win32.zip，选择自定义安装选择安装路径C:\zhangxiaohong\mysql 下，安装时注意：端口设置为3306（以后要用到），密码本实验设置成123四．安装apache1.运行apache_2.2.4-win32-x86-no_ssl.zip，安装到c:\zhangxiaohong\Apache2.安装Apache，配置成功一个普通网站服务器3.出现Apache HTTP Server 2.0.55的安装向导界面，点“Next”继续4.确认同意软件安装使用许可条例，选择“I accept the terms in the licenseagreement”，点“Next”继续5.将Apache安装到Windows上的使用须知，请阅读完毕后，按“Next”继续6.选择安装类型，Typical为默认安装，Custom为用户自定义安装，我们这里选择Custom，有更多可选项。

按“Next”继续7.出现选择安装选项界面，如图所示，左键点选“Apache HTTP Server 2.0.55”，选择“This feature, and all subfeatures, will be installed on local hard drive.”8.即“此部分，及下属子部分内容，全部安装在本地硬盘上”。

点选“Change...”，手动指定安装目录。

9.我这里选择安装在“C:\zhangxiaohong\Apache”，各位自行选取了，一般建议不要安装在操作系统所在盘，免得操作系统坏了之后，还原操作把Apache配置文件也清除了。

snort 安装与配置

Linux防入侵---snort的安装与配置作者：计世网特约撰稿余俊松 2006-07-10 14:18:45入侵检测系统（IDS）是对计算机和网络系统资源上的恶意使用行为进行识别和响应的处理系统，它像雷达警戒一样，在不影响网络性能的前提下，对网络进行警戒、检测，从计算机网络的若干关键点收集信息，通过分析这些信息，查看网络中是否有违反安全策略的行为和遭到攻击的迹象，从而扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。

一般来说，IDS是作为防火墙的补充，所以IDS一般处于防火墙之后，可以对网络活动进行实时检测，并根据情况记录和禁止网络活动。

入侵检测系统IDS根据工作的重点不同，可分为基于主机的入侵检测系统和基于网络的入侵检测系统。

入侵检测系统构成一般分为，两个部分一个部分是检测的部分（Sensor），一部分是处理报警结果的控制台。

不同的入侵检测的构成也不太一样大致都具有控制台和Sensor两个基本部分，基于主机的入侵检测多半在主机上安装一个代理程序来收集系统信息向Sensor汇报。

入侵检测系统的检测信息来源都是通过自身的检测部分Sensor 得到的。

基于网络的入侵检测，主要是通过对网络数据包的截取分析，来查找具有攻击特性和不良企图的数据包的。

在网络里基于网络的入侵检测系统的检测部分Sensor 一般被布置在一个交换机的镜象端口（或者一个普通的HUB任意端口），听取流经网络的所有数据包，查找匹配的包，来得到入侵的信息源。

基于主机的入侵检测系统的Sensor 不可能直接从系统内部获取信息的，它是要通过一个事先做好的代理程序，安装在需要检测的主机里的，这些代理程序主要收集系统和网络日志文件，目录和文件中的不期望的改变，程序执行中的不期望行为，物理形式的入侵信息。

基于网络的入侵检测系统的检测端Sensor一般被布置在网络的核心交换机，或者部门交换的交换机的镜象端口（采取把Sensor 放在核心交换机器的镜像端口还是部门交换机的镜像端口，主要由网络的流量和客户机的数量，以及入侵检测的处理能力和网络发生攻击的频繁程度来定的）在网管的机器上，安装上入侵检测系统的控制台，做报警处理，在重要的服务器或者有必要的客户端安装代理程序收集系统和网络日志等系统信息，寻找具有攻击特性的数据包。

实验8：入侵检测软件snort的安装与使用

实验八入侵检测系统snort的安装与使用一、实验序号：8二、实验学时：2三、实验目的（1）理解入侵检测的作用和检测原理。

（2）理解误用检测和异常检测的区别。

（3）掌握Snort的安装、配置。

（4）掌握用Snort作为基于主机的入侵检测系统(HIDS)的使用。

四、实验环境每2位学生为一个实验组，使用2台安装Windows 2000/XP的PC机，其中一台上安装Windows平台下的Snort 2.9软件；在运行snort的计算机上，安装WinpCap4.1.2程序。

五、实验要求1、实验任务（1）安装和配置入侵检测软件。

（2）查看入侵检测软件的运行数据。

（3）记录并分析实验结果。

2、实验预习（1）预习本实验指导书，深入理解实验的目的与任务，熟悉实验步骤和基本环节。

（2）复习有关入侵检测的基本知识。

六实验背景1 基础知识入侵检测是指对入侵行为的发现、报警和响应，它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或者系统中是否有违反安全策略的行为和被攻击的迹象。

入侵检测系统（Intrusion Detection System， IDS）是完成入侵检测功能的软件和硬件的集合。

随着网络安全风险系数不断揭帖，防火墙作为最主要的安全防范手段已经不能满足人们对网络安全的需求。

作为对防火墙极其有益的补充，位于其后的第二道安全闸门IDS能够帮助网络系统快速发现网络攻击的发生，有效扩展系统管理员的安全管理能力及提高信息安全基础结构的完整性。

IDS能在不影响网络及主机性能的情况下对网络数据流和主机审计数据进行监听和分析，对可疑的网络连接和系统行为进行记录和报警，从而提供对内部攻击、外部攻击和误操作的实时保护。

2 入侵检测软件Snort简介Snort是一款免费的NISD，具有小巧、易于配置、检测效率高等我，常被称为轻量级的IDS。

Snort具有实时数据流量分析和IP数据包日志分析能力，具有跨平台特征，能够进行协议分析和对内容的搜索或匹配。

windows下Snort的配置与使用

windows下Snort的配置与使用实验1：Snort的配置与使用1实验目的和要求学习Snort的配置与使用，要求：1）掌握Snort入侵检测环境的搭建；2）掌握Snort的配置与使用；3）熟悉Snort的工作原理。

2实验设备及材料1）系统环境：Windows XP/Windows 20032）软件安装：JDK：jdk-6u17-windows-i586.exe（可选）TOMCAT：apache-tomcat-5.5.30.exe（可选）MySQL：mysql-5.5.15-win32.msiWinPcap：WinPcap_4_1_2.exeSnort：Snort_2_9_1_Installer.exeIDSCenter：idscenter109b21.zip3实验内容3.1软件安装与配置3.1.1 JDK安装与配置软件版本：jdk-6u17-windows-i586.exe双击jdk-6u17-windows-i586.exe安装JDK，安装完后设置环境变量：变量名变量值java_home C:\Program Files\Java\jdk1.6.0_17classpath C:\Program Files\Java\jdk1.6.0_17\jre\libpath C:\Program Files\Java\jdk1.6.0_17\binjava –version // 查看软件版本信息，确定软件是否安装成功3.1.2 Tomcat安装与配置软件版本：apache-tomcat-5.5.30.exe、apache-tomcat-5.5.30-admin.zip 1）安装apache-tomcat-5.5.30.exe安装过程中会要求指定JRE的安装目录，确定端口，用户名和密码（用于可视化配置界面登录）。

启动Tomcat：验证安装是否成功：http://localhost:8088/http://127.0.0.1:8088/2）安装pache-tomcat-5.5.30-admin.zip首先解压apache-tomcat-5.5.30-admin.zip，用解压后的文件替换以下tomcat 文件。

Snort的配置与使用

入侵检测技术
第六章 Snort的配置与使用
本章内容
Snort的安装与配置 Snort的总体结构分析 Snort的使用 Snort的规则使用Snort构建入侵检测系统实例
6.1 SNORT的安装与配置
3
一、Snort简介
1. Snort的组成
数据包解码器检测引擎日志和报警子系统
$ChartLib_path=”C:\php\jpgraph\src”;
配置并启动snort
打开C:\snort\etc\snort.conf文件，将文件中的下列语句： include classification.config include reference.config
四、Snort的配置
配置预处理器
是在基于规则的模式匹配之前运行的模块，通常为规则匹配进行一些前期的处理。如：IP分片重组（frag2）、TCP流重组(stream4) 、各种应用层解码等。根据需要配置，通常采用默认值.
配置输出插件
主要在报文匹配某条规则需要输出时，调用相应的输出插件。根据snort.conf说明进行相应配置。
<C:\snort\contrib\create_mysql
需要了解的Mysql命令：
显示数据库列表: show databases;
显示库中的数据表： use mysql; show tables;
建库与删库： create database 库名; drop database 库名;
定制snort规则集
#include <被包含文件的完整路径和文件名>
include $RULE_PATБайду номын сангаас/local.rules

snort入侵检测实验报告

实验：入侵检测系统（Snort的安装与配置一、实验目的学会WINDOW下SNORT勺安装与配置二、实验环境WinXP虚拟机三、实验步骤与结果一.在"我的电脑”中C盘中建立文件夹"zha ngxiaoh ong二.安装WinPcap,运行，默认安装。

三.安装mysql，运行5.0.22，选择自定义安装选择安装路径C:\zhangxiaohong'mysql下，安装时注意：端口设置为3306 （以后要用到），密码本实验设置成123四.安装apache1. 运行2.2.4，安装到c:\zhangxiaohong\Apache2. 安装Apache，配置成功一个普通网站服务器3. 出现Apache HTTP Server 2.0.55 的安装向导界面，点“ Next”继续4. 确认同意软件安装使用许可条例，选择"I accept the terms in the license agreement”，点"Next ”继续5. 将Apache安装到Windows上的使用须知，请阅读完毕后，按"Next”继续6. 选择安装类型，Typical 为默认安装，Custom 为用户自定义安装，我们这里选择Custom ,有更多可选项。

按"Next ”继续7. 出现选择安装选项界面，如图所示，左键点选"Apache HTTPServer 2.0.55 ”：选择"This feature, and all subfeatures, will be in stalled on local hard drive. ”8. 即“此部分，及下属子部分内容，全部安装在本地硬盘上”。

点选 "Cha nge... ”，手动指定安装目录。

9. 我这里选择安装在“ C:\zhangxiaohong\Apache "，各位自行选取了，一般建议不要安装在操作系统所在盘，免得操作系统坏了之后，还原操作把 Apache 配置文件也清除了。

Snort 的安装步骤实训报告()

Snort 的安装步骤实训报告1.安装apache2.2.2将程序装入。

完成后开启服务，测试成功，如图所示：2.添加Apache对PHP的支持：@解压缩php-5.1.6-win32.zip至c:\php5目录下。

（在c:\提前建好的文件夹php5）@复制php5ts.dll文件到%systemroot%\system32（%systemroot%是windows安装目录）@复制php.ini-dist（修改文件名）至%systemroot%目录下，更名为php.ini3.打php补丁：有些版本不需要打补丁http.exe.manifest复制到c:\apache\bin后，重启apache服务不管用了！@解压缩php5apache2.dll-php5.1.x.zip到c:\php5apache2.dll-php5.1.x目录@将c:\ php5apache2.dll-php5.1.x.zip目录下的php5apache2.dll文件复制到c:\php5目录@将c:\ php5apache2.dll-php5.1.x.zip目录下的http.exe.manifest文件复制到c:\apache\bin目录下@运行c:\php5apache2.dll-php5.1.x目录下的vcredist_x86.exe文件@若vcredist_x86.exe不能安装，则安装.net2.0框架4.添加Apache对gd库的支持：@修改%systemroot%下的php.ini：找到“extension=php_gd2.dll”,去掉前面的“；”@拷贝c:\php5\ext\下的php_gd2.dll文件到%systemroot%\下@在c:\apache\apache2\conf\http.conf文件中添加下列语句：LoadModule php5_module c:/php5/php5apache2.dllAddType application/x-httpd-php .php5.测试php安装是否成功：在c:\apache\apache2\htdocs目录下新建test.php文件，在其中输入下列命令：<?phpinfo () ; ?>使用http://localhost/test.php测试php是否安装成功，如图所示：6.安装WinPcap：(网络数据包截取驱动程序)7.安装Snort@采取默认安装完成即可@安装完成使用下列命令行验证是否安装成功：C:\snort\bin>snort -W安装成功完成后如图：测试成功后，如图所示：8.安装和配置MySQL：(采取默认安装)安装完毕需要建立Snort的一些相关数据库，步骤如下：@建立Snort运行必须的Snort库和Snort_archive库：C:\mysql\bin>mysql -u root -p *** (此处口令为安装时设定的) create database snort;create database snort_archive;9.将c:\snort\schemas目录下的create_mysql复制到c:\mysql\bin下，建立Snort运行必须的数据表，实现语句为：mysql -u root –puse snortsource create_mysqlshow tables;use snort_archivesource create_mysql******************************10.为MsSQL建立snort和acid账号，使IDSCenter或acid能正常访问MySQL中与Snort相关的数据文件，实现语句为:grant usage on *.* to "acid"@"localhost" identified by "acidtest";grant usage on *.* to "snort"@"localhost" identified by "snorttest";11.为acid用户和snort用户分配相关权限，实现语句为：grant select,insert,update,delete,create,alter on snort .* to "snort"@"localhost";grant select,insert,update,delete,create,alter on snort .* to "acid"@"localhost";grant select,insert,update,delete,create,alter on snort_archive .* to"snort"@"localhost";grant select,insert,update,delete,create,alter on snort_archive .* to"acid"@"localhost";12.启用PHP对MySQL的支持:@修改php.ini：找到“extension=php_mysql.dll”，去掉前面的“；”@复制c:\php5\ext下的php_mysql.dll文件到%systemroot%下。

计算机网络安全实验2_snort与其基础环境的安装配置

《计算机网络安全》实验报告实验序号： 2 实验项目名称：snort与其基础环境的安装配置学号姓名专业班级20网络工程实验地点指导教师实验时间2022-10-13 snort与其基础环境的安装配置【实验目的】1)熟悉基础环境的搭建和snort的安装配置【实验原理】1)Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。

Snort 通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log （不报警但记录网络流量）五种响应的机制。

Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。

例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。

【实验环境】CentOS6.5：192.168.1.2【实验步骤】一、安装snort+barnyard21.1进入/home/software目录，解压libpcap-1.0.0.tar.gz。

如图1所示图11.2进入目录libpcap-1.0.0的目录执行“./configure”命令进行配置。

如图2所示图21.3执行命令“make && make install”，进行libpcap的编译安装。

如图3所示图31.4进入目录“/home/software”，ls查看文件，执行命令“tar zxvf daq-2.0.4.tar.gz”，解压daq-2.0.4.tar.gz文件。

如图4所示图41.5使用cd命令切换到daq-2.0.4的目录下。

Snort的配置与使用

第7章 Snort的配置与使用
第7章 Snort的配置与使用
7.1 Snort的安装及配置 7.2 使用IDScenter配置Snort 7.3 Snort的测试 7.4 Snort命令参数及入侵检测实例 7.5 Snort的维护和升级
第7章 Snort的配置与使用
7.1 Snort的安装及配置
7.1.1 Snort软件的下载 Snort软件可以使用Web浏览器访问Snort的官方网站
WinPcap下载（在本书撰写之时，最新版本是4.0.2）。下载包括一个Windows
安装非常简单，只要连续单击“Next“按钮即可，如图 7.18所示。这样，WinPcap就可随时运行了。
第7章 Snort的配置与使用图7.18 默认安装WinPcan
第7章 Snort的配置与使用第三步：配置snort.conf文件。Snort的安装提示编辑
第7章 Snort的配置与使用
7.1.2 Snort所需的Windows环境编者的操作系统为WindowsXPsp2，在安装Snort之前需
要首先安装MySQL数据库，为了与所用Snort的版本匹配，选择了MySQLServer4.1版。
1.MySQL的安装第一步：点击Setup.exe安装文件,选择“custom”自定义安装，如图7.2 第二步：设置安装目录为c:＼mysql，其它步骤默认安装，如图7.3所示。
开命令提示符窗口（或者进行“开始→所有程序→附件→命
在命令提示符下输入“MySQL uroot p”,并按提示输入安装时给root用户设置的密码“123”（如果没有定义系统环境变量，或定义了没有生效，则要在其安装目录下运行，即使用如下命令cdc:＼mysql＼bin_>mysql－u root－p），如图7.10所示。

snort入侵检测系统使用实验

《网络安全技术》实验报告姓名系别实验地点A406学号年级班实验时间2012-5-24 成绩评定教师签字实验项目一、实验目的1. 通过实验进一步理解IDS的原理和作用；2. 学习安装、配置和使用Snort入侵检测系统；3. 学习分析Snort警报文件；4. 结合指定的攻击特征，学习如何创建检测规则。

二、实验内容1. 学习Snort基础知识；2. 安装工具软件（snort、winpcap和nmap）扫描工具；3. 使用snort进行Xmax扫描检测和目录遍历攻击；4. 创建和测试规则；三、实验步骤（一）软件安装1. 打开计算机安装nmap，安装时全部按照默认设置直至安装成功。

2. 如果计算机上没有安装winpcap4.1或以上版本，则需要安装，安装时全部按照默认设置直至安装成功。

3. 打开虚拟机，启动windows server 2003，安装snort，将snort安装在C盘，安装时全部按照默认设置直至安装成功。

4. 在虚拟机上安装winpcap，安装时全部按照默认设置直至安装成功。

（二）将snort用作嗅探器snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。

嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。

数据包记录器模式把数据包记录到硬盘上。

网路入侵检测模式是最复杂的，而且是可配置的。

我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。

在虚拟机上（IP：172.28.15.150）：1.单击[开始]-[运行]并输入cmd进入命令行。

2.在命令行中键入cd c:\snort\bin，回车确认。

3．键入snort –h，回车确认，这将显示可以与snort一起使用的命令行选项的帮助文件（认真看一下每一个选项的涵义）。

3.键入snort –vde，并回车确认。

在宿主机上（IP：172.28.15.151）：5.单击[开始]-[运行]并输入cmd进入命令行。

实训-Snort安装与配置

Snort安装与配置Snort是免费NIPS及NIDS软件，具有对数据流量分析和对网络数据包进行协议分析处理的能力，通过灵活可定制的规则库(Rules)，可对处理的报文内容进行搜索和匹配，能够检测出各种攻击，并进行实时预警。

Snort支持三种工作模式：嗅探器、数据包记录器、网络入侵检测系统，支持多种操作系统，如Fedora、Centos、FreeBSD、Windows等，本次实训使用Centos 7，安装Snort 2.9.11.1。

实训任务在Centos 7系统上安装Snort 3并配置规则。

实训目的1．掌握在Centos 7系统上安装Snort 3的方法；2．深刻理解入侵检测系统的作用和用法；3．明白入侵检测规则的配置。

实训步骤1．安装Centos 7 Minimal系统安装过程不做过多叙述，这里配置2GB内存，20GB硬盘。

2．基础环境配置根据实际网络连接情况配置网卡信息，使虚拟机能够连接网络。

# vi /etc/sysconfig/network-scripts/ifcfg-eno16777736TYPE="Ethernet"BOOTPROTO="static"DEFROUTE="yes"IPV4_FAILURE_FATAL="no"NAME="eno16777736"UUID="51b90454-dc80-46ee-93a0-22608569f413"DEVICE="eno16777736"ONBOOT="yes"IPADDR="192.168.88.222"PREFIX="24"GATEWAY="192.168.88.2"DNS1=114.114.114.114~安装wget，准备使用网络下载资源：# yum install wget –y将文件CentOS-Base.repo备份为CentOS-Base.repo.backup，然后使用wget下载阿里yum 源文件Centos-7.repo：# mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup#wget –O /etc/yum.repos.d/CentOS-Base.repo /repo/Centos-7.repo更新yum源，并缓存：# yum clean all# yum makecache# yum -y update3．安装Snort安装epel源：# yum install -y epel-release安装依赖：经过前面的设置阿里源、源更升级后，将能够很顺利的安装完依赖。

Snort入侵检测系统安装配置 10-27

Snort入侵检测系统安装配置1.实验目的实现流量监控，实现入侵检测2.拓扑图3.拓扑图介绍通过搭建snort检测系统，对局域网内的计算机进行流量监控，实现入侵检测4.实验原理5.实验步骤①、libpcap是linux平台下的网络数据包捕获的含书包，大多数网络监控软件都是以它作为基础在安装libpcap前，还要安装两个软件bison、flex[root@boss snort]#wget ftp:///gnu/bison/bison-2.4.1.tar.bz2[root@boss snort]#tar xf bison-2.4.1.tar.bz2[root@boss snort]#cd bison-2.4.1[root@boss snort]# ./configure && make && make install[root@boss snort]#wget/project/flex/flex/flex-2.5.35/flex-2.5.35.tar.bz2[root@boss snort]#tar xf flex-2.5.35.tar.bz2[root@boss snort]#cd flex-2.5.35[root@boss snort]#./configure && make && make install安装libpcap[root@boss snort]#wget /release/libpcap-1.0.0.tar.gz[root@boss snort]#tar zxvf libpcap-1.0.0.tar.gz[root@boss snort]#cd libpcap-1.0.0[root@boss snort]#./configure --prefix=/usr/local/libpcap[root@boss snort]#make && make install②、daq，snort编译时会用到该库[root@boss snort]#wgetftp:///sites//s/sn/snort.mirror/Snort%202.9.4/daq-2.0.0.t ar.gz[root@boss snort]#tar zxvf daq-2.0.0.tar.gz[root@boss snort]#cd daq-2.0.0[root@boss snort]#./configure && make && make install③、libdnet 通用网络安全开发包[root@boss snort]#wgetftp:///slacky/slackware-12.2/libraries/libdnet/1.11/src/libdnet-1.11.tar.gz [root@boss snort] #tar zxvf libdnet-1.11.tar.gz[root@boss snort] #cd libdnet-1.11[root@boss snort]#./configure && make && make install④、安装PCRE库[root@boss snort]# wget ftp:///pub/software/programming/pcre/pcre-8.34.tar.gz [root@boss snort]# tar zxvf pcre-8.34.tar.gz[root@boss snort]# cd pcre-8.34[root@boss snort]# ./configure && make && make install⑤、编译安装snort[root@boss snort]#wget /mirrors/snort/snort-2.9.2.1.tar.gz[root@boss snort]#cd snort-2.9.2.1[root@boss snort]#./configure --with-mysql=/usr/local/mysql--with-libpcap-includes=/usr/local/libpcap/include --with-libpcap-libraries=/usr/local/libpcap/lib [root@boss snort]#make && make install⑥、snort的相关配置[root@boss snort]#mkdir /etc/snort ------snort的主配置文件目录[root@boss snort]#mkdir /var/log/snort -------------snort的日志文件目录[root@boss snort]#groupadd snort ---------创建snort用户组[root@boss snort]#useradd -g snort -s /sbin/nologin snort ------------创建snort用户[root@boss snort]# wgetftp:///sites//s/sn/snorty/snortrules-snapshot-2920.ta r.gz[root@boss snort]# tar zxvf snortrules-snapshot-2920.tar.gz -C /etc/snort/[root@boss snort]#cd /etc/snort/[root@boss snort]#lsetc preproc_rules rules so_rules[root@boss snort]#cp etc/* /etc/snort/[root@boss snort]#chown snort.snort /var/log/snort----------修改相关目录的属主和属组[root@boss snort]#touch /var/log/snort/alert[root@boss snort]#chown snort.snort /var/log/snort/alert[root@boss snort]#chmod 600 /var/log/snort/alert ---------------防止其他用户修改[root@boss snort]#mkdir /usr/local/lib/snort_dynamicrules[root@boss snort]#cp/etc/snort/so_rules/precompiled/RHEL-6-0/x86-64/2.9.2.0/*.so /usr/local/lib/snort_dynamicrules/ -------------库文件[root@boss snort]#vim /etc/snort/snort.conf#修改下面这几行var RULE_PATH /etc/snort/rulesvar SO_RULE_PATH /etc/snort/so_rulesvar PREPROC_RULE_PA TH /etc/snort/preproc_rulesoutput unified2: filename snort.log, limit 128⑦、mysql数据库的修改[root@boss snort]#mysql –u root -p[root@boss snort]#mysql> create database snort; --------------创建snort数据库[root@boss snort]#mysql> grant all privileges on snort.* to snort@'localhost' with grantoption ; -------------给snort用户授权[root@boss snort]#mysql> set password for snort@localhost = password('123456'); --------这也是一种修改mysql用户密码的方式[root@boss snort]# cd /opt/snort/snort-2.9.2.1/schemas/[root@boss schemas]#mysql –u root –p < create_mysql snort[root@boss snort]#[root@boss snort]#[root@boss snort]#[root@boss snort]#⑧、Base解压[root@boss snort]#wget/projects/secureideas/files/BASE/base-1.4.5/base-1.4.5.tar.gz[root@boss opt]# tar zxvf base-1.4.5.tar.gz -C /usr/local/apache2/htdocs/yzx01com/[root@boss yzx01com]# mv base-1.4.5 base⑨、pear的安装（Pear是PHP扩展与应用库的缩写，它是一个php扩展及应用的一个代码仓库）[root@boss ~]# /usr/local/php5/bin/pear install mage_Graph-alpha Image_Canvas-alpha Image_Color Numbers_Roman Mail_Mime Mail //php编译安装在/usr/local/php5目录下[root@boss base]# cp world_map6.png world_map6.txt/usr/local/php5/lib/php/Image/Graph/Images/Maps //复制base文件到maps中⑩、安装adobd[root@boss snort]wget/project/adodb/adodb-php5-only/adodb-511-for-php5/adodb511.zip [root@boss opt]# unzip adodb511.zip[root@boss opt]# mv adodb5 /usr/local/apache2/htdocs/yzx01com/adodb/⑪、base的安装[root@boss yzx01com]#chown daemon.daemon /usr/local/apache2/htdocs/yzx01com/base/ -R 在浏览器中输入/base点击Continue选择简体中文，下面输入adodb的路径/usr/local/apache2/htdocs/yzx01com/ad odb/ 然后点击Continue填入相关的mysql信息，点击continue设置管理账号密码，点击continue可以看到红色部分表示成功，继续下一步点击 Now continue to step 5...就可以看到base界面了⑫、页面配置完成后，还需要安装一下图标的插件，这个时候就要求php必须得支持gd了如果想让BASE起作用还得需要安装一些插件，必须联网才能安装//php编译安装在/usr/local/php5目录下[root@boss ~]# /usr/local/php5/bin/pear install image_Canvas-alpha[root@boss ~]# /usr/local/php5/bin/pear install image_Graph-0.8.0[root@boss ~]# /usr/local/php5/bin/pear install Numbers_Roman⑬、测试snort再次修改snort的配置文件[root@boss ~]#vim /etc/snort/snort.conf将 511 # output database: alert, <db_type>, user=<username> password=<password> test dbname=<name> host=<hostname>512 # output database: log, <db_type>, user=<username> password =<password> test dbname=<name> host=<hostname>这地方一定要注意，如果使用的是snort-2.9.2.1版本，请你务必按照格式改，改版本存有bug，每一项后面都要加","而且之间不能有空格！要不然会报将 110 var WHITE_LIST_PATH /etc/snort/rules111 var BLACK_LIST_PATH /etc/snort/rules488 whitelist $WHITE_LIST_PATH/white_list.rules, \489 blacklist $BLACK_LIST_PATH/black_list.rules这四行注释掉，即在每行前面加#将下面三行的# 去掉594 include $PREPROC_RULE_PATH/preprocessor.rules595 include $PREPROC_RULE_PATH/decoder.rules596 include $PREPROC_RULE_PATH/sensitive-data.rules⑭、测试snort[root@boss ~]#snort -c /etc/snort/snort.conf如果可以看到这只小猪，那么就证明你成功了在这一步完成后，snort不会自己退出，需要使用ctrl+c自己终止退出。

网络信息安全实验报告：Snort的安装与使用

5）cmd打开执行命令：
C:\snort\bin>snort–w
//选择正确的物理网卡号4
C:\snort\bin>snort–i 4–c ..\etc\snort.conf–l ..\log\
//进入检测模式
2：使用另外一台电脑对Snort所在主机发起一次端口扫描攻击，将Snort捕获结果复制到实验报告中。
思考：Snort检测结果的准确率如何？如何提高Snort的检测速度与准确率
1）Snort成功发现了部分扫描动作，NMAP的XMAS圣诞树扫描成功被识别，但对于其他端口的探测如161、162、705、3389等端口的被作为警告记录了下来但没有识别，还有对135、445等端口的扫描没有被发现。总体感觉，准确率中等（优秀、良好、中等、较差四级别）。
陈伟
实验类型
验证
实验学时
2
பைடு நூலகம்实验时间
2014.5.16
一、实验目的和要求
1. 通过实验掌握轻量级入侵检测系统Snort的安装。
2. 掌握Snort的配置与使用方法，理解基于误用检测的入侵检测系统工作原理。
二、实验环境(实验设备)
1.安装Windows 2000/2003/XP操作系统并连接网络的一台PC机。
2.软件：Winpcap,Snort
三、实验原理及内容
实验题目1：在Windows 环境下安装和使用Snort。要求给出使用的Snort的命令参数。
实验题目2：使用另外一台电脑对Snort所在主机发起一次端口扫描攻击，将Snort捕获结果复制到实验报告中。（思考：Snort检测结果的准确率如何？如何提高Snort的检测速度与准确率）
2）可以通过编写更好的规则来提高准确率，可以给规则定下更多的前提条件。可以通过修改Libpcap下的伯克利包过滤器的过滤规则筛选出更明显的存在问题的数据包，并将buffer缓冲区扩大，采用多线程技术提高处理速度。

入侵检测实验报告 Windows环境下snort的安装及使用

实验报告学院：计算机院专业：信息安全班级：9.Winpcap安装包实验步骤1。

安装Apache_2.0.46：（1）安装在默认文件夹C：\apache下：（2)打开配置文件C:\apache\apache2\conf\httpd。

conf，将其中的Listen 8080，更改为Listen 50080：（3)进入命令行运行方式，转入C：\apache\apache\bin子目录，输入下面命令：C：\apache\apache2\bin>apache –k install：2.安装PHP（1）解压缩php—4.3.2-Win32。

zip至C:\php。

（2）复制C：\php下php4ts。

dll 至%systemroot％\System32，php.ini—dist 至%systemroot％\php.ini。

（3）添加gd图形支持库，在php。

ini中添加extension=php_gd2.dll。

如果php.ini 有该句，将此句前面的“；"注释符去掉（4）添加Apache对PHP的支持。

在C：\apahce\apache2\conf\httpd。

conf中添加：LoadModule php4_module “C:/php/sapi/php4apache2.dll”AddType application/x-httpd-php .php（5）进入命令行运行方式，输入下面命令:Net start apache2（6）在C：\apache\apche2\htdocs目录下新建test.php测试文件,test。

php文件内容为<?phpinfo()；?〉使用http：//127.0。

0。

1:50080/test。

php测试3.安装snort4。

安装配置Mysql数据库(1)安装Mysql到默认文件夹C:\mysql(2）在命令行方式下进入C:\mysql\bin，输入下面命令：C：\mysql\bin\mysqld ––install （3）在命令行方式下输入net start mysql,启动mysql服务（4）进入命令行方式,输入以下命令C：\mysql\bin〉mysql –u root –p（5）在mysql提示符后输入下面的命令（（Mysql〉)表示屏幕上出现的提示符，下同）：（Mysql〉）create database snort;（Mysql>）create database snort_archive；（6）输入quit命令退出mysql后，在出现的提示符之后输入：(c：\mysql\bin>）Mysql –D snort –u root –p<C:\snort\contrib\create_mysql（c：\mysql\bin〉）Mysql –D snort_archive –u root –p〈C:\snort\contrib\create_mysql（7）再次以root用户身份登录mysql数据库，在提示符后输入下面的语句：(mysql>）grant usage on *.＊to “acid”＠”loacalhost” identified by “acidtest";（mysql>）grant usage on *。