码迷,mamicode.com
首页 > 系统相关 > 详细

snort-2.9.16在ubuntu16.04环境下的安装,配置与运行

时间:2020-07-27 15:42:58      阅读:69      评论:0      收藏:0      [点我收藏+]

标签:bison   高级   ati   过程   检查   执行文件   tag   local   install   

snort 安装步骤
1:预装daq(数据采集器)。依赖flex、bison、libpcap
本次安装daq-2.0.7
  apt-get install flex、bison、libpcap
  下载daq安装包。
  tar -zxvf daq-2.0.7.tar.gz
  cd daq-2.0.7
  ./configure
  make
  make install
2:安装snort软件。依赖libpcre3-dev、libdumbnet-dev、zlib1g-dev
  本次安装snort2.9.16
  apt-get install libpcre3-dev、libdumbnet-dev、zlib1g-dev
  tar -zxvf snort2.9.16.tar.gz
  cd snort2.9.16
  ./configure --enable-sourcefire
  make
  make install
安装过程遇到的问题:
由于网络原因:需要将本地静态ip地址更改为动态获取的dhcp模式,可以先将/etc/network/interface文件中的static屏蔽,然后开启dhcp
这样子就可以通过外网直接使用apt-get包管理工具直接安装数据采集器和snort的依赖软件

3: 查找snort的可执行文件所在路径,然后加入到环境变量中
  whereis snort
  vim /etc/profile 在文本最后加入export PATH=$PATH:/usr/local/bin/snort
  source /etc/profile 重启环境变量

4:报错信息
  4.1 root@ubuntu:~# snort -v
  snort: error while loading shared libraries: libsfbpf.so.0: cannot open shared object file: No such file or directory
  解决方案:执行 ldconfig 即可

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

 

数据包记录器:
  如果要把所有的包记录到硬盘上,需要指定一个日志目录,该路径一定要存在,使用下面的命令
  snort -d(应用层数据) -e(链路层信息) -v(TCP/IP/ICMP包头信息到控制面板) -l ./snortLog

网络入侵检测系统:
  snort -d -l ./snortLog -h 172.171.16.0/24 -c snort.conf
  snort.conf 是规则集合,snort会对每个包的规则集进行匹配,发现这样的包就采取相应的措施。如果你不指定输出路径,snort会默认输出到/var/log/snort目录

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

snort 规则体中字段说明
1、 msg - 在报警和包日志中打印一个消息
2、 logto - 把包记录到用户指定的文件中而不是记录到标准输出
3、 ttl - 检查ip头的ttl的值
4、 tos- 检查ip头的tos域的值
5、 id - 检查ip头的分片id值
6、 ipoption- 检查ip头的option域
7、 fragbits- 检查ip头的分片标志位
8、 dsize - 检查包的数据部分大小
9、 content - 在包的数据部分中搜索指定的样式
10、 offset - content选项的修饰符,设定开始搜索的位置
11、 depth - content选项的修饰符,设定搜索的最大深度
12、 nocase - 指定对content字符串大小写不敏感
13、 content-list – 在数据包中搜索多种可能匹配
14、 flags -检查tcp flags的值
15、 seq - 检查tcp顺序号的值
16、 ack - 检查tcp应答(acknowledgement)的值
17、 itype - 检查icmp type的值
18、 icode - 检查icmp code的值
19、 session - 记录指定会话的应用层信息的内容
20、 icmp_id - 检查ICMP ECHO ID的值
21、 icmp_seq - 检查ICMP ECHO 顺序号的值
22、 ipoption - 监视IP option的特定代码
23、 rpc - 监视特定应用/进程调用的RPC服务
24、 resp - 主动反应(切断连接等)
25、 reference- 外部参考id
26、 sid- snort的规则id
27、 rev- 规则的修正号
28、 classtype- 规则的分类号
29、 priority- 规则的优先级
30、 uricontent- 在数据包的URI部分搜索指定的匹配
31、 tag- 高级记录动作
32、 ip_proto- ip头的协议值
33、 sameip- 源地址和目标地址相同
34、 stateless- 无状态连接
35、 regex- 通配符模式匹配

 

snort-2.9.16在ubuntu16.04环境下的安装,配置与运行

标签:bison   高级   ati   过程   检查   执行文件   tag   local   install   

原文地址:https://www.cnblogs.com/first-semon/p/13384776.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!