IDS入侵检测系统搭建(Linux )

Snort 它是一个多平台的、实时流量分析的入侵检测系统。Snort是一个基于libpcap的数据包嗅探器并可以作为一个轻量级的网络入侵检测系统。

snort有三种工作模式:
1、嗅探器
嗅探器模式:是从网络上读取数据包并作为连续不断的流显示在终端上。
2、数据包记录器
数据包记录器:是把数据包记录到硬盘上。
3、网络入侵检测系统。
网路入侵检测:它是可配置的(所以会相对是比较复杂的)。


工作原理:
是因为能够对网络上的数据包进行抓包,但区别于嗅探器的它能够根据自定义规则来进行相应和处理。根据以下的规则有五种响应的机制。
Activation (报警并启动另外一个动态规则链)
Dynamic (由其它的规则包调用)
Alert (报警)
Pass (忽略)
Log (不报警但记录网络流量)


Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包,抓包时需将网卡设置为混杂模式,根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包;然后将捕获的数据包送到包解码器进行解码。


Snort的运行:
主要是通过各插件协同工作才使其功能强大,所以在部署时选择合适的数据库,Web服务器,图形处理程序软件及版本也非常重要。


不足:
Snort之所以说他是轻量型就是说他的功能还不够完善,比如与其它产品产生联动等方面还有待改进;Snort由各功能插件协同工作,安装复杂,各软件插件有时会因版本等问题影响程序运行;Snort对所有流量的数据根据规则进行匹配,有时会产生很多合法程序的误报。


入侵检测系统:IDS
入侵防护系统:IPS


IDS是防护检测、IPS是防护功能;
SessionWall :CA公司出品、图形界面、可以流量和程序全面监控通过报警和阻塞规则进行相应。
RealSecure :ISS RealSecure是一种实时监控软件,它包含控制台、网络引擎和系统代理三个部分组成。RealSecure的模板包括安全事件模板、连接事件模板和用户定义事件模板。
IDS从本质上可以分成两类:网络型IDS(NIDS)和主机型IDS(HIDS)这两种IDS。
基于主机的叫HIDS (软件)snort(用于没有被防火墙检测出来的入侵)。需要安装到被保护的主机、(可以查看流量、日志、用户行为和一些文件)
基于网络的叫NIDS (硬件)神州数码 H3C 都有(硬件产品),安装需要和交换机来结合的;


工作原理:
IDS监听端口:(收集它所关心的报文
特征比较:IDS 提取的流量统计特征值、与特征库比对;
报警:匹配度较高的报文刘来那个将被认为是进攻,IDS将报警。
【信息的收集 --- 分析– 检测是否报警】
基于主机的应用检测;也只装在重要的主机上面。
基于网络的入侵检测:就要部署在网络设备上。


IDS的部署位置(snort):

( 如果没有装IDS 的只能依靠路由的基本设置来保护内网 )


在linux下的应用:(示例)

平台:
Linux5.4
软件包:
adodb514.zip
(一种 PHP 存取数据库的中间函式组件、对php优化的一个数据库支持;)
base-1.4.5.tar.gz
(是一个用来查看Snort IDS告警的Web应用程序)
snort-2.8.0.1-1.RH5.i386.rpm
(入侵检测系统)
snort-mysql-2.8.0.1-1.RH5.i386.rpm
(snort与数据库结合器件)
snortrules-snapshot-2.8.tar.gz
(入侵检测规则库)

更多详情见请继续阅读下一页的精彩内容

相关阅读:

Snort + Base 入侵检测配置

Ubuntu 12.04下安装Snort详解

Snort企业部署实战

Snort+base搭建IDS入侵检测系统

Linux平台Snort入侵检测系统实战指南

Ubuntu下Snort从编译、安装到调试全过程

linux

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:http://www.heiqu.com/7cebf01cfa7506c61166bd63e61c28b9.html