Snort分析與可視化應(yīng)用.pdf

1、隨著網(wǎng)絡(luò)的發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)的安全已經(jīng)成為一個(gè)國(guó)際化的問(wèn)題，每年全球因計(jì)算機(jī)網(wǎng)絡(luò)的安全系統(tǒng)被破壞而造成的經(jīng)濟(jì)損失達(dá)數(shù)百億美元。Snort是一個(gè)基于libpcap的輕量級(jí)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)(輕量級(jí)是指在檢測(cè)時(shí)盡可能少地影響網(wǎng)絡(luò)的正常操作),它具備一個(gè)優(yōu)秀的輕量級(jí)NIDS應(yīng)該具備的跨平臺(tái)操作和對(duì)系統(tǒng)影響最小等特征,并且允許管理員在短時(shí)間內(nèi)通過(guò)修改配置進(jìn)行實(shí)時(shí)的安全響應(yīng)。作為一個(gè)開放源代碼的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng),Snort具有非常好的可擴(kuò)展性和可移植

2、性，已經(jīng)成為眾多研究機(jī)構(gòu)和網(wǎng)絡(luò)安全提供商剖析的重要對(duì)象。Snort有3種工作模式:嗅探器、數(shù)據(jù)包記錄器、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)。它具有實(shí)時(shí)數(shù)據(jù)流量分析和日志IP網(wǎng)絡(luò)報(bào)文的能力，能夠進(jìn)行協(xié)議分析，對(duì)內(nèi)容進(jìn)行搜索和匹配。它能夠檢測(cè)各種不同的攻擊方式，對(duì)攻擊進(jìn)行實(shí)時(shí)報(bào)警。 本文Snort的整體架構(gòu)進(jìn)行了比較深入的研究。當(dāng)Snort啟動(dòng)時(shí)，它會(huì)根據(jù)配置文件中的信息，按行讀取出規(guī)則文件中的所有攻擊規(guī)則，形成一個(gè)三層鏈樹狀結(jié)構(gòu)，然后用libpca

3、p從網(wǎng)卡循環(huán)抓包，對(duì)之進(jìn)行TCP/IP協(xié)議解析，存儲(chǔ)于一個(gè)Packet數(shù)據(jù)結(jié)構(gòu)中，數(shù)據(jù)包的所有信息，都包含在Packet中。然后把包傳給預(yù)處理器進(jìn)行必要的預(yù)處理，如IP分片重組，TCP流重組等。接著傳送給檢測(cè)引擎，把數(shù)據(jù)包與規(guī)則鏈表樹進(jìn)行匹配，若匹配成功，則報(bào)警。因此，本文把Snort的整個(gè)檢測(cè)流程分為五個(gè)模塊：規(guī)則處理模塊，數(shù)據(jù)包捕獲與解碼模塊，預(yù)處理器模塊，檢測(cè)引擎模塊，報(bào)警與輸出模塊。針對(duì)各個(gè)模塊，介紹了相應(yīng)的數(shù)據(jù)結(jié)構(gòu)，算法，功能