ubuntu17.04下安裝開源入侵檢測工具snort

       snort是一款強大的開源跨平臺入侵檢測工具，支持linux，aix，windows等多平臺使用。Snort能夠對網絡上的數據包進行抓包分析，然後根據所定義的規則進行響應及處理。支持郵件，自定義腳本等告警響應方式。snort一般DMZ區域邊界，探測器分佈在各個區域，使用時可以和防火牆聯動。
在ubuntu17.04下使用源安裝snort非常簡單，使用官方源就可以安裝snort了。
1，確保/etc/apt/source.list文件內有可用的源列表
2，更新軟件包列表
root@compute-node:~#apt update
3，安裝snort服務
root@compute-node:~#apt install snort
4，安裝過程中會彈出窗口讓你設置監聽網段，根據自己的需要設置即可。
5，啓動snort服務
root@compute-node:~#service snort restart
6，檢查配置文件是否正確
root@compute-node:~#snort -T -c /etc/snort/snort.conf

配置文件正確時應顯示

7，打印snort監聽數據

root@compute-node:~#snort

這時所有被監測到的數據包都會被打印出來

8，設置一個簡單的icmp檢測規則

注：通過源安裝的snort服務默認配置文

件路徑在/etc/snort/下的snort.conf，/etc/snort/rules目錄存放snort檢測規則模版

root@compute-node:~#vim /etc/snort/rules/local.rules

alert icmp any any -> $HOME_NET any (msg:"ICMP Test NOW!!!"; classtype:not-suspicious; sid:1000001; rev:1;)

root@compute-node:~#vim /etc/snort/snort.conf

include $RULE_PATH/local.rules

9，啓動監聽模式

root@compute-node:~#snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i </interface>

注：</interface>爲要監聽的網卡

回車後snort就處於監聽狀態了，當前沒有監聽到被標記的數據包是是不會有回顯的

像這樣

我們剛剛定義的是icmp包監測，那麼當我們ping snort的主機的時候

監聽窗口就會實時打印出icmp數據了

snort還自帶很多檢測模版，像常見的http協議，ftp協議，smb協議，ppptp協議等數據包的監測，模版文件放在/etc/snort/rules目錄下，大家可以摸索摸索。