\r\n告警产生后，脚本将显示/var/log/snort/alert文件的最后18行信息。\r\n现在让我们来看看脚本的各个部门以及它是如何运作的。第52到55行的作用是提示用户输入ping包发送目标的地址，如果用户没有输入，脚本就会采用255.255.255.255这个地址，ping包就会作为广播包发送。\r\n第62行的作用是产生触发规则的ICMP包。注意在这里“7569643d3028726f6f74290a”\r\n事实上与“uid=0(root)”是等价的，这样的特征可以产生告警。\r\n 命令行参数-c3的作用是产生3个包。并且标准输入和错误都被重定向到/dev/null中去了，因此不会产生屏幕输出。你可以用“man ping”命令来察看ping命令的man page以获得更多的信息。\r\n 第64行到第73行的作用是检查ping命令的输出结果。输出的信息将显示ping命令执行结果的成功或者失败。如果命令失败，脚本就在这里退出，不再执行下面的过程。\r\n 如果告警成功产生，它们一定会出现在/var/log/snort/alert文件中。脚本88到93行用来检测这个文件是否存在，如果不存在，脚本就退出运行。\r\n 如果一切正常，第95行的作用就是显示/var/log/snort/alert文件的最后18行内容。\r\n 2．2．4．2 自动启动Snort并产生自动告警的脚本\r\n 如果你将Snort安装到/opt/snort目录下，你也可以用下面的脚本来自动启动和停止Snort并检验其工作是否正常。在运行这个脚本之前要确定Snort还没有启动，因为这个脚本将自己启动Snort。这个名为snort-test-auto.sh的脚本文件可以在本书的相关网站http://authors.phptr.com/rehman中找到。\r\n1 #!/bin/sh\r\n2 #\r\n3 ###############################################################\r\n4 # You are free to copy and distribute this script under #\r\n5 # GNU Public License until this part is not removed #\r\n6 # from the script. #\r\n7 ###############################################################\r\n8 # HOW TO USE #\r\n9 # #\r\n10 # Right after installation of Snort, run this script. #\r\n11 # It is assumed that snort executable is present in the #\r\n12 # /opt/argus/bin directory and all rules and configuration #\r\n13 # files are present under /opt/argus/etc/snort directory. #\r\n14 # If files are in other locations, edit the following location#\r\n15 # of variables. If you used the installation script provided #\r\n16 # along with this script, the files will be automatically #\r\n17 # located in appropriate directories. #\r\n18 # #\r\n19 # Note that the script starts and stops Snort by itself and #\r\n20 # you should make sure that Snort is not running at the time #\r\n21 # you run this script. #\r\n22 # #\r\n23 # It will generate alerts in /tmp/alert file similar #\r\n24 # to the following: #\r\n25 # #\r\n26 # [**] [1:498:3] ATTACK RESPONSES id check returned root [**] #\r\n27 # [Classification: Potentially Bad Traffic] [Priority: 2] #\r\n28 # 08/31-15:56:48.188882 255.255.255.255 -> 192.168.1.111 #\r\n29 # ICMP TTL:150 TOS:0x0 ID:0 IpLen:20 DgmLen:84 #\r\n30 # Type:0 Code:0 ID:45596 Seq:1024 ECHO REPLY #\r\n31 # #\r\n32 # These alerts are displayed at the end of the script. #\r\n33 ###############################################################\r\n34 #\r\n35\r\n36 PREFIX=/opt/snort\r\n37 SNORT=$PREFIX/bin/snort\r\n38 SNORT_CONFIG=$PREFIX/etc/snort.conf\r\n39 LOG_DIR=/tmp\r\n40 ALERT_FILE=$LOG_DIR/alert\r\n41 ALERT_FILE_OLD=$LOG_DIR/alert.old\r\n42 ADDRESS=\"255.255.255.255\"\r\n43\r\n44 clear\r\n45\r\n46 echo \"###############################################################\"\r\n47 echo \"# Script to test Snort Installation #\"\r\n48 echo \"# Written By #\"\r\n49 echo \"# #\"\r\n50 echo \"# Rafeeq Rehman #\"\r\n51 echo \"# rr@argusnetsec.com #\"\r\n52 echo \"# Argus Network Security Services Inc. #\"\r\n53 echo \"# http://www.argusnetsec.com #\"\r\n54 echo \"###############################################################\"\r\n55 echo\r\n56\r\n57 echo\r\n58 echo \"###############################################################\"\r\n59 echo \"The script generates three alerts in file /tmp/alert\"\r\n60 echo \"Each alert should start with message like the following:\"\r\n61 echo\r\n62 echo \" \\\"ATTACK RESPONSES id check returned root\\\" \"\r\n63 echo \"###############################################################\"\r\n64 echo\r\n65\r\n66 if [ ! -d $LOG_DIR ]\r\n67 then\r\n68 echo \"Creating log directory ...\"\r\n69 mkdir $LOG_DIR\r\n70\r\n71 if [ $? -ne 0 ]\r\n72 then\r\n73 echo \"Directory $LOGDIR creation failed\"\r\n74 echo \"Aborting ...\"\r\n75 exit 1\r\n76 fi\r\n77 fi\r\n78\r\n79 if [ -f $ALERT_FILE ]\r\n80 then\r\n81 mv -f $ALERT_FILE $ALERT_FILE_OLD\r\n82\r\n83 if [ $? -ne 0 ]\r\n84 then\r\n85 echo \"Can\'t rename old alerts file.\"\r\n86 echo \"Aborting ...\"\r\n87 exit 1\r\n88 fi\r\n89 fi\r\n90\r\n91 if [ ! -f $SNORT ]\r\n92 then\r\n93 echo \"Snort executable file $SNORT does not exist.\"\r\n94 echo \"Aborting ...\"\r\n95 exit 1\r\n96 fi\r\n97\r\n98 if [ ! -f $SNORT_CONFIG ]\r\n99 then\r\n100 echo \"Snort configuration file $SNORT_CONFIG does not exist.\"\r\n101 echo \"Aborting ...\"\r\n102 exit 1\r\n103 fi\r\n104\r\n105 if [ ! -x $SNORT ]\r\n106 then\r\n107 echo \"Snort file $SNORT is not executable.\"\r\n108 echo \"Aborting ...\"\r\n109 exit 1\r\n110 fi\r\n111\r\n112 echo \"Starting Snort ...\"\r\n113 $SNORT -c $SNORT_CONFIG -D -l /tmp 2>/dev/null\r\n114\r\n115 if [ $? -ne 0 ]\r\n116 then\r\n117 echo \"Snort startup failed.\"\r\n118 echo \"Aborting ...\"\r\n119 exit 1\r\n120 fi\r\n121\r\n122 echo\r\n123 echo \"Now generating alerts.\"\r\n124\r\n125 ping -i 0.3 -n -r -b $ADDRESS -p \"7569643d3028726f6f74290a\" -c3 2>/dev/\r\nnull >/dev/null\r\n126\r\n127 if [ $? -ne 0 ]\r\n128 then\r\n129 echo \"Alerting generation failed.\"\r\n130 echo \"Aborting ...\"\r\n131 exit 1\r\n132 else\r\n133 echo\r\n134 echo \"Alert generation complete\"\r\n135 echo\r\n136 fi\r\n137\r\n138 sleep 2\r\n139\r\n140 tail -n18 $ALERT_FILE 2>/dev/null | grep \"ATTACK RESPONSES id check\" >/\r\ndev/null\r\n141\r\n142 if [ $? -ne 0 ]\r\n143 then\r\n144 echo \"Snort test failed.\"\r\n145 echo \"Aborting ...\"\r\n146 exit 1\r\n147 fi\r\n148\r\n149 echo \"Stopping Snort ...\"\r\n150 pkill snort >/dev/null 2>&1\r\n151\r\n152 if [ $? -ne 0 ]\r\n153 then\r\n154 echo \"Snort stopping failed.\"\r\n155 echo \"Aborting ...\"\r\n156 exit 1\r\n157 fi\r\n158\r\n159 echo\r\n160 echo \"Done. Snort installation is working properly\"\r\n161 echo\r\n 也许你会注意到，如果脚本成功产生，这个脚本将在/tmp目录中创建告警文件。如果你运行脚本一切正常，你将看到下面的输出信息：\r\n###########################################################\r\n# Script to test Snort Installation #\r\n# Written By #\r\n# #\r\n# Rafeeq Rehman #\r\n# rr@argusnetsec.com #\r\n# Argus Network Security Services Inc. #\r\n# http://www.argusnetsec.com #\r\n###########################################################\r\n###########################################################\r\nThe script generates three alerts in file /tmp/alert\r\nEach alert should start with message like the following:\r\n\"ATTACK RESPONSES id check returned root\"\r\n##########################################################\r\nStarting Snort ...\r\nNow generating alerts.\r\nAlert generation complete\r\nStopping Snort ...\r\nDone. Snort installation is working properly
0:59:6C:9:8B -> FF:FF:FF:FF:FF:FF type:0x800\r\nlen:0xFC\r\n192.168.1.100:138 -> 192.168.1.255:138 UDP TTL:128 TOS:0x0 ID:48572\r\nIpLen:20 DgmLen:238\r\nLen: 218\r\n11 0E 82 D5 C0 A8 01 64 00 8A 00 C4 00 00 20 46 .......d...... F\r\n43 46 43 43 4E 45 4D 45 42 46 41 46 45 45 50 46 CFCCNEMEBFAFEEPF\r\n41 43 41 43 41 43 41 43 41 43 41 43 41 41 41 00 ACACACACACACAAA.\r\n20 41 42 41 43 46 50 46 50 45 4E 46 44 45 43 46 ABACFPFPENFDECF\r\n43 45 50 46 48 46 44 45 46 46 50 46 50 41 43 41 CEPFHFDEFFPFPACA\r\n42 00 FF 53 4D 42 25 00 00 00 00 00 00 00 00 00 B..SMB%.........\r\n00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................\r\n00 00 11 00 00 2A 00 00 00 00 00 00 00 00 00 E8 .....*..........\r\n03 00 00 00 00 00 00 00 00 2A 00 56 00 03 00 01 .........*.V....\r\n00 01 00 02 00 3B 00 5C 4D 41 49 4C 53 4C 4F 54 .....;.\\MAILSLOT\r\n5C 42 52 4F 57 53 45 00 0C 00 A0 BB 0D 00 42 41 \\BROWSE.......BA\r\n54 54 4C 45 43 4F 57 53 00 00 00 00 01 00 03 0A TTLECOWS........\r\n00 10 00 80 D4 FE 50 03 52 52 2D 4C 41 50 54 4F ......P.RR-LAPTO\r\n50 00 P.\r\n=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+\r\n11/20-16:20:38.459702 00:59:6C:9:8B -> 0:50:BA:5E:EC:25 type:0x800\r\nlen:0x3C\r\n192.168.1.100:2474 -> 192.168.1.2:22 TCP TTL:128 TOS:0x0 ID:4506\r\nIpLen:20 DgmLen:40 DF\r\n***A**** Seq: 0x9DAEFD9C Ack: 0xF568E2FA Win: 0x3F20 TcpLen: 20\r\n=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+\r\n11/20-16:20:38.460728 0:50:BA:5E:EC:25 -> 00:59:6C:9:8B type:0x800\r\nlen:0x86\r\n192.168.1.2:22 -> 192.168.1.100:2474 TCP TTL:64 TOS:0x10 ID:57303\r\nIpLen:20 DgmLen:120 DF\r\n***AP*** Seq: 0xF568E34A Ack: 0x9DAEFD9C Win: 0x6BD0 TcpLen: 20\r\nF9 7B 4B 96 3F C8 0A BC DF 9E EE 4F DA 27 6F B4 .{K.?......O.\'o.\r\n92 BD A7 C5 1D E4 35 AB DB BF 7B 56 B9 F8 BA A1 ......5...{V....\r\n86 BB FE 6E FD 41 55 FF D0 51 04 AF 73 80 13 29 ...n.AU..Q..s..)\r\nD7 62 67 A4 B5 0C 5F 32 30 36 81 C2 9C 31 53 AD .bg..._206...1S.\r\n3A 65 46 EE F1 52 59 ED 57 C7 6A 85 88 5A 3E D8 :eF..RY.W.j..Z>.\r\n=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
ing with TTL=100\"; \\\r\nttl:100\r\n 规则将在下一章详细讨论，对本次讨论来说，你只要知道这个规则将在遇到TTL为100的ICMP包的时候产生一个包含“Ping with TTL=100”文字信息的告警就可以了。这个规则并不关心包中的源地址或目的地址。我在我的Windows机器上用下面的命令来发送一个TTL=100的ICMP echo包。\r\nC:\\rrehman>ping -n 1 -i 100 192.168.1.3\r\nPinging 192.168.1.3 with 32 bytes of data:\r\nReply from 192.168.1.3: bytes=32 time=3ms TTL=255\r\nPing statistics for 192.168.1.3:\r\nPackets: Sent = 1, Received = 1, Lost = 0 (0% loss),\r\nApproximate round trip times in milli-seconds:\r\nMinimum = 3ms, Maximum = 3ms, Average = 3ms\r\nC:\\rrehman>\r\n 命令行选项“-n 1”用来指定仅仅发送一个ICMP包。“-i 100”用来使ICMP包中的TTL值等于100。可以在ftp://ftp.isi.edu/in-notes/rfc79 ... 凡扛袷降南晗感畔ⅰ�\r\n 当运行上面的命令的时候，Snort将捕获到这个数据包并产生一个告警。告警所纪录的信息的多少将依赖于特定的告警模式。下面我们来看在对一个包纪录的时候不同的告警模式的差异：\r\n 2.8.1 Fase模式\r\n Fast高静默使将记录以下告警信息：\r\n 时间戳\r\n 告警消息（通过规则配置）\r\n 源地址和目的地址\r\n 源端口和目的端口\r\n 应当用命令行选项“-A fast”来配置fase告警模式，这种告警模式的系统开销比较小。下面的命令用fast告警模式启动Snort:\r\n /opt/snort/bin/snort -c /opt/snort/etc/snort.conf -q -A fast\r\n 选项-q用来停止在屏幕显示初始化信息和最后的汇总统计。现在，如果产生一个告警，它将被记录到/var/log/snort/alert文件中，当然，你可以用命令行选项-l来改变它的位置。告警信息类似如下所示：\r\n 05/28-22:16:25.126150 [**] [1:0:0] Ping with TTL=100 [**]\r\n{ICMP} 192.168.1.100 -> 192.168.1.3\r\n 这个告警包含下面的信息：\r\n 告警产生的日期和时间。\r\n 表示在规则中的告警消息，在这个例子中，这个消息就是：“Ping with TTL=100”.\r\n 源地址是192.168.1.100。\r\n 目的地址是192.168.1.3\r\n 包的类型，在上面的例子中，包的类型是ICMP。\r\n 2.8.2 Full模式\r\n 这是默认的告警模式，除了输出告警信息之外，还有包的头部信息。我们可以用下面的命令使Snort具有full告警模式。\r\n /opt/snort/bin/snort -c /opt/snort/etc/snort.conf -q -A full\r\n 当Snort工作在这种告警模式下的时候，在/var/log/snort/alert中记录的信息类似于如下：\r\n[**] [1:0:0] Ping with TTL=100 [**]\r\n05/28-22:14:37.766150 192.168.1.100 -> 192.168.1.3\r\nICMP TTL:100 TOS:0x0 ID:40172 IpLen:20 DgmLen:60\r\nType:8 Code:0 ID:768 Seq:20224 ECHO\r\n 正如你看到的，日志中记录了附加的信息，这些信息显示包头中的不同的值，包括:\r\nIP包头部的TTL值。在ftp://ftp.isi.edu/in-notes/rfc79 ... 取关于TTL的详细信息\r\nIP包头部的TOS值，参考RFC791或本书附录A获取TOS的详细信息。\r\nIP头长度，显示为：IpLen:20。\r\nIP包总长，显示为：DgmLen:60。\r\nICMP类型段，参考RFC792获取ICMP类型段的详细信息。\r\nICMP代码段，参考RFC792获取ICMP代码段的详细信息。\r\nIP包的ID。\r\n序列号。\r\nICMP包的类型：ECHO。\r\n2.8.3 UNIX套接字模式\r\n你可以用命令行选项“-a unsock”使Snort将通过UNIX套接字将告警发送到其他的程序。如果你想进一步处理Snort告警，这将非常有用。你可以用“man socket”命令来查看套接字的更多信息。\r\n2．8．4无告警模式\r\n你可以用命令行选项“-A none”将Snort告警完全关闭。这在高速网络环境应用统一日志的情况下是非常有用的。你可以在用统一日志的时候关闭普通日志选项。统一日志输出插件将在第4章中讨论。\r\n2.8.5 将告警发送到Syslog\r\n下面的命令允许Snort将告警发送到Syslog守护进程。Syslog是产生系统事件日志的守护进程，它将读取配置文件/etc/syslog.conf取得记录日志文件的位置，这个位置通常是/var/log目录，在Linux系统中，主日志文件是/var/log/messages。用“man syslog”命令来获得更多的信息，这个命令会显示syslog.conf文件的格式信息。\r\n根据/etc/syslog.conf文件中的配置，告警奖杯记录到一个特定文件中。下面的命令可以使Snort将日志记录到Syslog守护进程：\r\n/opt/snort/bin/snort -c /opt/snort/etc/snort.conf -s\r\n在我的RedHat 7.1计算机上，使用的是默认配置，信息会被记录到/var/log/messages文件中。当你用TTL=100的ICMP产生告警时，/var/log/messages文件中将记录下面的信息：\r\nMay 28 22:21:02 snort snort[1750]: [1:0:0] Ping with TTL=100\r\n{ICMP} 192.168.1.100 -> 192.168.1.3\r\n本书的第4章将讨论使用Syslog工具，同时，你将了解如何用输出插件记录日志到Syslog。最初由 晴兽 发布\r\n[B]ACID是什么？ [/B]
\r\n你可以在你第一次安装Snort的时候在snort.conf的末尾加上这条规则，这个规则可以使每当捕获一个IP包都产生告警信息，如果你就这样离开的话，你的硬盘空间很快就会被填满。这个规则之所以不可用，是因为它不信任任何信息。难道你用一个永久规则的目的就是为了检测Snort是否在工作吗？它应该是用来在你安装完Snort后做测试，以确定其工作正常，然后就去掉这条规则。下面的部分你可以了解Snort规则的不同部分，但为完整性起见，下面将简要解释一下刚才的那条规则所用的语句：\r\n“alert”表示如果包与条件匹配，就产生一个告警信息。条件由下面的语句定义。\r\n“ip”表示规则将被用在所有的IP包上。\r\n第一个“any”是对IP包源地址部分的条件定义，表示来自任何一个IP地址的IP包都符合条件，任何IP包都符合本条件。\r\n第二个“any”用来定义端口号，因为端口号与IP层无关，任何IP包都符合条件。\r\n“->”符号表示数据包传送的方向。\r\n第3个“any”用来定义目的地址的条件，any表示这条规则并不关心所有包的目的地址。\r\n第4个“any”用来定义目的端口条件，再说明一次，因为IP层与端口无关。\r\n最后一部分是规则的选项，，并包含一条将被纪录的告警消息。\r\n下一条规则不想前面那个那么糟糕，它将对所有捕获的ICMP包产生告警。重申一次，这条规则也是来检测Snort是否正常工作的。\r\n如果你想测试Snort，就发送一个ping（在UNIX机器中，基本上是发送ECHO请求）包。再次重复，它应该是用来在你安装完Snort后做测试，以确定其工作正常，然后就去掉这条规则。以下面的命令为例，你可以向你的网关或其他什么主机发送ICMP包。\r\nping 192.168.2.1\r\n注意，192.168.2.1是与Snort机器在同一网络的网关、路由器或其他机器。你可以在你安装Snort的机器上运行这个命令，这个命令在UNIX和Windows机器上都可以运行。ing with TTL=100\"; ttl:100ing with TTL=100\"; \\\r\nttl: 100ing with TTL=100\"; \\\r\nttl: 100\r\n选项部分检测TTL值，它并不是ICMP头部的内容，而是IP头部内容。这就是说选项部分可以检测属于其它协议的一些参数。常用协议的头部和相关分析见附录C。\r\n3.5.3 地址\r\n在Snort规则中，有两个地址部分，用来检测包的来源和目的地。地址可以是一个主机地址或者网络地址。你可以用关键字any来指定所有的地址。地址后面用斜线来附加一个数字，表示掩码的位数。比如192.168.2.0/24代表一个C类网络192.168.2.0，其子网掩码是255.255.255.0。记住下面的一些子网掩码：\r\n如果子网掩码是24位，它是一个C类网络。\r\n如果子网掩码是16位，它是一个B类网络。\r\n如果子网掩码是24位，它是一个A类网络。\r\n表示一个主机用32位掩码。\r\n根据CIDR的支持，你可以用任何位数的掩码。参考RFC 791取得关于IP地址和子网掩码的信息。CIDR的更多信息参考RFC 1519。\r\n前面我们提到，Snort规则中有两个地址段，其中一个是源地址，另外一个是目的地址。方向段指明那个是源地址，哪个是目的地址。参考方向段部分的叙述来了解更多信息。\r\n下面是一个在Snort规则中地址部分的例子：\r\n192.168.1.3/32定义一个地址为192.168.1.3的主机。\r\n192.168.1.0/24定义从192.168.1.0到192.168.1.255的C类网络地址，子网掩码是24位，相当于255.255.255.0。\r\n152.168.0.0/24定义从152.168.0.0到192.168.255.255的B类网络地址，子网掩码是16位，相当于255.255.0.0。\r\n10.0.0.0/8定义从10.0.0.0到10.255.255.255的A类网络地址，子网掩码是8位，相当于255.0.0.0。\r\n192.168.1.16/28定义从192.168.1.16到192.168.1.31的网络地址，子网掩码是28位，相当于255.255.255.240。在这16个地址中有14个可以用作主机地址，因为还有一个网络地址和一个广播地址，注意，在任何网络中的一个地址总是网络地址，最后一个是广播地址。在这个例子中192.168.1.16是网络地址，192.168.1.31是广播地址。\r\n\r\n例，你可以用下面的规则，使到web服务器192.168.1.10/32的80端口的TTL为100的数据包触发告警：\r\nalert tcp any any -> 192.168.1.10/32 80 (msg: \"TTL=100\"; \\\r\nttl: 100\r\n这个规则仅仅用来示例IP地址是如何在Snort规则中应用的。ing with TTL=100\"; ttl: 100\r\n当你想测试不包括你自己的网络的其它的包的时候，这个规则非常有用，这也意味着你信任自己所在网络的所有人！\r\n3.5.3.2 地址列表\r\n你也可以在Snort规则中指定一个地址的列表，比如，你的网络中包含两个C类网络：192.168.2.0和192.168.8.0，你想对除了这两个网络之外的其它地址应用规则，你可以用下面的规则，其中两个地址用逗号分隔：\r\n alert icmp ![192.168.2.0/24,192.168.8.0/24] any -> any \\\r\nany (msg: \"ing with TTL=100\"; ttl: 100\r\n注意，方括号是与否定符号以器用的，如果没有否定符号，你可以不用方括号。\r\n3.5.1 端口号\r\n端口号用来在进出特定的某个或一系列端口的包上运用规则，例如，你可以用源端口23来对来自Telnet服务器的包应用规则。你可以用关键字any来对包应用规则，而不管它的端口号。段口号仅仅对TCP和UDP协议有意义，如果你选择的协议是IP或者ICMP，端口号就不起作用。下面的规则用来检测来自C类网络192.168.2.0/24中的Telnet服务器，并包含“confidential”(机密)的包：\r\nalert tcp 192.168.2.0/24 23 -> any any \\\r\n(content: \"confidential\"; msg: \"Detected confidential\"\r\n同类的规则也可以用在这个网络中来自或者去向任何Telnet服务器的包，我们改以下方向段为任何方向，如下所示：\r\nalert tcp 192.168.2.0/24 23 <> any any \\\r\n(content: \"confidential\"; msg: \"Detected confidential\"\r\n当你想仅对某种类型的包应用规则的时候，端口号是非常有用的。例如，一种攻击仅与HTTP web服务器相关，你可以在规则中设置端口号80来检测试图进行这种攻击的人，这样Snort规则仅仅监视web服务，不对其它的TCP包应用规则。制订良好的规则一定能提高IDS的性能。\r\n3.5.4.1 端口范围\r\n你也可以在规则中的端口段设置一系列的端口，而不只是一个。用冒号分隔起始和结束。例如下面的规则将对来自1024-2048的所有UDP包告警：\r\nalert udp any 1024:2048 -> any any (msg: “UDP ports”\r\n3.5.4.2 上限与下限\r\n你可以仅用一个起始端口号或结束端口号来表示端口列表，例如：1024表示比1024小，包含1024的所有端口，1000：表示比1000大，包括1000的所有端口。\r\n3.5.4.3 否定符\r\n与地址段相同，你也可以在Snort规则中的端口段用否定符号来排除一个或多个端口。下面的规则将记录除了53段口外的其它所有UDP通信。\r\nlog udp any !53 -> any any log udp\r\n但是你不能用逗号来分隔多个端口，如53，54这样的表示是不允许的，但是你可以用53：54来表示一个端口范围。\r\n3.5.4.4 共用端口号。\r\n共用端口号是提供给一些公用应用的，表3-1列举了其中一些及应用。\r\n \r\n端口号 描述 \r\n20 FTP数据 \r\n21 FTP \r\n22 SSH或安全Shell \r\n23 Telnet \r\n25 SMTP或类似于Sendmail的e-mail服务器 \r\n37 NTP（网络时钟协议，用来同步网络主机时间） \r\n53 DNS 服务器 \r\n67 BootP/DHCP客户端 \r\n68 BootP/DHCP服务器 \r\n69 TFTP \r\n80 HTTP,web服务器 \r\n110 POP3，供类似于OE的邮件客户端使用 \r\n161 SNMP \r\n162 SNMP trap \r\n443 HTTPS或安全HTTP \r\n514 Syslog \r\n\r\n在UNIX平台上，你可以查看/etc/services文件，可以看到更多的端口的定义。RFC 1700中包含详细列表。目前ICANN负责管理这些端口号，你可以在http://www.icann.org获得更多信息。\r\n3.5.5 方向段\r\n在Snort规则中，方向段确定源和目的。下面是方向段的相关规定：\r\n->表示左边的地址和端口是源而右边的是目的。\r\n<-表示右边的地址和端口是源而左边的是目的。\r\n<>表示规则将被应用在两个方向上，在你想同时监视服务器和客户端的时候，可以用到这个标示。例如，你可以监视往来POP或者Telnet服务器的数据流。\r\n 这条规则的作用是在当你收到标志位A为1而acknowledgement段的值为0的TCP包的时候，发送一个告警信息。表3-2列举了其他的TCP标志位。在本规则中，定义包的目的是192.168.1.0/24，你可以用其它的值。关键字ack基本上用来探测这种类型的攻击，一般情况下，如果A位为1，Ack的值是不等于0的。oS\r\n我们改变这个规则，可以覆盖默认优先级：\r\nalert udp any any -> 192.168.1.0/24 6838 (msg:\"DoS\"; \\\r\ncontent: \"server\"; classtypeoS; priority:1)\r\n 分类和优先级的意义在于，我们可以了解告警是否紧急，这在我们要对威胁性高的告警提高警惕的时候非常有用。\r\n#\r\n# The first rule will set its type to \"attempted-admin\" and override\r\n# the default priority for that type to 10.\r\n#\r\n# The second rule set its type to \"attempted-recon\" and set its\r\n# priority to the default for that type.\r\n#\r\n#\r\n# config classification:shortname,short description,priority\r\n#\r\nconfig classification: not-suspicious,Not Suspicious Traffic,3\r\nconfig classification: unknown,Unknown Traffic,3\r\nconfig classification: bad-unknown,Potentially Bad Traffic, 2\r\nconfig classification: attempted-recon,Attempted Information Leak,2\r\nconfig classification: successful-recon-limited,Information Leak,2\r\nconfig classification: successful-recon-largescale,Large Scale\r\nInformation Leak,2\r\nconfig classification: attempted-dos,Attempted Denial of Service,2\r\nconfig classification: successful-dos,Denial of Service,2\r\nconfig classification: attempted-user,Attempted User Privilege Gain,1\r\nconfig classification: unsuccessful-user,Unsuccessful User Privilege\r\nGain,1\r\nconfig classification: successful-user,Successful User Privilege Gain,1\r\nconfig classification: attempted-admin,Attempted Administrator\r\nPrivilege Gain,1\r\nconfig classification: successful-admin,Successful Administrator\r\nPrivilege Gain,1\r\n# NEW CLASSIFICATIONS\r\nconfig classification: rpc-portmap-decode,Decode of an RPC Query,2\r\nconfig classification: shellcode-detect,Executable code was detected,1\r\nconfig classification: string-detect,A suspicious string was detected,3\r\nconfig classification: suspicious-filename-detect,A suspicious filename\r\nwas detected,2\r\nconfig classification: suspicious-login,An attempted login using a\r\nsuspicious username was detected,2\r\nconfig classification: system-call-detect,A system call was detected,2\r\nconfig classification: tcp-connection,A TCP connection was detected,4\r\nconfig classification: trojan-activity,A Network Trojan was detected, 1\r\nconfig classification: unusual-client-port-connection,A client was\r\nusing an unusual port,2\r\nconfig classification: network-scan,Detection of a Network Scan,3\r\nconfig classification: denial-of-service,Detection of a Denial of\r\nService Attack,2\r\nconfig classification: non-standard-protocol,Detection of a nonstandard\r\nprotocol or event,2\r\nconfig classification: protocol-command-decode,Generic Protocol Command\r\nDecode,3\r\nconfig classification: web-application-activity,access to a potentially\r\nvulnerable web application,2\r\nconfig classification: web-application-attack,Web Application Attack,1\r\nconfig classification: misc-activity,Misc activity,3\r\nconfig classification: misc-attack,Misc Attack,2\r\nconfig classification: icmp-event,Generic ICMP event,3\r\nconfig classification: kickass-porn,SCORE! Get the lotion!,1\r\nconfig classification: policy-violation,Potential Corporate Privacy\r\nViolation,1\r\nconfig classification: default-login-attempt,Attempt to login by a\r\ndefault username and password,2\r\n以下的规则作用与上面一条相同，但是特征以16进制表示。\r\nalert tcp 192.168.1.0/24 any -> ![192.168.1.0/24] any \\\r\n(content: \"|47 45 54|\"; msg: \"GET matched\"\r\n16进值的数字47与ASCII字符G的值相等，45与E相等，54与T相等。你可以在同一条规则中同时用ASCII和16进制来进行特征比对。用16进值表示时，应当用双竖线||将字符包括进去。\r\n在用content关键字的时候，要记住以下的原则：\r\n内容比对是\r\n\r\n这样做的好处是可以使配置文件用在不同环境中，你所做的只是改变变量的值，而不需要修改每个规则。\r\n3.7.11在变量中使用网络列表\r\n你也可以定义一个包含多个条目的变量，例如一个包含两个网段的网络：\r\nvar HOME_NET [192.168.1.0/24,192.168.10.0/24]\r\n不同的网络用逗号分隔。\r\n3.7.1.2 在变量中使用网络接口名称\r\n在定义变量的时候，你可以用网络接口名称：\r\nvar HOME_NET $eth0_ADDRESS\r\nvar EXTERNAL_NET $eth1_ADDRESS\r\n3.7.1.3 使用关键字any\r\n关键字any也可以成为一个变量。它匹配任何值，例如：\r\nvar EXTERNAL_NET any\r\n如上面的例子，日志将同时被记录到数据库和日志文件。\r\n3.7.6 规则的配置\r\n规则的配置往往是配置文件中的最后部分。你可以用include关键字将其他的规则文件引用。\r\n3.10.1local.rules文件\r\nlocal.rules文件中没有规则，它是用来存放管理员自定义的规则的。你也可以用其他文件来存放自定义的规则。\r\n在这个规则中，有很多地方需要注意：\r\n\r\n变量是$TELNET_SERVERS在snort.conf中定义的Telnet服务器列表。\r\n规则仅仅监测telnet服务器的回应，而不是请求\r\n变量$EXTERNAL_NET是在snort.conf中定义的外部网络。规则将监测来自于外部的telnet会话，对于内部网络的telnet会话，就不会做出监测。\r\n关键字flow用来将规则仅仅应用在已经建立的会话上面。\r\n关键字content用来监测含有“to su root”的包，如果有，则产生告警。\r\n关键字nocase使规则忽略包内容的大小写。\r\n关键字classtype给规则归类\r\n 规则的ID是715\r\n关键字rev显示规则的版本\r\n它比上个规则多出了一个指定参考地址的关键字。\r\n\r\n\r\n\r\n3.12写有质量的规则\r\n在Snort的发行版中有已经定义好的规则，这些规则对于你编写优质的规则是个不错的参考。尽管不是强制性的，但是你最好在每个规则的选项中用到下面的部分：\r\n用msg关键字引导的消息\r\n用classification关键字引导的规则分类\r\n用sid关键字引导的的数字用来标示规则\r\n用reference关键字引导的系统弱点参考URL\r\n用rev来表明不同的规则版本\r\n\r\n另外，你应该用不同的方法来攻击你的网络来测试你的规则，因为恶意用户也会用各种方法来攻击网络。好的规则应该能够探测到各种攻击。\r\n\r\n4.2.1 alert_syslog输出模块\r\n几乎所有的UNIX系统中都有系统日志守护进程syslog,它的配置文件是/etc/syslog.conf。你可以查看syslogd和syslog.conf的手册来获得更多信息。\r\nAlert_syslog模块使你能够将告警发送到系统日志钟。如果你需要的话，系统日志守护进程也可以将告警发送到其他的主机。下面是这个模块的配置格式：\r\noutput alert_syslog: <facility> <priority> <options>\r\n其中，facility可以取得值包括：
| 欢迎光临 Chinaunix (http://bbs.chinaunix.net/) | Powered by Discuz! X3.2 |