Leeboy_Wang的专栏

libpcap应用

IDS bro

脚本学习：bro的默认脚本/usr/local/bro/share/bro每次更新版本都会被重新覆盖，除了/usr/local/bro/share/bro/site这个文件可以自定义修改，不会被覆盖其中核心为base和policy/usr/local/bro/share/bro/base处理收集网络活动基本的有用的状态或提供框架程序扩展功能脚本，程序会自动加载他，带来的代价不高po

1、过滤出数据包中的文件global mime_to_ext: table[string] of string = { ["application/x-dosexec"] = "exe", ["text/plain"] = "txt", ["image/jpeg"] = "jpg", ["image/png"] = "png", ["text/html"] = "html",};e

libnetfilter_queue可以实现网络阻断功能，从网卡上直接截取数据包，对开发IPS工具有用处。安装libnfnetlink、libnetfilter_queue，安装libnetfilter_queue时报错Cannot find libnfnetlink需要： PKG_CONFIG_PATH=/usr/local/lib/pkgconfig#include #includ

suricata是开源的IPS工具，其中使用了netfilter_queue库，可以借鉴安装：（https://redmine.openinfosecfoundation.org/projects/suricata/wiki/CentOS_Installation）rpm -Uvh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-r

suricata --build-info查看是否支持NFQ模式Suricata Configuration:  AF_PACKET support:                       yes  PF_RING support:                         no  NFQueue support:                         y