Windows平台下Snort的安装配置与简单使用

由于需要对网络底层进行操作，安装Snort前需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库）。建议用虚拟机使用32位的系统进行操作。
若使用64位系统，尝试使用npcap替换Winpcap

相应的资源：
链接：https://pan.baidu.com/s/1YGsNJxOCHfmFVmYo2EXzOA
提取码：fjxb

1.下载Windows平台下的Snort安装程序，选择安装目录为c:\Snort。进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持或者Snort默认的MySQL和ODBC数据库支持的方式。 (即选择"I do not plan to log to a database,or I am planning to log to one of the databases listed above.")
2.运行cmd命令，在命令行方式下输入如下命令c:>cd c:\Snort\bin，然后输入c:\Snort\bin>snort -W。

3. 从返回的结果可知主机上有哪个物理网卡正在工作及该网卡的详细信息。输入snort -v -i1命令启用Snort。其中，-v表示使用Verbose模式，把信息包打印在屏幕上；-i1表示监听第1个网卡。

4. 为了进一步查看Snort的运行状况，可以人为制造一些ICMP网络流量。在局域网段中的另一台主机上使用Ping指令，探测运行Snort的主机。

5. 回到运行Snort的主机，如果Snort已经记录了这次探测的数据包，Snort在屏幕上输出了局域网中另一台主机到本主机的ICMP数据包头。

6. 打开c:\Snort\etc\snort.conf(先用下载的snort.conf代替原来的snort.conf)，设置Snort的内部和外部网络检测范围。将Snort.conf文件中的var HOME_NET any语句中的Any改为自己所在的子网地址，即将Snort监测的内部网络设置为本机所在的局域网。 如本地IP为192.168.1.100，则将Any改为192.168.1.0/24。将var HOME_NET any语句中的HOME_NET的值改为本地网络的标识，即192.168.1.0/24

7. 配置网段内提供网络服务的IP地址，只需要把默认的$HOME_NET改成对应主机地址即可：var DNS_SERVERS $ HOME_NET; var SMTP_SERVERS $ HOME_NET; var HTTP_SERVERS $ HOME_NET; var SQL_SERVERS $ HOME_NET; var TELNET_SERVERS $ HOME_NET; var SNMP_SERVERS $ HOME_NET 如果不需要监视某种类型的服务，可用#号将上述语句其注释掉。

8. 修改设置监测包含的规则。在配置文件末尾，定义了与规则相关的配置，格式如下&#