网络信息安全_网络攻防实验_snort+BASE入侵检测系统_snort规则_ICMP/TCP攻击

已于 2022-05-31 19:59:24 修改
阅读量3.8k 收藏 62
点赞数 13
分类专栏： 网络安全 文章标签： 网络 tcp/ip 网络协议
于 2022-02-22 18:41:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/guansheng123/article/details/123074212
版权

网络攻防实验

一、实验环境

系统环境：
VMware Workstation
Ubuntu 18.04 LTS
Wimdows10
软件环境：
Mysql / Apache2 / PHP 5.5 / SNORT / Barnyard2 / BASE

二、实验步骤

1.搭建 snort+BASE 入侵检测系统

1.1 安装snort

  1. 安装 DAQ
    在这里插入图片描述在这里插入图片描述在这里插入图片描述2）安装snort
    在这里插入图片描述在这里插入图片描述3) 测试

在这里插入图片描述4) 创建用户环境&配置文件目录&复制配置文件

在这里插入图片描述
在这里插入图片描述
5) 手动修改 snort.conf 配置
在这里插入图片描述在这里插入图片描述
在这里插入图片描述在这里插入图片描述6) 添加本地规则

1. sudo vi /etc/snort/rules/local.rules
2. alert icmp any any -> $HOME_NET any (msg:"ICMP Test detected!!!"; classtype:icmpevent; sid:10000001; rev:001; GID:1; )
3. sudo vi /etc/snort/sid-msg.map
4. #v2
5. 1 || 10000001 || 001 || icmp-event || 0 || ICMP Test detected || url,tools.ietf.org/html/rfc792
  1. 测试配置文件
    在这里插入图片描述8) 测试功能
    sudo snort -A console -q -u snort -g snort -c /etc/snort/snort.conf -i ens33
    首先查看主机 ip 地址

在这里插入图片描述
在这里插入图片描述此时从外面 ping 网口 ens33 的 IP， snort 会记录受到攻击，信息保存在
/var/log/snort 中，文件名为 snort.log.xxx
在这里插入图片描述
在这里插入图片描述

1.2 安装Barnyard2

  1. 安装 mysql
1. sudo apt-get install -y mysql-server libmysqlclient-dev mysql-client autoconf libtool
  1. 解压编译
    在这里插入图片描述
    在这里插入图片描述
2. ./configure --with-mysql --with-mysql-libraries=/usr/lib/x86_64-linux-gnu
3. ./configure --with-mysql --with-mysql-libraries=/usr/lib/i386-linux-gnu
4. sudo make && sudo make install
  1. 测试
    在这里插入图片描述4) 设置配置文件
5. sudo cp ~/barnyard2-2-1.13/etc/barnyard2.conf /etc/snort/
6. # the /var/log/barnyard2 folder is never used or referenced
7. # but barnyard2 will error without it existing
8. sudo mkdir /var/log/barnyard2
9. sudo chown snort.snort /var/log/barnyard2
10. sudo touch /var/log/snort/barnyard2.waldo
11. sudo chown snort.snort /var/log/snort/barnyard2.waldo
  1. 配置数据库
12. ubuntu@ubuntu:~$ mysql -u root -p
13. mysql> create database snort;
14. mysql> use snort;
15. mysql> source ~/barnyard2-2-1.13/schemas/create_mysql;
16. mysql> CREATE USER 'snort'@'localhost' IDENTIFIED BY '123456';
17. mysql> grant create, insert, select, delete, update on snort.* to 'snort'@'localhost';
18. mysql> exit;
  1. 添加数据库配置
1. sudo vi /etc/snort/barnyard2.conf
2. #在末尾添加数据库配置
3. output database: log, mysql, user=snort password=123456 dbname=snort host=localhost senso
r name=sensor01
4. 修改 barnyard2.conf 权限防止被修改
5. sudo chmod o-r /etc/snort/barnyard2.conf
  1. 测试
1. # 开启 snort，并向 eth1 发送 ping 数据包
2. sudo snort -q -u snort -g snort -c /etc/snort/snort.conf -i ens33
3. # 开启 barnyard2，将日志信息存入数据库
4. # 1.连续处理模式，设置 barnyard2.waldo 为书签
5. sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -
w /var/log/snort/barnyard2.waldo -g snort -u snort
6. # 2.文件处理模式，处理单个日志文件
7. sudo barnyard2 -c /etc/snort/barnyard2.conf -o /var/log/snort/snort.log.xxx
8. # 查看数据库条目数量，看是否增加
9. mysql -u snort -p -D snort -e "select count(*) from event"

在这里插入图片描述在这里插入图片描述

1.3 安装 PulledPork

  1. 解压并安装
1. tar xzvf pulledpork-v0.7.3.tar.gz
2. cd pulledpork-v0.7.3/
3. sudo cp pulledpork.pl /usr/local/bin
4. sudo chmod +x /usr/local/bin/pulledpork.pl
5. sudo cp etc/*.conf /etc/snort
  1. 测试
6. ubuntu@ubuntu:~$ pulledpork.pl -V
7. PulledPork v0.7.3 - Making signature updates great again!
  1. 配置
8. sudo vi /etc/snort/pulledpork.conf
9. #第 19 行：输入注册账户生成的 oinkcode，若没有则注释掉
10. #第 29 行：取消注释可下载针对新兴威胁的规则
11. #第 74 行：更改为：
12. rule_path = /etc/snort/rules/snort.rules
13. #第 89 行：更改为：
14. local_rules = /etc/snort/rules/local.rules
15. #第 92 行：更改为：
16. sid_msg = /etc/snort/sid-msg.map
17. #第 96 行：更改为：
18. sid_msg_version = 2
19. #第 119 行：更改为：
20. config_path = /etc/snort/snort.conf
21. #第 133 行：更改为：
22. distro = Ubuntu-12-04
23. #第 141 行：更改为：
24. black_list = /etc/snort/rules/iplists/black_list.rules
25. #第 150 行：更改为：
26. 19. IPRVersion = /etc/snort/rules/iplists
27. sudo vi /etc/snort/snort.conf
28. #第 548 行添加
29. include $RULE_PATH/snort.rules
  1. 更新规则
1. sudo /usr/local/bin/pulledpork.pl -c /etc/snort/pulledpork.conf -l
  1. 测试规则
 1. sudo snort -T -c /etc/snort/snort.conf -i eth0

1.4 创建服务

  1. 创建 Snort 服务
1. sudo vi /lib/systemd/system/snort.service
2. [Unit]
3. Description=Snort NIDS Daemon
4. After=syslog.target network.target
5. [Service]
6. Type=simple
7. Restart=always
8. ExecStart=/usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i ens33
9. [Install]
10. WantedBy=multi-user.target
11. sudo systemctl enable snort
12. sudo systemctl start snort
13. sudo systemctl status snort
  1. 创建 Barnyard2 服务
1. sudo vi /lib/systemd/system/barnyard2.service
2. [Unit]
3. Description=Barnyard2 Daemon
4. After=syslog.target network.target
5. [Service]
6. Type=simple
7. Restart=always
8. ExecStart=/usr/local/bin/barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -q -
w /var/log/snort/barnyard2.waldo -g snort -u snort -D -a /var/log/snort/archived_logs --pidpath=/var/run
9. [Install]
10. WantedBy=multi-user.target
11. sudo systemctl enable barnyard2
12. sudo systemctl start barnyard2
13. sudo systemctl status barnyard2

1.5 安装 BASE

  1. 解压
1. tar xzvf base-1.4.5.tar.gz
2. sudo mv base-1.4.5 /var/www/html/base/
  1. 配置
3. cd /var/www/html/base
4. sudo cp base_conf.php.dist base_conf.php
3.
5. sudo vi /var/www/html/base/base_conf.php
6. $BASE_Language = 'simplified_chinese'; # line 27
7. $BASE_urlpath = '/base'; # line 50
8. $DBlib_path = '/usr/share/php/adodb/'; #line 80
$alert_dbname = 'snort'; # line 102
9. $alert_host = 'localhost';
10. $alert_port = '';
11. $alert_user = 'snort';
12. $alert_password = '123456'; # line 106
13. // $graph_font_name = "Verdana";
14. // $graph_font_name = "DejaVuSans";
15. // $graph_font_name = "Image_Graph_Font";
16. $graph_font_name = "";
17.
18. sudo chown -R www-data:www-data /var/www/html/base
19. sudo chmod o-r /var/www/html/base/base_conf.php
20.
21. sudo service apache2 restart

在这里插入图片描述浏览器访问 http://localhost/base 进行访问
根据提示进行最后的配置，进入 mainpage

在这里插入图片描述

2.编写 snort 规则并开启 snort

  1. snort 规则
    Snort 规则被分成两个逻辑部分：规则头和规则选项。 规则头包含规则的
    动作，协议，源和目标 ip 地址与网络掩码，以源和目标端口信息； 规则选项
    部分包含报警消息内容和要检查的包的具体部分。
    Alert：使用选择的报警方法生成一个警报，然后记录（log）这个包。 Alert
    动作用来在一个包符合规则条件时发送告警消息。告警的发送有多种方式，
    例如可以发送到文件或者控制台。
    Snort 当前分析可疑包的 ip 协议有四种： tcp 、 udp、 icmp 和 ip。
  2. 编写三个 snort 规则
  1. 当它检测到电脑被大数据包攻击时，会发出一个报警
  2. 当它检测到电脑被网页访问时，会发出一个报警
  3. 当它检测到电脑被泛洪攻击时，会发出一个报警
    具体编写内容如下图所示：
    首先，运行命令 sudo gedit /etc/snort/rules/local.rules 打开文件：写入规则。

在这里插入图片描述在这里插入图片描述然后， 执行命令 sudo gedit /etc/snort/sid-msg.map，打开文件，写入镜像
信息。

在这里插入图片描述
3. 开启 snort 和 barnyard2
开启 snort，并向 eth1 发送 ping 数据包
执行命令 sudo snort -q -u snort -g snort -c /etc/snort/snort.conf -i ens33
开启 barnyard2，将日志信息存入数据库
连续处理模式，设置 barnyard2.waldo 为书签
执行命令 sudo barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f
snort.u2 -w /var/log/snort/barnyard2.waldo -g snort -u snort
如下图所示：
在这里插入图片描述
在这里插入图片描述在这里插入图片描述

3.大数据包攻击

Snort 规则：

1. alert icmp any any -> $HOME_NET any (msg:"ICMP pkt is big"; classtype:icmpevent;dsize:>200; sid:10000001; rev:001; GID:1; )

用 Windows10 的终端 ping ubuntu 的地址，设置发送数据包的大小，分
别发送大于 200 和小于 200 的数据包。当发送的数据包小于 200 时，视为小
数据包，此时不能检测，不发出报警； 当发送的数据包大于 200 时，被视为
大数据包，此时电脑检测出来，并发送一个报警。如下图所示：
在这里插入图片描述在这里插入图片描述接下来，访问浏览器 http://localhost/base，查看基于安全分析引擎（BASE），
我们可以看到电脑检测到了 ICMP 攻击。

在这里插入图片描述查看 ICMP 的详细信息， 可以看到 ID，特征，时间戳，来源地址，目标地
址和第四层协议等信息， 如下图所示：

在这里插入图片描述

4.TCP 攻击

Snort 规则：

alert tcp $HOME_NET any -> any 80 (msg: "示例警告"; classtype:miscattack;sid: 10000002; rev:001;)

用 Windows10 访问 192.168.59.136 网页，即发送了 TCP 消息，虚拟机
检测到 TCP，发出一个报警。如下图所示：
在这里插入图片描述在这里插入图片描述
接下来，访问浏览器 http://localhost/base，查看基本安全分析引擎（BASE），
我们可以看到电脑检测到了 TCP 攻击。
在这里插入图片描述查看 TCP 的详细信息，可以看到 ID，特征，时间戳，来源地址，目标地址
和第四层协议等信息，如下图所示：
在这里插入图片描述

5.泛洪攻击

Snort 规则：

alert tcp any any -> $HOME_NET any (msg:"synflood";flags:S; threshold:type both,track by_dst,count
3,seconds 10;classtype:misc-attack; sid:10000003; rev:001; GID:1; )

用另一个虚拟机进行 syn-flood 攻击， 如果 10 秒内超过 3 个包就发出警
报。 执行 sudo hping3 -p 22 -S --rand-source --flood 192.168.254.133 命令进行
攻击。
在执行上句命令之前，需要先执行 sudo apt install hping3 命令。
如下图：
在这里插入图片描述在这里插入图片描述在这里插入图片描述
在这里插入图片描述检测到 TCP 泛洪攻击，发出一个报警。如下图所示：

在这里插入图片描述接下来，访问浏览器 http://localhost/base，查看基于安全分析引擎（BASE），
我们可以看到电脑检测到了 TCP 攻击。
查看 TCP 的详细信息，可以看到 ID，特征，时间戳，来源地址，目标地址
和第四层协议等信息，如下图所示：

在这里插入图片描述

三、结果分析

上述实验完成了大数据包攻击， TCP 攻击和泛洪攻击的入侵检测，电脑在遭
受到攻击时，会发出一个警报，如下图：
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
并且将入侵消息记录在了基本安全分析引擎（BASE）中，如下图所示：
在这里插入图片描述在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

手可摘辰
关注
  • 13
    点赞
  • 踩
  • 62
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
网络安全实验Snort网络入侵检测实验
12-16
网络安全实验Snort网络入侵检测实验
搭建snort+base入侵检测系统需要的所有安装包
12-12
windows系统下搭建snort+base入侵检测系统需要的必要工具的安装包，其中包含ADOdb-5.20.12.zip、appserv-win32-8.6.0.exe、base-1.4.5.tar.gz、Snort_2_8_6_Installer.exe、WinPcap_4_1_3.exe、snortrules-snapshot-2900.tar.gz六个文件。 安装过程可参考https://www.jianshu.com/p/d8ca2e8c0858 压缩包解压密码：snort
推荐开源项目：PulledPork——Snort和Suricata的规则管理利器
gitblog_00034的博客
05-23 256
推荐开源项目：PulledPork——Snort和Suricata的规则管理利器 项目地址:https://gitcode.com/shirkdog/pulledpork PulledPork是一款强大的Snort和Suricata规则管理工具，由JJ Cummings、Michael Shirk以及PulledPork团队共同创建。它具备自动化下载、解析、状态修改和规则修改功能，是网络安全领域的...
搭建snort+BASE入侵检测系统
guansheng123的博客
02-23 6101
搭建snort+BASE入侵检测系统
【2023】Windows环境搭建Snort+BASE入侵检测系统
haohello_world的博客
12-21 1805
由于我们建立的是测试环境，所有的组件安装都在一台机器上完成。
Ubuntu18.04搭建snort+BASE入侵检测系统
weixin_32805909的博客
05-27 5347
一、介绍 Snort是一套开源的网络入侵检测系统（NIDS），主要功能有包嗅探、包记录和入侵检测功能。 　　Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort 通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。 　　Snort有数据包嗅探，数据包分析，数据包检
如何编写snort的检测规则
08-07
snort是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志IP网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。此外，snort具有很好的扩展性和可移植性。本文将讲述如何开发snort规则。
编写snort规则检测网络攻击
guansheng123的博客
02-23 5557
Snort 规则被分成两个逻辑部分：规则头和规则选项。 规则头包含规则的 动作，协议，源和目标 ip 地址与网络掩码，以源和目标端口信息； 规则选项 部分包含报警消息内容和要检查的包的具体部分。 Alert：使用选择的报警方法生成一个警报，然后记录（log）这个包。 Alert 动作用来在一个包符合规则条件时发送告警消息。告警的发送有多种方式， 例如可以发送到文件或者控制台。 Snort 当前分析可疑包的 ip 协议有四种： tcp 、 udp、 icmp 和 ip。...
Windows平台下Snort的安装配置与简单使用
TH_DL的博客
06-19 9726
由于需要对网络底层进行操作，安装Snort前需要预先安装WinpCap（WIN32平台上网络分析和捕获数据包的链接库）。建议用虚拟机使用32位的系统进行操作。 若使用64位系统，尝试使用npcap替换Winpcap 相应的资源：链接：https://pan.baidu.com/s/1yIXpEOHu3vJuh2fUoDpTJA 提取码：ztcc 1.下载Windows平台下的Snort安装程序，选择安装目录为c:\Snort。进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持或者Snort默认的
Snort 中文手册
斑竹的程序设计专栏
09-17 2079
Snort 中文手册摘要snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。(2003-12-11 16:39:12)Snort 用户手册 第一章
Snort3：使用说明（四）
魔神8号的博客
11-16 1172
通过命令行，仅能指定输出警报信息到标准输出。可通过修改配置文件，来使其输出到文件中。在配置文中定义了对应alert_*模块的表，即表示使能了该模式。帮助信息中会显示模式的可用配置项，这些配置项可以 snort 配置文件中进行配置。读取pcap文件(也可使用-i选项指定网口抓包)，转存到 log 目录中。按上述配置文件后，警报文件会输出到 -l 指定的目录中，文件名固定为。此选项可以多次指定，以设置多个规则文件。实际验证，警报模式会影响该选项输出。实际验证，警报模式会影响该选项输出。命令行中最多指定一次。
javasnmp源码-IDS-Evasion:规避Snort入侵检测系统
06-04
java snmp源码IDS-规避 指数 Snort 可以识别的攻击 ElasticSearch动态脚本任意Java执行()： 大多数 snort 规则都被注释掉了。 因此，我们需要通过产品名称（即在我们的示例中为“ElasticSearch”）或更好地通过 CVE（即在我们的示例中为“CVE-2014-3120”）来搜索它们并取消注释它们（即从行的开头），以便启用它们。 为此，我们可以使用Select-String命令（PowerShell 中的“grep-like”命令）： 运行 snort： 我们将使用“exploit/multi/elasticsearch/script_mvel_rce”模块来利用这个漏洞（你可以使用search ElasticSearch或在Metasploit中search CVE-2014-3120找到这个模块）。 设置模块选项，检查目标是否存在漏洞，最后运行模块： 检查 Snort： 如我们所见，snort 成功识别了攻击。 FTP 身份验证扫描程序 ()： 我们将使用“auxiliary/scanner/ftp/ftp_login”模块对目标FTP服
nids.rar_NIDS_ids_入侵检测 代码_入侵检测系统_网络入侵检测
09-20
网络入侵检测系统的原代码,是对snort的进一步改进和完善
snort+base一个常用于构建入侵检测系统的解决方案.docx
最新发布
07-13
Snort+Base是一个常用于构建入侵检测系统（IDS）的解决方案，其中Snort作为核心的检测引擎，而Base则是一个基于PHP的高效Snort分析查询系统。以下是对Snort+Base的详细介绍： 一、Snort概述 1. 定义与背景 Snort是...
新手在Ubuntu 20.04系统中编译安装Snort+Barnyard+BASE的难点问题
李晨光原创IT博客
09-04 252
在课程会详细讲解这种问题。遇到这种问题，还是学习上面我的这门课程，通过视频一步步为大家讲解如何在遇到故障之前就做好铺垫（各种软件操作），问题关键出在libpcap上，处理细节留在课程里讲解。接着我们准备安装Barnyard2,预编译通过之后，编译过程中遇到spo_alert_fwsam.o文件错误，在网上查阅很多资料都没有解决。Barnyard2如何正确配置barnyard2.conf对新人也是一个调整，输出插件写的不对，数据库连接会出错，操作细节留在课程中讲解。接着,make编译软件，会继续报错。
实验9-10 在Windows下搭建入侵检测平台
YkingH的博客
04-28 3920
掌握在Windows中搭建基于snort的入侵检测系统（IDS）,熟悉简单的配置方法，能够使用IDS检测并分析网络中的数据流。Snort是一个强大的基于误用检测的轻量级网络入侵检测系统，它具有实时数据流量分析和日志IP网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时警报。
snort+base搭建IDS***检测系统
weixin_34268579的博客
07-16 622
Snort是美国Sourcefire公司开发的发布在GPL v2下的IDS（Intrusion Detection System）软件 Snort有 三种工作模式：嗅探器、数据包记录器、网络***检测系统模式。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数 据包记录到硬盘上。网路***检测模式分析网络数据流以匹配用户定义的一些规则，并...
开源入侵检测系统—Snort的配置与检测规则编写
negnegil的博客
10-18 6850
IDS（入侵检测系统）模式配置 1、创建snort用户和组，其中snort为非特权用户 groupadd snort useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort 2、配置目录 IDS 模式运行时会创建一些目录，其中配置文件储存在 /etc/snort 中，规则储存在 /etc/snort/rules中，编译规则储存在 /usr/local/lib/snort_dynamicrules 中，日志粗存在 /var/log/snort 中 #创

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

手可摘辰

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值