Windows下Snort的配置

Windows下Snort的配置

 

eqmcc@BMY

2006-12-3

 

 

Windows下Snort的配置................................................................................................... 1

前言：...................................................................................................................... 1

软件准备(红色为这次实验使用的软件，其它是可选组件)：....................................... 1

安装软件：............................................................................................................... 2

配置：...................................................................................................................... 5

测试：.................................................................................................................... 14

结语........................................................................................................................ 15

附录........................................................................................................................ 15

 

 

 

 

 

 

 

 

 

 

 

 

前言：

Snort 是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志IP 网络数据包的能力，能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。Snort 可以运行在*nix/Win32 平台上。

软件准备(红色为这次实验使用的软件，其它是可选组件)：

1. 操作系统：WindowsXP

2. acid  http://www.cert.org/kb/acid

基于php 的入侵检测数据库分析控制台

3. adodb.zip  http://php.weblogs.com/adodb

ADOdb（Active Data Objects Data Base）库for PHP

4. apache  http://www.apache.org

Windows 版本的Apache Web 服务器

5. jpgraph  http://www.aditus.nu/jpgraph

OO 图形库for PHP

6. mysql  http://www.mysql.com

Windows 版本的Mysql 数据库服务器

7. php  http://www.php.net

Windows 版本的php 脚本环境支持

8. Snort_2_4_5_Installer.exe

http://www.snort.org/dl/binaries/win32/old/Snort_2_4_5_Installer.exe

Windows 版本的Snort 安装包

9. WinPcap_3_1.exe http://winpcap.polito.it/

网络数据包截取驱动程序

10. idscenter11rc4.zip

http://www.snort.org/dl/contrib/front_ends/ids_center/idscenter11rc4.zip

   配置和运行Snort的图形界面

11. phpmyadmin  http://www.phpmyadmin.net

基于php 的Mysql 数据库管理程序

安装软件：

一、安装WinPcap_3_1

二、安装Snort_2_4_5

三、安装idscenter11rc4.zip

装完之后，右下角会出现这样一个图表 ，表示安装完毕但是没有运行，右击会出现如下菜单

配置：

选择最上面的 菜单，出现如下界面：

在General－>Configuration里面配置如下：

在General－>Snort options里面配置如下：

在Wizards－>Output plugin里面设置如下：

点击Add：

在Wizards－>Rules里面设置如下：

选中

点击下面的 之后如下：

然后在c:/Snort/rules下面建立文件local.rules，之后选择该文件加入规则集：

然后双击该规则集：

点击左下角的 ，配置如下：

点击左下角的

再加入如下一条规则

这两条规则实现对202.117.15.143到202.117.35.70的ftp服务器的20和21端口数据包的监听

local.rules里面内容如下：

alert tcp 202.117.15.143 any -> 202.117.35.70 21 (msg:"tcp_rule_CMD_PORT"; sid: 100001; rev: 5;)

alert tcp 202.117.15.143 any -> 202.117.35.70 20 (msg:"tcp_rule_DATA_PORT"; sid: 100001; rev: 5;)

 

下面在Logs－>Options配置：

在下面的 填入你机器上网卡的编号

通过命令C:/Snort/bin>snort.exe -v -i 4可以探测出，从1开始，如果在某个编号下看到右很多数据包被截获，则该编号就是可用网卡的编号，填入：

然后在Alerts－>Alert detection配置如下

点击

 

在所有都配置完毕后点击右上角的 检查配置

查看General－>Overview

如果 里面没有错误出现，则配置可以了

表示实际执行的命令

测试：

点击左上角的 运行snort

    然后启动命令行连接202.117.35.70的ftp服务器

在监测时右下角的图表如下

然后点击左上角的 或者中间的 查看截获的信息

里面的内容见附录

同时这些内容也会出现在C:/Snort/log/ alert.ids文件里面

结语

加以其它辅助工具，还可以实现将记录的警告数据放入数据库，利用相关软件进行分析，根据分析的结果自动生成和调整规则集，并给出更为直观和图表化的结果。

附录

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:46.063214 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63287 IpLen:20 DgmLen:64 DF

******S* Seq: 0x82212B  Ack: 0x0  Win: 0xFFFF  TcpLen: 44

TCP Options (9) => MSS: 1460 NOP WS: 3 NOP NOP TS: 0 0 NOP NOP

TCP Options => SackOK

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:46.065279 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63322 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x 82212C   Ack: 0x 18AC 8769  Win: 0xB 5C 9  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:46.189060 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63324 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x 82212C   Ack: 0x 18AC 877D  Win: 0xB 5C 7  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:50.114976 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63351 IpLen:20 DgmLen:52 DF

***AP*** Seq: 0x 82212C   Ack: 0x 18AC 877D  Win: 0xB 5C 7  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:50.302180 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63354 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x822138  Ack: 0x 18AC 879F   Win: 0xB 5C 2  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:55.383869 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63386 IpLen:20 DgmLen:58 DF

***AP*** Seq: 0x822138  Ack: 0x 18AC 879F   Win: 0xB 5C 2  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:55.719448 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63390 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x 82214A   Ack: 0x 18AC 87C 0  Win: 0xB5BE  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:58.449921 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63403 IpLen:20 DgmLen:66 DF

***AP*** Seq: 0x 82214A   Ack: 0x 18AC 87C 0  Win: 0xB5BE  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:58.453092 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63405 IpLen:20 DgmLen:46 DF

***AP*** Seq: 0x822164  Ack: 0x 18AC 87F 3  Win: 0xB5B8  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:30:58.454933 202.117.15.143:2082 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63406 IpLen:20 DgmLen:64 DF

***A**S* Seq: 0x6D8ACD9D  Ack: 0x19638596  Win: 0xFFFF  TcpLen: 44

TCP Options (9) => MSS: 1460 NOP WS: 3 NOP NOP TS: 0 0 NOP NOP

TCP Options => SackOK

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:30:58.458818 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63407 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x 82216A   Ack: 0x 18AC 8832  Win: 0xB5B0  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:30:58.458841 202.117.15.143:2082 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63408 IpLen:20 DgmLen:52 DF

***A**** Seq: 0x6D8ACD9E  Ack: 0x19638877  Win: 0xB56D  TcpLen: 32

TCP Options (3) => NOP NOP TS: 1863612 78446301

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:30:58.538235 202.117.15.143:2082 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63410 IpLen:20 DgmLen:52 DF

***A***F Seq: 0x6D8ACD9E  Ack: 0x19638877  Win: 0xB56D  TcpLen: 32

TCP Options (3) => NOP NOP TS: 1863613 78446301

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:02.686456 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63448 IpLen:20 DgmLen:50 DF

***AP*** Seq: 0x 82216A   Ack: 0x 18AC 8832  Win: 0xB5B0  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:02.842190 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63453 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x822174  Ack: 0x 18AC 8853  Win: 0xB 5AC   TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:05.260218 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63488 IpLen:20 DgmLen:66 DF

***AP*** Seq: 0x822174  Ack: 0x 18AC 8853  Win: 0xB 5AC   TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:05.265287 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63490 IpLen:20 DgmLen:46 DF

***AP*** Seq: 0x82218E  Ack: 0x 18AC 8886  Win: 0xB 5A 5  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:31:05.267161 202.117.15.143:2085 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63491 IpLen:20 DgmLen:64 DF

***A**S* Seq: 0x871DAE5D  Ack: 0x19D69993  Win: 0xFFFF  TcpLen: 44

TCP Options (9) => MSS: 1460 NOP WS: 3 NOP NOP TS: 0 0 NOP NOP

TCP Options => SackOK

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:05.268895 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63492 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x822194  Ack: 0x 18AC 88C 5  Win: 0xB59E  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:31:05.268916 202.117.15.143:2085 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63493 IpLen:20 DgmLen:52 DF

***A**** Seq: 0x871DAE5E  Ack: 0x19D 69C 74  Win: 0xB56D  TcpLen: 32

TCP Options (3) => NOP NOP TS: 1863680 78446982

 

[**] [1:100001:5] tcp_rule_DATA_PORT [**]

[Priority: 0]

12/03-19:31:05.373628 202.117.15.143:2085 -> 202.117.35.70:20

TCP TTL:64 TOS:0x0 ID:63497 IpLen:20 DgmLen:52 DF

***A***F Seq: 0x871DAE5E  Ack: 0x19D 69C 74  Win: 0xB56D  TcpLen: 32

TCP Options (3) => NOP NOP TS: 1863681 78446982

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:10.627192 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63560 IpLen:20 DgmLen:46 DF

***AP*** Seq: 0x822194  Ack: 0x 18AC 88C 5  Win: 0xB59E  TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:10.631880 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63561 IpLen:20 DgmLen:40 DF

***A**** Seq: 0x 82219A   Ack: 0x 18AC 88D4  Win: 0xB 59C   TcpLen: 20

 

[**] [1:100001:5] tcp_rule_CMD_PORT [**]

[Priority: 0]

12/03-19:31:10.636711 202.117.15.143:2080 -> 202.117.35.70:21

TCP TTL:64 TOS:0x0 ID:63563 IpLen:20 DgmLen:40 DF

***A***F Seq: 0x 82219A   Ack: 0x 18AC 88D4  Win: 0xB 59C   TcpLen: 20