网络安全---linux下的snort系统的安装和规则测试(一)

1. Snort简介：Web 站点是 Internet 技术中最脆弱也最易受攻击的部分。尝试接触 Snort，它是一款免费、开源的网络入侵防御系统（Network Intrusion Prevention System，NIPS）和网络入侵检测系统（Network Intrusion Detection System，NIDS）工具，用于管理和防御黑客入侵您的 Web 站点、应用程序和支持 Internet 的程序。
   Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。
2. 实验环境：
   主机CPU：Core(TM) i5-4200M CPU @ 2.50GHz
   VMware版本：12.0.1 build-3160714
   linux版本：ubuntu-15.10-desktop-amd64
   linux内核版本：4.2.0-16-generic
3. 安装snort
   3.1安装lamp: 使用命令

sudo apt-get install mysql-server  libapache2-mod-php5  php5-mysql  libphp-adodb

3.2安装Snort软件包
首先增加软件源，修改sources.list

sudo gedit /etc/apt/sources.list

添加:`

deb http://mirrors.kernel.org/ubuntu precise main universe
deb-src http://mirrors.kernel.org/ubuntu precise main universe

然后`
sudo apt-get update
sudo apt-get install snort-mysql
但是安装结束后，会有显示错误信息，提示我们还没有为snort配置一个mysql数据库。接下来我们为snort创建一个数据库。

3.3为snort建立mysql数据库：
snort-mysql是ubuntu下的snort的mysql辅助软件

进入mysql命令行界面,建立数据库：

CREATE DATABASE snort;
grant CREATE, INSERT, SELECT, UPDATE on snort.* to snort@localhost;
grant CREATE, INSERT, SELECT, UPDATE on snort.* to snort;
SET PASSWORD FOR snort@localhost=PASSWORD('snort-db'); 
exit

以上命令的功能是在MySQL数据库中建立一个snort数据库并建立一个snort用户来管理这个数据库设置snort用户的口令为snort-db。

 cd /usr/share/doc/snort-mysql 
  zcat create_mysql.gz | mysql -u snort -D snort -psnort-db 

为 snort 在 MySQL 中建立了数据库的结构其中包括各个snort需要使用的表。

3.4设置snort把log文件输出到mysql数据库中
修改 Snort 的配置文件sudo vim /etc/snort/snort.conf

#ipvar HOME_NET any
ipvar HOME_NET 192.168.0.0/16
# Set up the external network addresses. Leave as "any" in most situations
#ipvar EXTERNAL_NET any
ipvar EXTERNAL_NET !$HOME_NET

在snort.conf文件中545行左右加入:

output database: log, mysql, user=snort password=snort-db dbname=snort host=localhost

3.5测试apache服务器和php是否正确
配置apache的php模块添加msql和gd的扩展。

$ vim /etc/php5/apache2/php.ini 

extension=msql.so
extension=gd.so

在/var/www/目录下新建一个文本文件test.php

sudo vim /var/www/test.php 

输入内容<?php phpinfo(); ?>

修改etc/Apache2/sites-available下的000-default.config文件，将/var/www/html 改为var/www/
重新启动apache

$ /etc/init.d/apache2 restart 

然后在浏览器中输入 http://localhost/test.php
如果配置正确的话就会出现PHP INFO的经典界面，就标志着LAMP工作正常

（。。。。待续）