CentOS7 安装Snort及使用

[CentOS] [Snort] [NIDS]
记录CentOS服务器上安装和使用Snort入侵检测系统。

1 安装

IBM developer上有详细的中文教程，但照着做时还是遇到了一些问题。
贴上正确的安装命令：

#这里的版本号可能比较旧了，建议先浏览器访问https://www.snort.org/downloads/snort/目录，找到最新版的daq-*.centos7.x86_64.rpm文件和snort-*。centos7.x86_64.rpm文件
sudo yum install https://www.snort.org/downloads/snort/daq-2.0.6-1.centos7.x86_64.rpm
sudo yum install https://www.snort.org/downloads/snort/snort-2.9.12-1.centos7.x86_64.rpm

测试：snort，如果没有报错则安装成功。
我遇到的问题：snort: error while loading shared libraries: libdnet.1: cannot open shared object file: No such file or directory
解决：

1. 输入命令whereis libdnet
2. 反馈为libdnet: /usr/lib64/libdnet.so
3. 由于系统读取路径为/usr/lib，于是添加系统路径并改写libdnet.so的名称
4. cd /etc/ld.so.conf.d/ vim libdnet.conf，写入libdnet.so的路径，即/usr/lib64
5. /sbin/ldconf
6. cp /usr/lib64/libdnet.so /usr/lib64/libdnet.1

再次执行snort，直接开始嗅探抓包，问题解决。

2 使用

snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。
嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网路入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。
——Snort中文手册

2.1 启动

主要研究网络入侵检测(NIDS)模式，使用下面命令行可以启动这种模式：

./snort -d -l ./log -h 192.168.1.0/24 -c snort.conf

snort.conf是规则集文件。snort会对每个包和规则集进行匹配，发现这样的包就采取相应的行动。如果你不指定输出目录，snort就输出到/var/log/snort目录。
这是使用snort作为网络入侵检测系统最基本的形式，符合规则的包以ASCII形式保存在有层次的目录结构中。

-d转储应用层数据，-l指定日志目录，-h设置home nework，-c只输出字符数据。
####2.2 规则
Snort规则被分成两个逻辑部分：规则头和规则选项。规则头包含规则的动作，协