Snort

简介

Snort是美国Sourcefire公司开发的发布在GPL v2下的IDS（Intrusion Detection System）软件，在1998年，Marty Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS

工作原理

Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。网络中的数据包有可能是以太网包、令牌环包、TCP/IP包、802.11包等格式。在这一过程包解码器将其解码成Snort认识的统一的格式；之后就将数据包送到预处理器进行处理，预处理包括能分片的数据包进行重新组装，处理一些明显的错误等问题。预处理的过程主要是通过插件来完成，比如Http预处理器完成对Http请求解码的规格化，Frag2事务处理器完成数据包的组装，Stream4预处理器用来使Snort状态化，端口扫描预处理器能检测端口扫描的能力等；对数据包进行了解码，过滤，预处理后，进入了Snort的最重要一环，进行规则的建立及根据规则进行检测。规则检测是Snort中最重要的部分，作用是检测数据包中是否包含有入侵行为。例如规则alert tcp any any ->202.12.1.0/24 80（msg：”misc large tcp packet”；dsize：>3000；）这条规则的意思是，当一个流入202.12.1.0这个网段的TCP包长度超过3000B时就发出警报。规则语法涉及到协议的类型、内容、长度、报头等各种要素。处理规则文件的时候，用三维链表来存规则信息以便和后面的数据包进行匹配，三维链表一旦构建好了，就通过某种方法查找三维链表并进行匹配和发生响应。规则检测的处理能力需要根据规则的数量，运行Snort机器的性能，网络负载等因素决定；最后一步就是输出模块，经过检测后的数据包需要以各种形式将结果进行输出，输出形式可以是输出到alert文件、其它日志文件、数据库UNIX域或Socket等。

安装（ubuntu14.04）

安装snort前，首先需要安装一些依赖包 数据采集库（DAQ））用于一个调用包捕获库的抽象层

https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz

解压并运行./configure、make、make install来安装DAQ。然而，DAQ要求其他的工具，因此，./configure脚本会生成下面的错误

因此在安装DAQ之前先安装flex/bison和libcap

apt-get install flex
apt-get install bison
apt-get install libcap-dev

安装完必要的工具后，再次运行./configure脚本，将会显示下面的输出， 然后使用make和make install 命令进行编译

成功安装DAQ之后，我们现在安装snort

https://www.cnblogs.com/lcamry/p/6339475.html

apt-get install snort

snort命令参数详解

 snort -[options] <filters>

root@ubuntu-virtual-machine:~# snort --help

   ,,_     -*> Snort! <*-
  o"  )~   Version 2.9.6.0 GRE (Build 47)
   ''''    By Martin Roesch & The Snort Team: http://www.snort.org/snort/snort-team
           Copyright (C) 2014 Cisco and/or its affiliates. All rights reserved.
           Copyright (C) 1998-2013 Sourcefire, Inc., et al.
           Using libpcap version 1.5.3
           Using PCRE version: 8.31 2012-07-06
           Using ZLIB version: 1.2.8

USAGE: snort [-options] <filter options>
Options:
        -A         #设置报警模式
                    Set alert mode: fast, full, console, test or none  (alert file alerts only)
                    "unsock" enables UNIX socket logging (experimental).

        -b         #用二进制文件保存网络数据包，以应付高吞吐量的网络
                    Log packets in tcpdump format (much faster!)

        -B <mask>  #将IP地址信息抹掉，去隐私化
                    Obfuscated IP addresses in alerts and packet dumps using CIDR mask

        -c <rules> #使用配置文件规则，使得snort进入IDS模式
                    Use Rules File <rules>

        -C         #打印出只有字符数据的有效载荷（无十六进制）
                    Print out payloads with character data only (no hex)

        -d         #显示包的应用层数据
                    Dump the Application Layer

        -D         #后台运行snort，如无指定，Alerts将写到/var/log/snort/alert
                    Run Snort in background (daemon) mode

        -e         #显示数据链路层信息
                    Display the second layer header info

        -f         #激活PCAP行缓冲（line buffering）
                    Turn off fflush() calls after binary log writes

        -F <bpf>   #指定BPF过滤器
                    Read BPF filters from file <bpf>

        -g <gname> #初始化Snort后以组ID（group ID）运行
                    Run snort gid as <gname> group (or gid) after initialization

        -G <0xid>  #为事件生成设置一个基础事件id值
                    Log Identifier (to uniquely id events for multiple snorts)

        -h <hn>    #设置本地网络为hn，如192.168.1.0/24
                    Set home network = <hn>
                   (for use with -l or -B, does NOT change $HOME_NET in IDS mode)

        -H         #
                    Make hash tables deterministic.

        -i <if>    #设置网络接口为<if>。可以用-W选项查询网络接口列表，然后用接口序号index指定接口。如-i 2
                    Listen on interface <if>

        -I         #报警时附加上接口信息
                    Add Interface name to alert output

        -k <mode>  #为all，noip，notcp，noudp，noicmp，or none设置校验和模式
                    Checksum mode (all,noip,notcp,noudp,noicmp,none)

        -K <mode>  #设置保存文件的格式：pcap，ascii， none。pcap是默认格式，同于-b选项的格式。ascii是老的模式格式。none则关闭数据包记录
                    Logging mode (pcap[default],ascii,none)

        -l <ld>    #设置数据包文件存放目录<ld>。默认目录是/var/log/snort
                    Log to directory <ld>

        -L <file>  #设置二进制输出文件的文件名为<fn>
                    Log to this tcpdump file

        -M         #当以非后台模式daemon运行时，保存信息到syslog
                    Log messages to syslog (not alerts)

        -m <umask> #设置snort输出文件的权限位
                    Set umask = <umask>

        -n <cnt>   #出来<count>个报文后终止程序
                    Exit after receiving <cnt> packets

        -N         #关闭保存日志包功能
                    Turn off logging (alerts still work)
        -O         #在ASCII数据包捕获模式下混淆IP地址
                    Obfuscate the logged IP addresses

        -p         #关闭混杂模式
                    Disable promiscuous mode sniffing

        -P <snap>  #设置snaplen，默认值是当前网卡的MTU
                    Set explicit snaplen of packet (default: 1514)

        -q         #安静模式，不显示标志和状态报告
                    Quiet. Don't show banner and status report

        -Q         #当在线（in-line）运行时，从iptables/IPQ中读取数据包
                    Enable inline mode operation.

        -r <tf>    #从pcap格式的文件中读取数据包
                    Read and process tcpdump file <tf>

        -R <id>    # 为snort pidfile增加下标
                    Include 'id' in snort_intf<id>.pid file name

        -s         #使snort把报警消息发送到syslog，默认的设备是LOG_AUTHPRIV和LOG_ALERT。可以修改snort.conf文件修改其配置
                    Log alert messages to syslog

        -S <n=v>   #为变量n设置值为v
                    Set rules file variable n equal to value v

        -t <dir>   #初始化后将Snort的根目录改变为<chroot>
                    Chroots process to <dir> after initialization

        -T         # 以自检测模式启动Snort
                    Test and report on the current Snort configuration

        -u <uname> #初始化后改变Snort的UID
                    Run snort uid as <uname> user (or uid) after initialization

        -U         #在时间戳上用UTC时间代替本地时间
                    Use UTC for timestamps

        -v         #从网络上读出数据包然后显示在你的控制台上
                    Be verbose

        -V         #查看版本号并退出
                    Show version number

        -X         #显示包括数据链路层的原始数据包
                    Dump the raw packet data starting at the link layer

        -x         #如果出现Snort配置问题，请退出
                    Exit if Snort configuration problems occur

        -y         #在时间戳里显示年份
                    Include year in timestamp in the alert and log files

        -Z <file>  #设置性能监视器(perfmon)路径
                    Set the performonitor preprocessor file path and name

        -?         #帮助信息
                    Show this information
<Filter Options> are standard BPF options, as seen in TCPDump
Longname options and their corresponding single char version
   --logid <0xid>                  Same as -G
   --perfmon-file <file>           Same as -Z
   --pid-path <dir>                #为SnortPID文件指定路径
                                    Specify the directory for the Snort PID file

   --snaplen <snap>                Same as -P
   --help                          Same as -?
   --version                       Same as -V
   --alert-before-pass             #在pass之前处理alert, drop, sdrop, or reject. 默认是pass before alert, drop, etc.
                                    Process alert, drop, sdrop, or reject before pass, default is pass before alert, drop,...

   --treat-drop-as-alert           #将drop处理为alert
                                    Converts drop, sdrop, and reject rules into alert rules during startup

   --treat-drop-as-ignore          Use drop, sdrop, and reject rules to ignore session traffic when not inline.
   --process-all-events            Process all queued events (drop, alert,...), default stops after 1st action group
   --enable-inline-test            Enable Inline-Test Mode Operation
   --dynamic-engine-lib <file>     Load a dynamic detection engine
   --dynamic-engine-lib-dir <path> Load all dynamic engines from directory
   --dynamic-detection-lib <file>  Load a dynamic rules library
   --dynamic-detection-lib-dir <path> Load all dynamic rules libraries from directory
   --dump-dynamic-rules <path>     Creates stub rule files of all loaded rules libraries
   --dynamic-preprocessor-lib <file>  Load a dynamic preprocessor library
   --dynamic-preprocessor-lib-dir <path> Load all dynamic preprocessor libraries from directory
   --dynamic-output-lib <file>  Load a dynamic output library
   --dynamic-output-lib-dir <path> Load all dynamic output libraries from directory
   --create-pidfile                Create PID file, even when not in Daemon mode
   --nolock-pidfile                Do not try to lock Snort PID file
   --no-interface-pidfile          Do not include the interface name in Snort PID file
   --disable-attribute-reload-thread Do not create a thread to reload the attribute table
   --pcap-single <tf>              #读取单个pcap文件
                                    Same as -r.

   --pcap-file <file>              #读取多个pcap文件
                                    file that contains a list of pcaps to read - read mode is implied.

   --pcap-list "<list>"            #以列表的形式在命令行读取
                                    a space separated list of pcaps to read - read mode is implied.

   --pcap-dir <dir>                #读取指定目录下的所有pcap文件
                                    a directory to recurse to look for pcaps - read mode is implied.
                                    
   --pcap-filter <filter>          #用过滤方式读取pcap文件
                                    filter to apply when getting pcaps from file or directory.
                                    
   --pcap-no-filter               #用非过滤方式读取pcap文件
                                    reset to use no filter when getting pcaps from file or directory.
                                    
   --pcap-loop <count>             this option will read the pcaps specified on command line continuously.
                                   for <count> times.  A value of 0 will read until Snort is terminated.
   --pcap-reset                    if reading multiple pcaps, reset snort to post-configuration state before reading next pcap.
   --pcap-reload                   if reading multiple pcaps, reload snort config between pcaps.
   --pcap-show                     print a line saying what pcap is currently being read.
   --exit-check <count>            Signal termination after <count> callbacks from DAQ_Acquire(), showing the time it
                                   takes from signaling until DAQ_Stop() is called.
   --conf-error-out                Same as -x
   --enable-mpls-multicast         Allow multicast MPLS
   --enable-mpls-overlapping-ip    Handle overlapping IPs within MPLS clouds
   --max-mpls-labelchain-len       Specify the max MPLS label chain
   --mpls-payload-type             Specify the protocol (ipv4, ipv6, ethernet) that is encapsulated by MPLS
   --require-rule-sid              Require that all snort rules have SID specified.
   --daq <type>                    Select packet acquisition module (default is pcap).
   --daq-mode <mode>               Select the DAQ operating mode.
   --daq-var <name=value>          Specify extra DAQ configuration variable.
   --daq-dir <dir>                 Tell snort where to find desired DAQ.
   --daq-list[=<dir>]              List packet acquisition modules available in dir.  Default is static modules only.
   --dirty-pig                     Don't flush packets and release memory on shutdown.
   --cs-dir <dir>                  Directory to use for control socket.
   --ha-peer                       Activate live high-availability state sharing with peer.
   --ha-out <file>                 Write high-availability events to this file.
   --ha-in <file>                  Read high-availability events from this file on startup (warm-start).

工作原理（嗅探器、数据包记录器、网络入侵检测系统）

嗅探器

snort从网络上读出数据包然后显示在你的控制台上

数据包记录器

如果要把所有的包记录到硬盘上，你需要指定一个日志目录，snort就会自动记录数据包

snort -dev -l ./log

snort -dev -l ./log -h 192.168.1.0/24

这个命令告诉snort把进入C类网络192.168.1的所有包的数据链路、TCP/IP以及应用层的数据记录到目录./log中。

网络入侵检测系统

snort最重要的用途还是作为网络入侵检测系统(NIDS)，使用下面命令行可以启动这种模式

snort -dev -l ./log -h 192.168.1.0/24 -c snort.conf

snort.conf是规则集文件。snort会对每个包和规则集进行匹配，发现这样的包就采取相应的行动。如果你不指定输出目录，snort就输出到/var/log/snort目录。

注意：如果你想长期使用snort作为自己的入侵检测系统，最好不要使用-v选项。因为使用这个选项，使snort向屏幕上输出一些信息，会大大降低snort的处理速度，从而在向显示器输出的过程中丢弃一些包。

此外，在绝大多数情况下，也没有必要记录数据链路层的包头，所以-e选项也可以不用

snort -d -h 192.168.1.0/24 -l ./log -c snort.conf