Loading [MathJax]/jax/output/CommonHTML/config.js

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

社区首页 >问答首页 >关于Snort二次开发的详细教程？

问关于Snort二次开发的详细教程？

提问于 2022-10-05 09:04:05

回答 0关注 0查看 101

Snort安装配置完成之后如何进行预处理器的开发呢？求详细的步骤，可有偿。

回答

成为首答用户。去写回答

相关文章

Snort 是一款开源的IDS/IPS(Intrusion Detection/Prevention System)软件

franket

2022/05/03

3350

包依赖总结 snort-2.9.7.6 依赖以下安装包 pcre.x86_64 pcre-devel.x86_64 libdnet.x86_64 libdnet-devel.x86_64 zlib.x86_64 zlib-devel.x86_64 daq-2.0.6 daq-2.0.6 依赖以下安装包 flex.x86_64 flex-devel.x86_64 bison.x86_64 bison-devel.x86_64 libpcap.x86_64 libpcap-devel

franket

2022/05/03

4440

基于Snort的***检测系统 3

tcp/ip linux 安全网站

三章使用Snort规则如同病毒，大多数***行为都具有某种特征，Snort的规则就是用这些特征的有关信息构建的。在第1章中我们提到，你可以用蜜罐来取得***者所用的工具和技术的信息，以及他们都做了什么。此外，还有***者会利用的已知的系统弱点数据库，如果***者试图利用这些弱点来实施***，也可以作为一些特征。这些特征可能出现在包的头部，也可能在数据载荷中。Snort的检测系统是基于规则的，而规则是基于***特征的。Snort规则可以用来检测数据包的不同部分。Snort 1.x可以分析第3层和第4层的信息，但是不能分析应用层协议。Snort v 2.x增加了对应用层头部分析的支持。所有的数据包根据类型的不同按顺序与规则比对。规则可以用来产生告警信息、记录日志，或使包通过（pass）：对Snort来说，也就是悄悄丢弃(drop)，通过在这里的意义与防火墙或路由器上的意义是不同的，在防火墙和路由其中，通过和丢弃是两个相反的概念。Snort规则用简明易懂的语法书写，大多数规则写在一个单行中。当然你也可以行末用反斜线将一条规则划分为多个行。规则文件通常放在配置文件snort.conf文件中，你也可以用其他规则文件，然后用主配置文件引用它们。本章将提供给你不同类型规则的信息以及规则的基本结构。在本章的最后，你可以找到一些用来检测***活动的规则的例子。读完本章以及后面两章后，你所获得的信息就可以使你建立一个基本的Snort***检测系统了。 3．1 TCP/IP 网络分层在你开始书写规则之前，我们先来简要讨论一下TCP/IP的网络层次结构nort规则是常重要的，因为Snort规则依赖于这些层中的协议。 TCP/IP协议族分为5层，这些层之间相互作用来完成通讯处理工作，它们是： 1、物理层 2、数据链路层，某些文章中也把它们叫做网络接口层。物理层和数据链路层由物理介质、网络接口适配器和网络适配器驱动所构成。以太网地址在数据链路层定义。 3、网络层，也就是IP层。这一层负责点到点的数据通信并提供数据完整性。在这一层，所有的主机以IP地址来区分彼此。除了IP协议之外，这一层的主要协议还有ICMP。关于IP协议的更多信息参见RFC791,关于ICMP协议的更多信息查看RFC792。 4、传输层，也就是TCP/UDP层。TCP(传输控制协议)用来建立从源到目的的可靠的、面向连接的数据传输。而UDP（用户数据报协议）提供无连接的数据传输，UDP在进行数据传输的时候，并不提供数据送达的保证，常用在可以容忍数据丢失的情况下。参见RFC 768获取UDP的更多信息。参见RFC 793来获得更多的关于TCP的信息。 5、应用层，包含提供用户与网络接口的应用程序，例如Telnet、Web浏览器、ftp客户端等。这些应用程序常有自己用来进行数据通信的应用层协议。 Snort规则可以在网络层和传输层进行操作，另外也有一些方法来探测数据链路层和应用层的异常。Snort规则的第二个部分显示了对应的协议，你很快将了解如何书写这些规则。 3．2 第一个不可用的规则这里有个非常不好用的规则，事实上，也许是最差的规则，但是它可以很好的检测Snort是否正常工作，并可以产生告警： alert ip any any -> any any (msg: "IP Packet detected";) 你可以在你第一次安装Snort的时候在snort.conf的末尾加上这条规则，这个规则可以使每当捕获一个IP包都产生告警信息，如果你就这样离开的话，你的硬盘空间很快就会被填满。这个规则之所以不可用，是因为它不信任任何信息。难道你用一个永久规则的目的就是为了检测Snort是否在工作吗？它应该是用来在你安装完Snort后做测试，以确定其工作正常，然后就去掉这条规则。下面的部分你可以了解Snort规则的不同部分，但为完整性起见，下面将简要解释一下刚才的那条规则所用的语句： l “alert”表示如果包与条件匹配，就产生一个告警信息。条件由下面的语句定义。 l “ip”表示规则将被用在所有的IP包上。 l 第一个“any”是对IP包源地址部分的条件定义，表示来自任何一个IP地址的IP包都符合条件，任何IP包都符合本条件。 l 第二个“any”用来定义端口号，因为端口号与IP层无关，任何IP包都符合条件。 l “->”符号表示数据包传送的方向。 l 第3个“any”用来定义目的地址的条件，any表示这条规则并不关心所有包的目的地址。 l 第4个“any”用来定义目的端口条件，再说明一次，因为IP层与端口无关。 l 最后一部分是规则的选项，，并包含一条将被纪录的告警消息。下一条规则不想前面那个那么糟糕，它将对所有捕获的IC

py3study

2020/01/08

1.5K0

它来了，关于Golang并发编程的超详细教程！

导语 | 本文主要对go并发基础库、扩展以及三方库的一些使用和技巧进行介绍，并且指出一些常见问题，以及对一些并发库的选择和优化进行分析和探讨，为读者提供一些相关经验和交流分享。 go原生/扩展库提倡的原则不要通过共享内存进行通信；相反，通过通信来共享内存。 [如何贯彻这个原则的demo1.3.5](#有锁的地方就去用channel优化) Goroutine （一）goroutine并发模型调度器主要结构主要调度器结构是M、P、G： M，内核级别线程，goroutine基于M之上，代表执行者

腾讯云开发者

2021/12/21

2.3K0

关于 RabbitMQ，应该没有比这更详细的教程了！

rabbitmq 消息队列 CMQ 版 kafka 网站 java

从八月份开始，断断续续连载了不少 RabbitMQ 教程，最近抽空整理了一下，未来可能会有一个视频教程，小伙伴们敬请期待。

江南一点雨

2022/01/24

1.1K0

关于 RabbitMQ，应该没有比这更详细的教程了！

learning:snort plugin (1)

plugin 编译插件接口客户端

本文主要介绍vpp snort插件的编译及配置使用流程。在编译vpp之前首先需要安装libdaq库。在github上下载最新代码，并按照指导文档进行编译安装libdaq库。

dpdk-vpp源码解读

2023/09/05

9510

learning:snort plugin (1)

再次配置，就成功了 [root@h101 daq-2.0.6]# ./configure checking for a BSD-compatible install... /usr/bin/install -c checking whether build environment is sane... yes checking for a thread-safe mkdir -p... /bin/mkdir -p checking for gawk... gawk checking whether make

franket

2022/05/03

4680

然后编译和安装 [root@h101 snort-2.9.7.6]# make make all-recursive make[1]: Entering directory `/tmp/snort/snort-2.9.7.6' Making all in src make[2]: Entering directory `/tmp/snort/snort-2.9.7.6/src' Making all in sfutil make[3]: Entering directory `/tmp/snort/sn

franket

2022/05/03

3410

安装snort-2.9.7.6 [root@h101 snort]# tar -zxvf snort-2.9.7.6.tar.gz snort-2.9.7.6/ snort-2.9.7.6/depcomp snort-2.9.7.6/tools/ snort-2.9.7.6/tools/u2streamer/ snort-2.9.7.6/tools/u2streamer/sf_error.h snort-2.9.7.6/tools/u2streamer/sf_error.c snort-2.9.7.6/t

franket

2022/05/03

2140

报错原因是有 Libpcap 的依赖关系解决办法: 安装依赖包 [root@h101 daq-2.0.6]# yum list all | grep -i Libpcap libpcap.x86_64 14:1.4.0-1.20130826git2dbcaa1.el6 libpcap.i686 14:1.4.0-4.20130826git2dbcaa1.el6 libpcap.x8

franket

2022/05/03

2300

安装报错一 [root@h101 snort-2.9.7.6]# ./configure --enable-sourcefire checking for a BSD-compatible install... /usr/bin/install -c checking whether build environment is sane... yes checking for a thread-safe mkdir -p... /bin/mkdir -p checking for gawk... gawk

franket

2022/05/03

3280

安装报错三 [root@h101 snort-2.9.7.6]# ./configure --enable-sourcefire checking for a BSD-compatible install... /usr/bin/install -c checking whether build environment is sane... yes checking for a thread-safe mkdir -p... /bin/mkdir -p checking for gawk... gawk

franket

2022/05/03

2830

解决方法 : 安装 pcre.x86_64 和 pcre-devel.x86_64 软件包

franket

2022/05/03

2560

安装软件包安装daq-2.0.6 [root@h101 snort]# ll total 6560 -rw-r--r-- 1 root root 514687 Oct 28 13:53 daq-2.0.6.tar.gz -rw-r--r-- 1 root root 6198052 Oct 28 13:53 snort-2.9.7.6.tar.gz [root@h101 snort]# tar -zxvf daq-2.0.6.tar.gz daq-2.0.6/ daq-2.0.6/ChangeLog d

franket

2022/05/03

3430

然后编译和安装 [root@h101 daq-2.0.6]# make make all-recursive make[1]: Entering directory `/tmp/snort/daq-2.0.6' Making all in api make[2]: Entering directory `/tmp/snort/daq-2.0.6/api' /bin/sh ../libtool --tag=CC --mode=compile gcc -DHAVE_CONFIG_H -I. -I..

franket

2022/05/03

2480

错误原因是缺少 bison 和 flex ，不仅要安装它们的rpm包，还要安装开发包

franket

2022/05/03

2230

安装报错二 [root@h101 daq-2.0.6]# ./configure checking for a BSD-compatible install... /usr/bin/install -c checking whether build environment is sane... yes checking for a thread-safe mkdir -p... /bin/mkdir -p checking for gawk... gawk checking whether make set

franket

2022/05/03

4340

再次配置，就成功 [root@h101 snort-2.9.7.6]# ./configure --enable-sourcefire checking for a BSD-compatible install... /usr/bin/install -c checking whether build environment is sane... yes checking for a thread-safe mkdir -p... /bin/mkdir -p checking for gawk... g

franket

2022/05/03

2550

revit二次开发教程_BIM二次开发

api 编程算法 https java 网络安全

1) 第一步，利用vs2010建立c# Windows服务类型的项目。

全栈程序员站长

2022/09/19

1.8K0

revit二次开发教程_BIM二次开发

关于指针的详细讲解

一旦指针变量指向对象，就可以使用*运算符访问存储在对象中的内容。例如p指向i,那么可以写出显示i的值：

心跳包

2020/08/31

5270

相似问题

有没有相关详细的教程？

1222

谁有关于flink简单易学的教程？

0127

腾讯会议界面二次开发？

1205

关于特价 CVM 服务器详细配置？

1305

如何使用远程桌面管理云主机，求详细教程？

3688

相关问答用户

请输入您想邀请的人

腾讯云TDP | TDP会员擅长3个领域

架构师之路

到家集团 | 技术VP擅长5个领域

添加站长进交流群

领取专属 10元无门槛券

AI混元助手 在线答疑

关注 腾讯云开发者公众号

洞察 腾讯核心技术

剖析业界实践案例

社区富文本编辑器全新改版！诚邀体验～

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验