Snort的創(chuàng)始人MartyRoesch把Snort定位為輕量級的入侵檢測系統(tǒng)。其實，這個定位是不妥當的。無論對小的家庭用戶還是繁忙的公司網絡，Snort都有能力實時分析和記錄IP數據包，其基于規(guī)則的檢測引擎能夠檢測多種變種攻擊，包括CGI掃描，緩存區(qū)溢出攻擊，SMB探測等。還能為確定網絡中一些莫名其妙的服務都是做什么的提供幫助。Snort能運行在眾多的硬件平臺和操作系統(tǒng)上。因為其可擴展的體系結構和開放源碼的發(fā)布模式，Snort成為入侵檢測軟件中非常流行的選擇。經常有已經花費了數千美元購買入侵檢測系統(tǒng)的管理員還使用Snort來填補網絡中的一些缺口。從本質上說，Snort是網絡數據包嗅探器。只要運行Snort時不加載規(guī)則，就可以把網絡中的數據包顯示出來。但是Snort的真正價值在于把數據包經過規(guī)則處理的過程。Snort靈活的和強大的語言能對網絡中的所有數據包作充分的分析，決定如何處理任何特殊的數據包。Snort可以選擇的方式有忽略、記錄或告警管理員。Snort有很多種記錄或告警的方法，例如，syslog、寫入文件、寫入XML格式文件、發(fā)送WinPopup消息等。當有了新的攻擊手段時，只要簡單加入新的規(guī)則就可以升級Snort。盡管Snort設計得很簡潔，但它并不是一個能夠即安即用的方案。要想把Snort用好，用戶必須對Snort的原理非常熟悉。本書的作者將花很多篇幅教讀者如何使用Snort，從基礎的安裝到高級的規(guī)則配置，覆蓋了使用Snort的方方面面，包括基本安裝、預處理插件配置、系統(tǒng)優(yōu)化等。在這些方面作者提供了珍貴的和有價值的經驗，并用簡單易懂的語言描述出來。這是目前惟一如此深入地描述如何安裝、配置和使用Snort的文檔。Snort沒有打算做所有的事情，沒有打算和商業(yè)入侵檢測軟件作全面競爭。但是在分析和定位惡意的網絡流量時，Snort會做得更好。秘訣就是Snort能讓使用者完全定制自己的規(guī)則。定制規(guī)則的前提是使用者有關于Snort規(guī)則的相關知識。第五章剖析了Snort規(guī)則的構成，指導讀者如何完成一個高效和精確的規(guī)則，并詳細介紹了每個變量，選項和可能用到的動作。
鄂公網安備 42010302001612號 