实验三入侵检测技术

《实验三入侵检测技术》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、实验单元三.网络扫描5.2开发设计型实验一、实验目的和要求1.windows平台上Snort的安装和使用2.检测外部网络远程登录内部网的非法请求3.检测ICMP攻击报文二、实验内容和原理Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另夕

2、、一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记

3、泶网络流量）五种响应的机制。Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成HP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以円志或警告的方式输出。Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不

4、同采用libpcap或wi叩cap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。网络中的数据包有可能是以太网包、令牌环包、TCP/IP包、802.11包等格式。在这一过程包解码器将其解码成Snort认识的统一的格式；之后就将数据包送到预处理器进行处理，预处理包括能分片的数据包进行重新组装，处理一些明显的错误等问题。预处理的过程主要是通过插件来完成，比如Http预处理器完成对Http请求解码的规格化,Frag2事务处理器完成数据包的组装，Streak预处理器用来使Snort状态化，端口扫描

5、预处理器能检测端UI扫描的能力等；对数据包进行了解码，过滤，预处理后，进入了Snort的最重耍一环，进行规则的建立及根据规则进行检测。规则检测是Snort中最重要的部分，作用是检测数据包中是否包含有入侵行为。例如规则alerttcpanyany->202.12.1.0/2480(msg：misclargetcppacket”；dsizc：>3000；)这条规则的意思是,当一个流入202.12.1.0这个网段的TCP包讼度超过3000B时就发出警报。规则语法涉及到协议的类型、内容、长度、报头等各种要素。处理

6、规则文件的时候，用三维链表来存规则信息以便和后面的数据包进行匹配，三维链表一旦构建好了，就通过某种方法査找三维链表并进行匹配和发生响应。规则检测的处理能力需要根据规则的数量，运行Snort机器的性能，网络负载等因素决定；最后一步就是输出模块，经过检测后的数据包需要以各种形式将结果进行输出，输出形式可以是输出到alert文件、其它日志文件、数据库UNIX域或Socket等。三、实验项目(1)windows平台上Snort的安装和使用(2)检测外部网络远程登录内部网的非法请求(3)检测ICMP攻击报文四、实验

7、所需软硬件1)仪器设备条件：PC及其网络环境；2)物质条件:Windows、Linux、Snort；3)相关文献资料：教学网站所提供的电子文档。五、操作方法与实验步骤(1)Windows环境下Snort安装配置所需软件软件名称说明acid-0.9.6b23.taradodb465.zipappserv-win32-2.5el0.exeSnort2904lnstaller.exeWinPeap_4_l_2.exejpgraph-3.5.0bl.tarsnortrules-snapshot-2903.tar1

8、安装appserv-win32-2.5-10.exe2测试是否安装成功▼

9、函卜，UBing打开浏览器，地址为“http://localhost:8080/test”r•phpinfo()-WindowsInternetExplorer—localhost.b^as(p)安全(s)，工目(o)▼吻合哎iK夹

10、合色建改网色网页快:遵phpinfoOj5i'▼0▼E3按照InternetExplorer中的默认没费现S已夭闭Intranet设笠.单去此5t番看更多远项…SystemWindowsNTWIN-A2

11、AIUT46M876.1build7601BuildDateMay2200818:01:20ConfigureCommandcscript/nologoconfigure.js••enable-snapshot-build"**--with-gd=shared'*"--with-extra-includes=C：WProgramFiles(x86)WMicrosoftSDKWInclude；CWPROGRA-2WMICROS~