实验三入侵检测技术.doc

《实验三入侵检测技术.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、.实验单元三.网络扫描5.2开发设计型实验一、实验目的和要求1.windows平台上Snort的安装和使用2.检测外部网络远程登录部网的非法请求3.检测ICMP攻击报文二、实验容和原理Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。 　　Snort有数据包嗅探，数据包分析，数据包检测，响应处

2、理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。..Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。网络中的数据包有可能是以太网包、令牌环包、TCP/IP包、

3、802.11包等格式。在这一过程包解码器将其解码成Snort认识的统一的格式；之后就将数据包送到预处理器进行处理，预处理包括能分片的数据包进行重新组装，处理一些明显的错误等问题。预处理的过程主要是通过插件来完成，比如Http预处理器完成对Http请求解码的规格化，Frag2事务处理器完成数据包的组装，Stream4预处理器用来使Snort状态化，端口扫描预处理器能检测端口扫描的能力等；对数据包进行了解码，过滤，预处理后，进入了Snort的最重要一环，进行规则的建立及根据规则进行检测。规则检测是Snort中最重要的部分，作用是检测数据包中是否包含有入侵行为。例如规则alerttcpany

4、any->202.12.1.0/2480（msg：”misclargetcppacket”；dsize：>3000；）这条规则的意思是，当一个流入202.12.1.0这个网段的TCP包长度超过3000B时就发出警报。规则语法涉及到协议的类型、容、长度、报头等各种要素。处理规则文件的时候，用三维链表来存规则信息以便和后面的数据包进行匹配，三维链表一旦构建好了，就通过某种方法查找三维链表并进行匹配和发生响应。规则检测的处理能力需要根据规则的数量，运行Snort机器的性能，网络负载等因素决定；最后一步就是输出模块，经过检测后的数据包需要以各种形式将结果进行输出，输出形式可以是输出到alert

5、文件、其它日志文件、数据库UNIX域或Socket等。三、实验项目（1）windows平台上Snort的安装和使用（2）检测外部网络远程登录部网的非法请求（3）检测ICMP攻击报文四、实验所需软硬件1）仪器设备条件：PC及其网络环境；2）物质条件：Windows、Linux、Snort；3）相关文献资料：教学所提供的电子文档。五、操作方法与实验步骤（1）Windows环境下Snort安装配置所需软件软件名称说明acid-0.9.6b23.taradodb465.zipappserv-win32-2.5.10.exeSnort_2_9_0_4_Installer.exeWinPcap_4

6、_1_2.exe..jpgraph-3.5.0b1.tarsnortrules-snapshot-2903.tar1安装appserv-win32-2.5.10.exe2测试是否安装成功打开浏览器，地址为“localhost:8080/test”3安装WinPcap_4_1_2.exe4安装Snort_2_9_0_4_Installer.exe默认即可，完成后打开命令行测试是否安装成功命令为“C:Snortbin>snort-W”(W大写)，如下图..5配置数据库打开浏览器，输入地址“localhost:8080/”，如图所示创建snort和acid两个账户..6启用php对MyS

7、ql的支持7安装adodb465.zip8安装jpgraph-3.5.0b1.tar9安装acid-0.9.6b23.tar10配置snort11添加snort规则库snortrules-snapshot-2903.tar12测试snort命令行中输入以下命令C:Snortbin>snort-c"C:Snortetcsnort.conf"-l"C:Snortlog"-d-e-X-i2如果未报错则安装成功，如图所示..打开浏览器，打