IDS入侵检测系统搭建（Linux ）

Snort 它是一个多平台的、实时流量分析的入侵检测系统。Snort是一个基于libpcap的数据包嗅探器并可以作为一个轻量级的网络入侵检测系统。

snort有三种工作模式：
1、嗅探器
嗅探器模式：是从网络上读取数据包并作为连续不断的流显示在终端上。
2、数据包记录器
数据包记录器：是把数据包记录到硬盘上。
3、网络入侵检测系统。
网路入侵检测：它是可配置的（所以会相对是比较复杂的）。

工作原理：
是因为能够对网络上的数据包进行抓包，但区别于嗅探器的它能够根据自定义规则来进行相应和处理。根据以下的规则有五种响应的机制。
Activation （报警并启动另外一个动态规则链）
Dynamic （由其它的规则包调用）
Alert （报警）
Pass （忽略）
Log （不报警但记录网络流量）

Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。

Snort的运行：
主要是通过各插件协同工作才使其功能强大，所以在部署时选择合适的数据库，Web服务器，图形处理程序软件及版本也非常重要。

不足：
Snort之所以说他是轻量型就是说他的功能还不够完善，比如与其它产品产生联动等方面还有待改进；Snort由各功能插件协同工作，安装复杂，各软件插件有时会因版本等问题影响程序运行；Snort对所有流量的数据根据规则进行匹配，有时会产生很多合法程序的误报。

入侵检测系统：IDS
入侵防护系统：IPS

IDS是防护检测、IPS是防护功能；
SessionWall ：CA公司出品、图形界面、可以流量和程序全面监控通过报警和阻塞规则进行相应。
RealSecure ：ISS RealSecure是一种实时监控软件，它包含控制台、网络引擎和系统代理三个部分组成。RealSecure的模板包括安全事件模板、连接事件模板和用户定义事件模板。
IDS从本质上可以分成两类：网络型IDS(NIDS)和主机型IDS(HIDS)这两种IDS。
基于主机的叫HIDS （软件）snort（用于没有被防火墙检测出来的入侵）。需要安装到被保护的主机、（可以查看流量、日志、用户行为和一些文件）
基于网络的叫NIDS （硬件）神州数码 H3C 都有（硬件产品），安装需要和交换机来结合的；

工作原理：
IDS监听端口：（收集它所关心的报文
特征比较：IDS 提取的流量统计特征值、与特征库比对；
报警：匹配度较高的报文刘来那个将被认为是进攻，IDS将报警。
【信息的收集 --- 分析– 检测是否报警】
基于主机的应用检测；也只装在重要的主机上面。
基于网络的入侵检测：就要部署在网络设备上。

IDS的部署位置（snort）：

（ 如果没有装IDS 的只能依靠路由的基本设置来保护内网 ）

在linux下的应用：（示例）

平台：
Linux5.4
软件包：
adodb514.zip
（一种 PHP 存取数据库的中间函式组件、对php优化的一个数据库支持；）
base-1.4.5.tar.gz
（是一个用来查看Snort IDS告警的Web应用程序）
snort-2.8.0.1-1.RH5.i386.rpm
（入侵检测系统）
snort-mysql-2.8.0.1-1.RH5.i386.rpm
（snort与数据库结合器件）
snortrules-snapshot-2.8.tar.gz
（入侵检测规则库）

相关阅读：