网络基础及安全 4

第8章入侵检测技术入侵检测概述入侵检测系统的技术指标入侵检测系统的分类入侵检测系统的部署入侵检测系统的关键技术入侵检测与入侵防护入侵检测的标准化蜜罐及蜜网技术Snort入侵检测实验电子工业出版社8.1入侵检测概述 本节介绍了入侵检测的基本概念、发展历史，入侵检测系统的作用、组成、优缺点及技术指标。8.1.1入侵检测的基本概念入侵，指未经授权蓄意尝试访问信息、窜改信息，使系统不可靠或不能使用；或者是指有关试图破坏资源的完整性、机密性及可用性的活动集合。入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”（参见国标GB/T18336）。电子工业出版社

入侵检测是对计算机和网络资源上的恶意使用行为进行识别和相应处理的过程。它不仅可以检测来自外部的攻击，同时也可以监控内部用户的非授权行为。入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息以及对（网络）系统的运行状态进行监视，并对各种收集到的信息进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，以保证系统资源的机密性、完整性和可用性，实现对入侵行为的早期发觉。入侵检测的作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。电子工业出版社8.1.2入侵检测的发展历史1概念的诞生1980年4月，JamesP.Anderson为美国空军做了题为《ComputerSecurityThreatMonitoringandSurveillance》（计算机安全威胁监控与监视）的技术报告中指出，审计记录可以用于识别计算机误用，他给威胁进行了分类，第一次详细阐述了入侵检测的概念。电子工业出版社2模型的发展1984—1986年，乔治敦大学的DorothyDenning和SRI/CSL（SRI公司计算机科学实验室）的PeterNeumann研究出了一个实时入侵检测系统模型-IDES（IntrusionDetectionExpertSystems入侵检测专家系统），是第一个在一个应用中运用了统计和基于规则两种技术的系统，是入侵检测研究中最有影响的一个系统。电子工业出版社通用入侵检测模型电子工业出版社Denning所提出的入侵检测基本模型，其意义在于一般化的模型定义，并不强调具体的实现技术。基本模型中的各个部件都可根据实际系统的设计要求，加以具体实现，同时可以加以细化和进一步扩展。电子工业出版社3里程碑的产生1990年是入侵检测系统发展史上的一个分水岭。加州大学戴维斯分校的L.T.Heberlein等人开发出了NSM（networksecuritymonitor），写了一篇论文《ANetworkSecurityMonitor》，该监控器用于捕获TCP/IP分组，第1次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机，网络入侵检测从此诞生。电子工业出版社4新的发展近些年来，入侵检测的主要创新包括：分布式入侵检测系将基于主机和基于网络的检测方法集成到一起，它的检测模型采用了分层结构。基于图的入侵检测系统的设计和实现，该系统使得对大规模自动或协同攻击的检测更为便利，这些攻击有时甚至可能跨过多个管理领域。Forrest等将免疫原理运用到分布式入侵检测领域；1998年，RossAnderson将信息检索技术引进到入侵检测。2000年以来Yahoo、CNN等大型网站遭受的分布式拒绝服务攻击引发了对IDS系统的新一轮研究热潮。电子工业出版社8.1.3入侵检测系统的作用及组成1入侵检测系统的作用入侵检测系统（IntrusionDetectionSystem）是对防火墙有益的补充，入侵检测系统被认为是防火墙之后的第二道安全闸门，对网络进行检测，提供对内部攻击、外部攻击和误操作的实时监控，提供动态保护大大提高了网络的安全性。电子工业出版社入侵检测系统主要有以下功能：事前警告：入侵检测系统能够在入侵攻击对网络系统造成危害前，及时检测到入侵攻击的发生，并进行报警；事中防御：入侵攻击发生时，入侵检测系统可以通过与防火墙联动、TCPKiller等方式进行报警及动态防御；事后取证：被入侵攻击后，入侵检测系统可以提供详细的攻击信息，便于取证分析。电子工业出版社入侵检测作为安全技术其作用在于：

识别入侵者；识别入侵行为；检测和监视已成功的安全突破；为对抗入侵及时提供重要信息；阻止事件的发生和事态的扩大。实现入侵检测功能的软件与硬件的组合即被称为入侵检测系统，主要执行以下任务：监测并分析用户和系统的活动；核查系统配置漏洞、系统构造和弱点的审计；统计分析异常行为；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反安全策略的行为；针对已发现的攻击行为作出适当的反应，如告警、中止进程等；异常行为模式的统计分析；一个高质量的IDS产品除了具备以上入侵检测功能外，还必须具备较高的可管理性和自身安全性。电子工业出版社互联网工程任务组（TheInternetEngineeringTaskForce,IETF）将一个IDS分为四个组件：事件产生器（EventGenerators）；事件分析器（EventAnalyzers）；响应单元（ResponseUnits）；事件数据库（EventDatabases）。电子工业出版社8.1.4IDS的优缺点分析

1入侵检测系统的优势IDS是安全防御系统中的一个重要组件，在具备优点的同时也不可避免地存在一些局限性。以下简略地列举一些优缺点分析。优势：

可以检测和分析系统事件以及用户的行为；

可以测试系统设置的安全状态；

以系统的安全状态为基础，跟踪任何对系统安全的修改操作；

通过模式识别等技术从通信行为中检测出已知的攻击行为；

可以对网络通信行为进行统计，并进行检测分析；

管理操作系统认证和日志机制并对产生的数据进行分析处理；

在检测到攻击的时候，通过适当的方式进行适当的报警处理；

通过对分析引擎的配置对网络的安全进行评估和监督；

允许非安全领域的管理人员对重要的安全事件进行有效的处理。电子工业出版社2入侵检测系统的局限性

入侵检测系统存在以下缺陷：（1）入侵检测系统无法弥补安全防御系统中的安全缺陷和漏洞。（2）对于高负载的网络或主机，很难实现对网络入侵的实时检测、报警和迅速地进行攻击响应。（3）基于知识的入侵检测系统很难检测到未知的攻击行为，也就是说，检测具有一定的后滞性，而对于已知的报警，一些没有明显特征的攻击行为也很难检测到，或需要付出提高误报警率的代价才能够正确检测。（4）入侵检测系统的主动防御功能和联动防御功能会对网络的行为产生影响，同样也会成为攻击者的目标，实现以入侵检测系统自主防御为目标的攻击。（5）入侵检测系统无法单独防止攻击行为的渗透，只能调整相关网络设备的参数或人为地进行处理。（6）网络入侵检测系统在纯交换环境下无法正常工作，只有对交换环境进行一定的处理，利用镜像等技术，网络入侵检测系统才能对镜像的数据进行分析处理。电子工业出版社8.1.5入侵检测系统的技术指标

IDS的主要目的就是有效地检测出入侵行为，并进行及时处理。检测率用来确定在一个时间段内及在给定的环境中IDS可以正确检测到攻击的比率。当系统将正常的行为确认为人侵行为时就是发生误报(FalsePositive)。误报率用来确定在一个特定的时间段内及在给定环境中IDS所产生的误报比率，大多数产生误报的原因是正常的非恶意的后台流量引起的。当系统将入侵行为确认为正常行为时，则发生漏报(FalseNegatire)。漏报率用来衡量一个特定的时间段及在给定环境中IDS所产生的漏报比率。电子工业出版社除了上面的几项指标外，还有几项重要的指标需要加以考虑。它们包括：每秒数据流量、每秒抓包数、每秒能监控的网络连接数、每秒能够处理的事件数、自身安全性(抵抗对入侵检测系统本身的攻击)、事件关联能力、检测未知攻击的能力、确认攻击是否成功的能力等。电子工业出版社8.2入侵检测系统的分类随着入侵检测技术的发展，到目前为止出现了很多入侵检测系统，不同的入侵检测系统具有不同的特征。根据不同的分类标准，入侵检测系统可分为不同的类别。对于入侵检测系统，要考虑的因素（分类依据）主要的有：信息源、入侵、事件生成、事件处理、检测方法等。下面就不同的分类依据及分类结果分别加以介绍。电子工业出版社8.2.1根据信息源分类按照原始数据的来源，可以将入侵检测系统分为基于主机的入侵检测系统、基于网络的入侵检测系统和混合型入侵检测系统。电子工业出版社1．主机型入侵检测系统主机入侵检测系统HIDS(Hostintrusiondetectionsystems)以系统日志、应用程序日志等作为数据源，也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型IDS保护的一般是所在的系统。2.网络型入侵检测网络入侵检测系统NIDS(networkintrusiondetectionsystems)的数据源是网络上的数据包。基于网络的IDS有许多仅靠基于主机的入侵检测法无法提供的功能。它有以下优点：(1)监测速度快。(2)隐蔽性好。一个网络上的监测器不像一个主机那样明显和易被存取，因而也不那么(3)建设范围更宽。(4)较少的监测器。(5)攻击者不易转移证据。(6)操作系统无关性。(7)可以配置在专门的机器上，不会占用被保护的设备上的资源。电子工业出版社3.分布式入侵检测系统基于网络和基于主机的入侵检测系统都有不足之处，会造成防御体系的不全面，综合了基于网络和基于主机的分布式入侵检测系统既可以发现网络中的攻击信息，也可以从系统日志中发现异常情况。典型的分布式入侵检测系统是控制台/探测器结构。电子工业出版社8.2.2按照功能分类

按功能的不同，IDS可分为以下几类：网络入侵检测系统NIDS（NetworkIntrusionDetectionSystem），这类IDS通过对网络中传输的数据包进行分析，从而发现可能的恶意攻击企图。系统完整性校验系统SIV（SystemIntegrityVerifiers），这类IDS用来校验系统文件，查看系统是否已经被入侵者攻破而且更改了系统原文件并留下了后门。日志文件分析系统LFM（LogFileMonitors），这类IDS主要通过监测网络服务所产生的日志文件来获得潜在的恶意攻击企图。欺骗系统DS（DeceivingSystem），又称蜜罐系统（HoneyPots），这类IDS通过模拟一些著名漏洞并提供虚假服务来欺骗入侵者，从而达到迷惑入侵者的目的。电子工业出版社8.2.3根据检测方法分类

按照检测方法将IDS分为异常和误用两种，然后分别对其建立异常检测模型和误用检测模型。异常入侵检测是指能够根据异常行为和使用计算机资源的情况检测出入侵的方法。它试图用定量的方式描述可以接受的行为特征，以区分非正常的、潜在的入侵行为。误用入侵检测是指利用已知系统和应用软件的弱点攻击模式来检测入侵的方法。与异常入侵检测不同，误用入侵检测能直接检测不利的或不可接受的行为，而异常入侵检测是检测出与正常行为相违背的行为。电子工业出版社1．异常检测在异常检测中，观察到的不是已知的入侵行为，而是所研究的通信过程中的异常现象，它通过检测系统的行为或使用情况的变化来完成。2．误用检测在误用检测中，入侵过程模型及它在被观察系统中留下的踪迹是决策的基础。所以，可事先定义某些特征的行为是非法的，然后将观察对象与之进行比较以做出判别。电子工业出版社8.2.4根据体系结构分类

按照体系结构，IDS可分为集中式、等级式和协作式3种。1集中式入侵检测系统集中式IDS可能有多个分布于不同主机上的审计程序，但只有一个中央入侵检测服务器。2等级式入侵检测系统等级式(部分分布式)IDS中，定义了若干个分等级的监控区域，每个IDS负责一个区域，每一级IDS只负责所监控区的分析，然后将当地的分析结果传送给上一级IDS。3协作式入侵检测系统协作式IDS将中央检测服务器的任务分配给多个基于主机的IDS，这些IDS不分等级，各司其职，负责监控当地主机的某些活动。电子工业出版社8.2.5根据检测的实时性分类入侵检测系统还可以按响应时间分为实时和非实时处理系统。电子工业出版社8.2.6根据入侵检测响应方式入侵检测响应方式分为主动响应和被动响应。被动响应系统只会发出告警通知，将发生的不正常情况报告给管理员，本身并不试图降低所造成的破坏，更不会主动地对攻击者采取反击行动。主动响应系统可以分为两类：对被攻击系统实施控制的系统和对攻击系统实施控制的系统。电子工业出版社8.3入侵检测系统的部署8.3.1IDS应用部署1.部署在DMZ区使用入侵检测系统和防火墙共同构建网络安全防护体系有多种组合方法，用户可以根据需要进行选择，具体可以结合网络中防火墙的位置和安全需求来进行部署。2.部署在外网入口3.部署在内网主干4.部署在个别关键子网6.基于主机的入侵检测系统的部署电子工业出版社8.3.2IDS技术部署方式 从技术原理上来讲，IDS的部署主要有以下几种：共享模式和交换模式隐蔽模式分接器Tap模式

可捕获100%的数据包，没有丢包。可监测到不规则的数据包，方便于故障排查。精确的时间戳，没有延迟和重定时.需额外花费购买分路器TAP,一次只能看一条链路.

串联In-Line模式电子工业出版社8.3.3入侵检测系统的设置步骤入侵检测系统的设置主要分为以下几个基本的步骤：

①确定入侵检测需求。

②设计入侵检测系统在网络中的拓扑位置。

③配置入侵检测系统。

④入侵检测系统磨合。

⑤入侵检测系统的使用及自调节。电子工业出版社图8-3入侵检测系统设置流程图电子工业出版社在网络中部署IDS时，可以使用多个NIDS和HIDS，这完全根据网络的实际情况和自己的需求。电子工业出版社图8-4典型的IDS的部署图电子工业出版社8.4入侵检测系统的关键技术8.4.1NIDS的关键技术1IP碎片重组技术

2TCP流重组技术

3协议分析技术

4零复制技术

电子工业出版社8.4.2HIDS的关键技术1文件和注册表保护技术

2网络安全防护技术

3文件完整性分析技术

电子工业出版社8.5入侵检测系统的标准化1.入侵检测工作组的标准草案为了提高IDS产品、组件及与其他安全产品之间的互操作性，美国国防高级研究计划署（DARPA）和互联网工程任务组（IETF）的入侵检测工作组IDWG（IntrusionDetectionWorkingGroup）发起制定了一系列IDS的标准草案。IDWG主要负责制定入侵检测响应系统之间共享信息的数据格式和交换信息的方式，以及满足系统管理的需要。电子工业出版社IDWG提出的建议草案包括三部分内容：入侵检测消息交换格式IDMEF（IntrusionDetectionMessageExchangeFormat）、入侵检测交换协议IDXP（IntrusionDetectionExchangeProtocol）以及隧道模型（TunnelProfile）。电子工业出版社2.通用入侵检测框架

DARPA提出的建议是通用入侵检测框架CIDF（CommonIntrusionDetectionFramework

），最早由加州大学戴维斯分校安全实验室主持起草工作。CIDF主要介绍了一种通用入侵说明语言，用来表示系统事件、分析结果和响应措施。为了把IDS从逻辑上分为面向任务的组件，CIDF试图规范一种通用的语言格式和编码方式以表示在组件边界传递的数据。CIDF所做的工作主要包括四部分：IDS的体系结构、通信体制、描述语言和应用编程接口。

电子工业出版社8.6入侵防护8.6.1入侵防护系统入侵防御系统IPS（IntrusionPreventionSystem）是指能检测并阻止已知和未知攻击的内嵌硬件设备或软件系统，是近几年发展起来的新一代安全工具，是一种主动、积极的入侵防范、阻止系统。电子工业出版社图8-8IPS防御模型电子工业出版社8.6.2IDS、Firewall和IPS的关系IPS系统由IDS系统发展而来，但是仍然和IPS系统有较大差别。这是由它们在网络中的部署特点决定的。IPS系统在网络中以在线（in-line）形式安装在被保护网络的入口上，它能够控制所有流经的网络数据；而IDS系统以旁路形式安装在网络入口处，甚至安装在某些共享式网络内电子工业出版社图8-9IDS、Firewall和IPS的关系电子工业出版社IDS系统在网络中处于旁路地位，这决定了它从本质上无法阻断外来的恶意攻击请求，只能通过某些手段如发送TCPRST报文来干扰攻击的进行，但是这种干扰手段的效果非常有限，只对很少需要保持一定时间连接的攻击能够起到效果。IPS系统吸取了防火墙的特点，它与防火墙一样以在线形式部署在网络入口处。网络数据报文在流经IPS系统时，IPS系统在线决定报文的处理方式，转发或者丢弃，进出网络的数据报文都要经过IPS的深层检查，从而达到防御的目的。电子工业出版社8.6.3入侵防御系统的特点IPS综合了入侵检测系统的检测功能和防火墙的防御功能。IPS能够从不断更新的模块库中发现各种各样的新的入侵方法，从而做出更多的保护性操作，以减少漏报和误报。IPS的设计基于一种全新的思想和体系结构，工作与内嵌方式，采用专用集成电路ASIC（ApplicationSpecificIntegratedCircuits）、现场可编程门阵列FPGA（FieldProgrammableGateArray）或网络处理器NP（NetworkProcessor）等硬件设计技术实现网络数据流的捕获。电子工业出版社图8-10IPS系统结构电子工业出版社IPS支持多种监控模式，如接到交换机的映象端口-交换端口分析器SPAN（SwitchedPortAnalyzer）、TAP（分流器）、IN—LINE（串连）、PORTCLUSTER（端口群集），可根据实际情况选择。电子工业出版社8.6.4入侵防御系统的不足现有的IPS技术在带来改进和方便的同时，也面临着很多的挑战：误报率问题检测率问题IPS的隔离和保护功能不够足够强大，导致它不能够有效地处理来自内网的攻击，而网络上很大一部分的网络攻击是来自内网的。电子工业出版社8.7蜜罐与蜜网技术8.7.1蜜罐与蜜网技术概述蜜罐如同是情报收集系统。蜜罐是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后，就可以知道他是如何得逞的，随时了解针对公司服务器发动的最新的攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。蜜罐（honeypot）技术是一种主动防御技术电子工业出版社表8.1传统安全设备与蜜罐能力分类的比较8.7.2常见的蜜罐软件两个典型的蜜罐平台：MHN和T-pot。现代蜜罐网络平台MHN（ModernHoneyNetwork），基于一个用于管理和收集蜜罐数据的中心服务器。通过MHN，可以实现快速部署多种类型的蜜罐，并且通过web可视化界面显示蜜罐收集的数据，目前支持的蜜罐类型有捕蝇草（Dionaea）、Snort、Cowrie、glastopf等。T-Pot16.10多蜜罐平台直接提供一个系统ISO镜像，该平台使用docker技术实现多个蜜罐，从而方便蜜罐研究与数据捕获。T-Pot16.10使用Ubuntuserver16.04LTS系统，基于docker技术提供了下面一些蜜罐容器：Conpot:低交互工控蜜罐Cowrie:基于kippo更改的中交互ssh蜜罐Emobility:在T-Pot中使用的高交互蜜罐容器Glastopf:低交互型Web应用蜜罐8.8Snort简介及实验8.8.1概述在上个世纪末期，Snort原本是作为一个开源IDS而被开发出来的，如今，它已经发展成为一个具有多平台、实时流量分析、网络IP数据包记录等特性的强大的入侵检测/防御系统。电子工业出版社8.8.2系统组成Snort由以下三个重要的子系统构成：数据包解码器——对各种协议上的数据包进行解析、预处理，以便提交给检测引擎进行规则匹配。检测引擎——检测到数据包满足某个用户预定义的规则时，触发相应操作。日志和报警系统。电子工业出版社图8.11

Snort入侵检测系统体系结构8.8.3工作模式

根据Snort用户手册中所述，Snort可以被配置和运行在以下几种模式中：嗅探（/侦听）模式（SnifferMode），从现有的网络内抓取数据包，然后连续不断地显示在你的控制台屏幕上。数据包记录模式（PacketLoggerMode），把已经抓取的数据包记录到储存媒体（如硬盘等）上。网路入侵检测模式（NetworkIntrusionDetectionSystemMode），是最复杂的，而且是可配置的。内联模式（InlineMode），数据包的抓取不透过libcap，而是透过iptable防火墙，并根据使用特定内联规则类型的Snort规则决定iptable防火墙是否让数据包通行。电子工业出版社8.8.4入侵检测规则及编写1.snort入侵检测规则简介snort使用一种简单的，轻量级的规则描述语言，这种语言灵活而强大。大多数snort规则都写在一个单行上，或者在多行之间的行尾用/分隔。Snort规则被分成两个逻辑部分：规则头和规则选项。规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息；规则选项部分包含报警消息内容和要检查的包的具体部分。电子工业出版社下面是一个规则范例：alerttcpanyany->/24111(content:"|000186a5|";msg:"mountdaccess";)第一个括号前的部分是规则头（ruleheader），包含的括号内的部分是规则选项（ruleoptions）。规则选项部分中冒号前的单词称为选项关键字（optionkeywords）。注意，不是所有规则都必须包含规则选项部分，选项部分只是为了使对要收集或报警，或丢弃的包的定义更加严格。组成一个规则的所有元素对于指定的要采取的行动都必须是真的。当多个元素放在一起时，可以认为它们组成了一个逻辑与（AND）语句。同时，snort规则库文件中的不同规则可以认为组成了一个大的逻辑或（OR）语句。电子工业出版社2.规则启用通过以下命令启动snort入侵检测规则：snort-ieth0-c/etc/snort/snort.conf其中，-i参数指定启用入侵检测的网络接口，-c参数指定启用入侵检测的规则文件。当用户需要测试自己编写的规则时，需要将自己编写的入侵检测snort规则保存在local.rules文件中，并将该规则文件存放在 $RULE_PATH路径下。电子工业出版社3.规则说明snort入侵检测规则包括规则头和规则选项两大部分。规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息规则头的第一项是“规则动作”（ruleaction），“规则动作”告诉snort在发现匹配规则的包时要干什么。在snort中有五种动作：alert、log、pass、activate和dynamic。alerttcp!/24any->/24111(content:"|000186a5|";msg:"externalmountdaccess";)电子工业出版社规则选项组成了snort入侵检测引擎的核心，既易用又强大还灵活。所有的snort规则选项用分号"；"隔开。规则选项关键字和它们的参数用冒号"："分开。按照这种写法，snort中有42个规则选项关键字。主要的关键字如下。msg：在报警和包日志中打印一个消息。logto：把包记录到用户指定的文件中而不是记录到标准输出。content：在包的净荷中搜索指定的模式。alerttcpanyany->/24143(content:"|90c8c0ffffff|/bin/sh";msg:"IMAPbufferoverflow");4.添加报警规则（1）在snort规则集目录snort/rules下新建snort规则集文件new.rules（2）编辑snort.conf配置文件，使其包含new.rules规则集文件（3）以入侵检测方式启动snort，进行监听。启动snort的命令snort-csnort.conf5.加速含有内容选项的规则探测引擎运用规则的顺序和它们在规则中的书写顺序无关。内容规则选项总是最后一个被检验。6.采用Snort检测SQL注入攻击本文以使用Snort入侵检测系统为例，编写基于规则的正则表达式来对这类攻击进行监测。（1）针对SQL注入的正则表达式alerttcp$EXTERNAL_NETany->$HTTP_SERVERS$HTTP_PORTS(msg:"SQLInjection-Paranoid";flow:to_server,established;uricontent:".pl";pcre:"/(%27)|(’)|(--)|(%23)|(#)/i";classtype:Web-application-attack;sid:9099;rev:5;)其中，uricontent-在数据包URI部分搜索指定的匹配；Pcre关键字，通过正则表达式对.pl文件进行模式检查。（2）针对跨站脚本攻击的正则表达式在发动一次跨站脚本攻击之前，可以使用一个简单的脚本如<script>alert("OK")</script>。一些的入侵者可能会使用变换的方式进行测试，如将起对应的16进制值进行等价替换，简单CSS攻击的正则表达式：/((%3C)|<)((%2F)|/)*[a-z0-9%]+((%3E)|>)/ix其中，((%3C)|<)是对左尖括号进行检测。((%2F)|/)*对表示tag标志结束的斜杠或者16进制值进行匹配。[a-z0-9%]+对一个以上的小写字母或阿拉伯数字进行正则匹配。((%3E)|>)对右尖括号或者它的16进制值进行匹配。(%69)|i|(%49))((%6D)|m|(%4D))((%67)|g|(%47)正则匹配img大小写混合编码将这些正则表达式写成Snort规则：alerttcp$EXTERNAL_NETany->$HTTP_SERVERS$HTTP_PORTS(msg:"NIICross-sitescriptingattempt";flow:to_server,established;pcre:"/((%3C)|<)((%2F)|/)*[a-z0-9%]+((%3E)|>)/i";classtype:Web-application-attack;sid:9000;rev:5;)7．采用Snort检测网络流量图像载荷异常（1）基础匹配：图像文件类型。每种图像格式都有固定的文件头（MagicNumber），可通过content关键字匹配这些特征来识别网络流量中的图像文件类型。#示例1：匹配JPEG图像类型文件头（0xFFD8FFE0）alerttcpanyany->anyany(msg:"DetectJPEGImageFile";content:"|FFD8FFE0|";#JPEG文件头（十六进制表示）content:"JFIF";distance:4;within:4;#JPEG头后的"JFIF"标识（偏移4字节，长度4）sid:1000001;)（2）进阶检测：恶意图像内容。攻击者常通过篡改图像的元数据、尺寸字段来植入恶意代码，可通过content匹配异常值：#示例：检测恶意JPEG（异常的SOFX字段，对应攻击漏洞编号CVE-2010-0028）alerttcpanyany->anyany(msg:"MSPaintJPEGMalformedSOFXField(CVE-2010-0028)";

content:"|FFD8FFE0|"; #匹配JPEG头

content:"JFIF";distance:4;within:4;

content:"|FFE9|"; #匹配SOFX段标识，特制图像内容offset:10; #从JPEG头后偏移10字节开始匹配

content:"|00000000|";distance:2;within:4;#SOFX段后异常的0值字段reference:cve,2010-0028;sid:36818; #Snort官方规则ID)（3）复杂规则：图像解析漏洞。针对图像解析漏洞（如缓冲区溢出），可通过content关键字定位协议字段，再用byte_test关键字检查字段值是否异常：#示例：检测GIF图像的LZW代码缓冲区溢出漏洞（CVE-2008-1373）alerttcpanyany->anyany(msg:"CUPSGIFLZWBufferOverflow(CVE-2008-1373)";

content:"GIF89a";#GIF文件头

content:"|0000|";distance:6;within:2;#GIF宽度字段（异常的0值）

byte_test:1,>,8,offset8;#检查LZW代码大小（>8为异常值）reference:cve,2008-1373;sid:17558;#Snort官方规则ID)8．采用Snort检测网络木马及漏洞利用攻击

（1）网络木马流量特征检测。wireshark抓包发现网络流量中的木马特征字段在snort中添加检测规则，将特征值添加入规则：alerttep any 8000:any any (msg:"huigezi网络木马通信被检测";content:'|0400000038623463613538313732383830626262";sid:10386;)（2）漏洞利用攻击检测。网络攻击流量特征：永恒之蓝漏洞利用攻击流量在SMBv1协议协商过程中，会包含一个特定的、畸形的Trans2会话设置请求。漏洞利用检测Snort规则：alerttcp$EXTERNAL_NETany->$HOME_NET445(msg:"EXPLOITPossibleETERNALBLUEMS17-010EchoRequest";flow:to_server,established;content:"|00000031ff|SMB|2b000000001807c0|";depth:14;fast_pattern;content:"|0e00000c00|";distance:34;within:5;content:"|4a6c4a71b1f4106385cf992fc4|";distance:14;within:14;classtype:attempted-admin;sid:20251130;rev:4;)content：这条规则定义了3个二进制content关键字，Snort会像拼接藏宝图一样，在数据包中依次匹配这些二进制字符串片段。只有当所有这些片段字符串模式特征都按照distance（距离）和within（在……之内）等条件准确出现在数据包特定位置时，规则才会匹配。9．Snort中的多模式字符串匹配算法串匹配算法是Snort规则检测引擎的核心组件，负责在网络数据包载荷中匹配规则的特征字符串，以识别攻击行为。在Snort早期版本中，主要采用单模式串匹配算法，如BM、KMP算法等。由于Snort规则库包含上千条特征字符串，多模式匹配算法可同时处理多个模式串，能大幅提升检测效率，因此成为Snort模式匹配的主流，主要包括AC算法、WM算法等。WM算法全称为Wu-Manber算法，源于BM串匹配算法的坏字