【《snort入侵检测系统的实现分析案例》3200字】

PAGE3snort入侵检测系统的实现分析案例1.1snort的安装本次设计在Windows7的环境下进行的，snort的安装包括了Winpcap、MYSQL、Apache这些软件的安装。安装流程如下：我们要在VMware下进行对Windows7环境的创建，并在Windows7中安装一个VMwareTool插件（以便于之后文件的复制）进入snort的官网进行snort.exe的下载并将安装包移动进Windows7环境进行安装（官网：/；本设计使用的是版本的snort）对winpcap进行安装，这里使用的是1.1.2版本的winpcap。对Apache与MYSQL进行安装，这里笔者使用的是APPSERV,这款软件里包含了Apache与MYSQL:选择appserv的2.5.9appserv安装配置对自己需要MYSQL、PHP、Apache的Package进行勾选对Apache的服务器配置对MYSQL的配置（密码）完成安装后，在网页输入localhost验证是否成功使用MYSQL进行创建属于snort的数据库（snort运行的必需）创建Snort库和Snort_archive库对snort的数据库安装检验是否成功：对snort的配置文件（snort.conf）进行修改：rule文件路径配置修改本身配置文件里的路径是为Linux格式的，需要将其改为Windows格式这三个路径原先是Linux格式，我们需要根据自己系统进行修改我们需要进行snort_dynamicrules文件夹的创建（之后的规则创建会用到）在lib路径下进行创建将路径配置进入snort.conf中需要对Unicode.map的路径进行修改根据自己路径进行修改配置与设计可视化界面：本系统的可视化界面是基于ACID插件进行修改，将其修改成适合用户查看ACID界面概述ACID界面是一种针对snortIDS的基于数据库的分析插件。它是使用PHP进行编写的，它是与snort入侵检测系统、MYSQL数据或者其他种类的数据库一起协同工作的，通过web端，使得用户更方便的对数据查看。ACID界面主要分为两个模块：一是报警数据分析、二是根据相应的数据进行图形的生成ACID的报警数据分析模块可以对各种报警的详细信息进行查看，比如：时间戳、源地址、目的地址等。图像生成模块它是依赖于jpgraph包进行图像的显示，该模块可以把一个时间段的报警数据使用数状图的形式去显示出来，便于用户能够在这一时间段内的报警有一个很好的宏观把控。ACID界面具有的特点：能够进行对包的首部以及它的载荷信息的查看报警数据会根据产生的类型进行管理、输出以及删除。可以对于数据库进行快照，例如，用户可以进行对24个小时的报警数据进行查看，同时还可以对某个频率上的报警信息进行查看可通过互联网的whois数据库可以对IP地址的所有者信息进行查看，这样以便于用户实时地采取相应的措施ACID有在一个挺严重的安全问题：一旦黑客知道了ACID界面的URL信息，那么黑客就可连接ACID界面，然后将snort入侵检测系统收集的报警数据从数据库进行删除，从而达到隐藏踪迹的相关ACID的部署下载依赖包：adodb、jpgraph（图像依赖包）并把依赖包存在PHP文件夹下。打开acid_conf.php的文件进行配置adodb的配置MySQL数据库的配置jpgraph的配置设计与修改问题上述参数阐述了ACID界面的一个严重安全问题，笔者将会对其进行实施防御措施以及对远程的用户方便性进行实施设计安全的问题的解决措施该安全问题是由于黑客对ACID界面进行随意的登录。解决措施：我们可以对ACID界面进行用户以及口令，要求想访问ACID界面的人提供相应的登录信息，并实施对用户与口令的高度加密，防止黑客可以通过使用对网络的数据包拦截直接获得明文格式的登录信息该界面已经进行个性化修改，但还未进行防护措施远程用户的方便性设计当管理员无法实时在电脑面前进行监控ACID返回来的信息，也就没法对实时地根据报警信息进行实施防御措施，因此，笔者对ACID进行邮件发送模块的添加，能够到达报警数据实时的发送到管理员的邮箱中。设计步骤：下载第三方软件包（sendmail邮件）进入php.ini进行修改配置文件进入sendmail.ini进行修改配置文件进入acid_conf.php修改配置完成设计完成这个模块，这个模块可以实现管理员随时随地进行接收报警信息，从而到达实时进行对服务器的监控，一旦有重要的风险问题可以及时进行修改。打开cmd并输入此命令：c:\snort\bin\snort-i1-dev-cc:\snort\etc\snort.conf-lc:\snort\log来开启网络监测模式进行进行验证是否成功。1.2实现对SQL注入与XSS的检测1.2.1SQL与XSS的危害SQL注入对用户的危害用户的数据库中的数据泄露：数据库里一般都存在着用户的个人隐私，一旦泄露就会影响到个人网页被修改：对数据库进行操作来对一些特定的用户进行修改服务器被上传木马：对数据库进行字段修改，从而加入木马的URL，然后连接木马攻击服务器数据库信息被恶意篡改:服务器遭受攻击，数据库的管理权限遭受篡改硬盘数据遭受破坏，导致系统瘫痪XSS注入对用户的危害管理员的账号或者cookie值会被盗取，黑客能够使用管理员的身份进入后台管理。使得后台管理中的数据被盗取、篡改等用户的信息以及账号被盗取服务器还会被上传一些木马对用户发送广告与垃圾邮件，从而影响用户使用1.2.2SQL与XSS的特征分析sql注入一般都使用一些对URL进行特殊的构造从而达到对数据库的访问，例如：比较常见的盲注使用的1=1与1=2；字符型注入使用的双引号”，两个单引号’等，因此snort入侵检测检测系统只要对这些URL的特殊构造方法进行检测就可以识别到属于sql注入的攻击。而对于XSS注入来说，同样的，XSS注入也是通过构造一些特殊的语句进行攻击，但是它与SQL的区别在于，XSS注入是使用html语言进行构造的，比如说，常见的<script>或者单一的<>符号，但是一般的网页上也存在这些字段，所以这些特征存在范围有点过大会导致误报的情况，因此就要精确正则的表达式规则。随着互联网的发展，互联网上出现很多工具，这些工具不会单单针对“administrator”字段的账号来进行攻击，甚至会对通过提权来进行攻击，所以提取攻击特征的时候一定要具有适当的范围。在制定规则之前，就得对攻击特征进行归纳1.2.3规则制定与编写SQL注入的规则制定与编写在拟定规则前，我们要使用16进制的ascii码来对一些字符进行表示，因为这些字符可能会与原先snort中的规则产生冲突，举个例子来说，<srcipt>这个字符串，该字符串在snort内置规则与脚本攻击都是存在的，所以我们需要替换成0x3c0x730x630x720x690x700x740x3esql注入存在cookie注入与输入框注入，因此，我们必须把对输入的提交进行验证与检测cookie信息同时进行。这二者之间还存在一些相同字符（；’”）,所以我们还需要对这些字符进行单独检测对特殊的字符是否在想要提交的数值中来对sql注入进行检测，该表达式可写成：解析：该表达式的主要部分是%27与%23这两个是单引号与井号的十六进制的表达方式，其中的|符号表示为逻辑或，而i表示为不对进行大小写的区别，而-与’符号是oralce与sqlsever的字符，x字符表示为不计空白字符该表达式对应的规则可以写为：sql注入存在UNION联合注入或者存在select字符，因此我们还需要将其添加进入表达式：该规则为因为可能存在误报的情况，我们还需要对表达式进行修改，需要匹配的开始设置为从等号开始，我们就要把表达式改为该规则为：XSS注入的规则制定与编写黑客常常使用<script>、<a>等html标签来实施XSS注入攻击，还需要考虑一种情况：这些字符还会使用十六进制值来进行提交，例如,0x3c0x610x3e等。而且我们必须把大小写考虑，而且我们得把单一的<与它的十六进制值考虑进去，因黑客的手段层出不穷，我们必须要考虑全面首先我们对任意的<>中字符进行全面检测，以此到达对XSS攻击与XSS攻击相似的攻击，表达式可以构造为：解析：前面的\%3C这块表示为<或<的十六进制值，紧接着的\n为不包括换行的任意字符，后面的部分表示为>或者它的十六进制对应的值该表达式的规则可以写为：虽然以上的方法可以对任意的标签进行检测，但是这种方法覆盖面积过于庞大，有些标签中在一些场景下是可以使用的，这样就会产生误报的情况，因此我需要对表达式进行细化从而减少误报的可能性因此我们把表达式构造为对应的规则为：XSS攻击还存在一些绕过的手段，比如使用html的图片标签进行绕过，因此我们还需要考虑一些绕过的手段我们可以把规则写为解析：该表达式主要是针对<img>进行识别与其十六进制对应的值进行识别对应的规则为：1.3实现对nmap扫描的检测1.3.1namp扫描检测的必要性大多黑客都会使用nmap工具进行端口信息收集，收集哪个端口存在版本信息，根据版本信息去实施攻击，而且虽然snort入侵监测系统的数