Snort开源入侵防御系统部署文档(一)

4.4 Snort 规则

snort 的核心是入侵检测系统（IDS）和入侵防御系统（IPS），这意味着它有能力检测网络入侵，也能防御。配置会告诉snort如何去处理网络流量。规则决定了snort是否对特别的数据包采取行动。

通过ips模块，snort 规则可以直接被放置在某个Lua配置文件里。但对大部分规则而言，它们将存在于不同的以“.rules”结尾的文件中，这些文件被包含“included”。举例：我们有一个 “malware.rules” 文件，该文件和我们的Lua配置文件在同一目录下，我们可以 像下面那样，“include” 引用那些规则文件。

ips = { include = 'malware.rules' }

如果，用户想要包含多个以".rules"结尾的文件，那么他们可以这样做

ips = 
{
    rules = [[
        include /path/to/rulesfile1.rules
        include /path/to/rulesfile2.rules
        …
    ]]
}

或者，在命令行中，把单个规则文件或指向规则目录的路径可以直接被传递给snort。 这是通过对单个规则文件使用 “-R”选项或者通过 “--rule-path”选项传递整个规则目录来完成的，当你需要针对pacp去验证一个或多个规则或者去排除其故障。

举例： 下面的命令将针对bad.pacp中的流量去运行malware.rules中的所有规则。

snort -c $my_path/lua/snort.lua -R malware.rules -r bad.pcap

4.4.1 生成警报

默认情况下，上面的命令将会输出关于指定运行的各种各样统计数据。那些包含 任何已经识别的应用、任何检测事件、被检测服务的类型以及更多的细节。

在以提供的流量上，这个检测事件将会展示有多少个被触发的警报，但是有时候我们想知道更多的信息，

snort 提供了一些不同的 “alert mode” 警报模式选项，这些选项可以在命令行中被设置去调整显示警报的方式。 这些模式涉及  cmg.   此“cmg”会在警报数据包的十六进制内容旁边展示那些告警信息。以及如下所示的几种不同的 “alert_*”模式：

$ snort --help-modules | grep alert

把想要的告警模式附在 “-A” 选项的后面去设置这些模式，以及我们可以通过引用“-q” (quit)选项来只关注警报内容。比如说“cmg”模块将会看起来像这样:

$ snort -q -c $my_path/lua/snort.lua -q -r get.pcap -R local.rules -A cmg
10/14-14:59:14.186063 [**] [1:0:0] "GET request" [**] [Classification: Web Application Attack] [Priority: 1] {TCP} 10.1.2.3:50284 -> 10.9.8.7:80
 
http_inspect.http_method[3]:
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
47 45 54                                          GET
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
 
http_inspect.http_version[8]:
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
48 54 54 50 2F 31 2E 31                           HTTP/1.1
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
 
http_inspect.http_uri[6]:
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
2F 68 65 6C 6C 6F                                 /hello
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
 
http_inspect.http_header[78]:
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -
48 6F 73 74 3A 20 61 62  63 69 70 2D 68 6F 73 74  Host: ab cip-host
2E 6C 6F 63 61 6C 0D 0A  55 73 65 72 2D 41 67 65  .local.. User-Age
6E 74 3A 20 61 62 63 69  70 0D 0A 41 63 63 65 70  nt: abci p..Accep
74 2D 4C 61 6E 67 75 61  67 65 3A 20 65 6E 2D 75  t-Langua ge: en-u
73 0D 0A 41 63 63 65 70  74 3A 20 2A 2F 2A        s..Accep t: */*
- - - - - - - - - - - -  - - - - - - - - - - - -  - - - - - - - - -

alert_talos   是另一个有用的模式，这个模式以一种简单而易于理解的格式去展示警报。

$ snort -q -c $my_path/lua/snort.lua -q -r get.pcap -R local.rules -A alert_talos
 
##### get.pcap #####
        [1:0:0] GET request (alerts: 1)
#####

最后。 一些 关于“alert_*” 的模式是可以自定义的，比如： alert_csv   允许输出不同字段的自定义顺序， 下面的例子使用了“--lua”命令行标记，示范了一个自定义的cvs告警配置。

$ snort -q -c $my_path/lua/snort/lua -r cmd_injection.pcap -R local.rules --lua 'alert_csv = { fields = "action pkt_num gid sid rev msg service src_addr src_port dst_addr dst_port", separator = "," }'
would_block,5,1,1000000,0,"Command injection detected",http,10.1.2.3,50284,10.9.8.7,80
would_block,6,1,1000000,0,"Command injection detected",http,10.1.2.3,50284,10.9.8.7,80

4.4.2 内联测试规则

为了保护网络，确保我们的规则合适地阻止袭击，这很重要，dump DAQ 可以使我们做到这一点，指定 “-Q” 选项去开启内联模式， 以及设置“--daq”为“dump”  会 “dump”转储流量，这些流量 would‘'ve been passed through,  模仿一个真正的内联操作。默认情况下， 这个流量结果将会被转储到一个名为“inline-out.pacp”的文件中。

$ snort3 -Q --daq dump -q -r get.pcap -R local.rules

在上面的例子中， 如果“local.rules” 文件中包含一个 “block” 阻止规则，该规则会被“get.pacp”文件上的一些流量触发。然后inline-out.paco结果文件将只会包含未被阻止的流量。 我们可以使用此功能去测试规则是否正在阻止实际的攻击数据包通过。

4.4.3 将 Snort 2 规则转换为 Snort 3

略.

4.5 Snort Wizard 和 Binder

snort3 有两个重要组件: wizard  和 Binder 。这两个组件会帮助去确定在已给定的流量中最可能的服务，然后引导那些流量到正确的“server inspector”服务检测器" 。下面会进一步解释它们。

4.5.1 Wizard

wizard 会使用被叫做 hexes, spells,以及 curse 的工具去帮助确定存在于已给流中的服务，那三个工具观察流量的不同方面，以便于去帮助识别正在被使用的服务。然而，wizard只会帮助识别服务，它的工作是作出最终决定的应用识别检测器。因此，wizard的主要目标是快速的识别最可能的服务，以便把它交给合适的检测器去完成剩余的工作。

4.5.1.1 Hexes

Hexes 是基于二进制的模式，该模式被用于检测二进制协议 binary protocols，例如:ssl 和 dnp3。 在lua中，hexes 被配置为一系列表，每个表包含一些定义hexes如何操作的键。

这些键包括下面的内容:

service -> 被分配服务的名称

proto -> 扫描的协议 例如：tcp

client_first -> 布尔值，表明这个客户端是否是数据传输的发起者

to_server -> 发送到客户端数据中用于搜索的文件模式列表

to_client -> list of text patterns to search in the data sent to the server

4.5.1.2 Spells

hexes是基于二进制模式的，但是 spells 是基于文本模式的。这意味着它最好被用于文本主导的协议text-dominant protocols，例如:http、 smtp、 sip等等。spell 和 hexs有一样的配置方式，而且它们有一样的键或选项.

4.5.1.3 Curses

Curse 是被C++ state machines构建的，而不是被定义在snort配置中，curse存在于那种不需要少量的字符串又或是十六进制模式的服务中。像 hexes和spells一样，curses 也可以在snort配置中被开启。在snort_defaults.lua中的下行展示内容开启了6种默认的curses算法，这些算法存在于curses.cc中

curses = {'dce_udp', 'dce_tcp', 'dce_smb', 'mms', 's7commplus', 'sslv2'}

通过下面的命令查看可用的curses

snort --help-config wizard | grep curses

4.5.2 Binder

snort3的binder有这样一个特点, 它把网络流量导向一个特别的服务检测器，该检测器是基于 一些流量的检测服务、涉及的端口和网络协议以及使用的网络协议的组合。 用户可以创建这些选项的配置去告知snort那个服务检测器去用到一个已给的网络流上。

这些配置被写成lua表的数组以及被放置在某些snort配置文件中。 那些binder entries 通常包含两个嵌套表，when 和 use。  when表 控制调用操作的条件，那些操作被指定在 user 表中。这有一些不同的binder entries的例子：

使用下面的snort命令可以看见所有可用的binder表参数：

snort --help-module binder