实验三Snort入侵检测系统部署

实验三Snort入侵检测系统部署1.1.1安装apache选择custom安装，指定安装目录c:\apache,运行apache安装端，一直next，直到安装完成。我们验证一下：图3-1apache安装成功界面如出现图3-1这种情况，表明安装成功。1.1.2安装php解压php-5.2.4-Win32到c:\php。复制c:\php\php5ts.dll和c:\php\libmysql.dll文件到c:\windows\system32，复制c:\php\php.ini-dist到c:\windows\并重命名为php.ini，修改php.ini，分别删去“extension=php_gd2.dll”“extension=php_mysql.dll”前的分号，并指定extension_dir=c:\php\ext，同时复制c:\php\ext下的php_gd2.dll与php_mysql.dll到c:\windows\system32。在C:\apache\conf\httpd.conf中添加在下面语句中后面添加(回车)#LoadModulessl_modulemodules/mod_ssl.so115行LoadModulephp5_modulec:/php/php5apache2_2.dll和在下面语句中后面添加(回车)ScriptAlias/cgi-bin/C:/apache/cgi-bin/385行AddTypeapplication/x-httpd-php.php（此处应注意空格），并重启Apache服务。在C:\apache\htdocs目录下新建webinf.php（文件内容为：?phpinfo();?）并使用访问测试是否能够显示当前Apache服务器的信息，如果能够显示表明Apache和php工作基本正常重新启动apache服务，点stop再点击start，使用测试是否安装成功，成功的界面，如图3-2：图3-2安装成功界面1.1.3安装winpcap与snort按照向导提示安装一路默认安装即可，安装完成后使用下面命令测试是否安装成功。在命令控制台进入snort根目录，输入命令：c:\snort\binsnort-W(W为大写)当你看到左上角有个小猪图形，表明安装成功。如图3-3：图3-3安装成功界面1.1.4安装和配置mysql安装一路next就可以按照成功，注意设置个root的密码，然后打开MySQL的客户端，将c:\snort\schemas目录下的create_mysql复制到C:\ProgramFiles\MySQL\MySQLServer5.0\bin目录下，在MySQL的dos控制台中建立snort库和snort_archive库。代码如下：mysqlcreatedatabasesnort;mysqlcreatedatabasesnort_archive;mysqlusesnortmysqlsourcecreate_mysqlmysqlshowtables;mysqlusesnort_archivemysqlsourcecreate_mysqlmysqlshowtables;为mysql建立snort和acid账号，使idscenter或acid能访问mysql中与snort有关的数据库文件。使用语句：mysqlgrantusageon*.*toacid@localhostidentifiedbyacidtest;mysqlgrantusageon*.*tosnort@localhostidentifiedbysnorttest;再为snort和acid账户分配相关权限，语句：mysqlgrantselect,insert,update,delete,create,alteronsnort.*tosnort@localhost;mysqlgrantselect,insert,update,delete,create,alteronsnort.*toacid@localhost;mysqlgrantselect,insert,update,delete,create,alteronsnort_archive.*tosnort@localhost;mysqlgrantselect,insert,update,delete,create,alteronsnort_archive.*toacid@localhost;启用php对MySQL的支持，修改php.ini，找到extension=php_mysql.dll，去掉前面的;，复制c:\php\ext下的php_mysql.dll文件到c:\windows下复制c:\php下的libmysql.dll文件到c:\windows\system32下。1.1.5安装adodb解压缩adodb498.tgz到c:\php\adodb目录下。1.1.6安装jpgraph解压缩jpgraph-2.1.4.tar.gz到c:\php\jpgraph。1.1.7安装acid解压缩acid-0.9.6b23.tar.gz到c:\apache\htdocs\acid目录下。修改acid_conf.php为下列格式，（用写字板打开）$DBlib_path=c:\php\adodb;$DBtype=mysql$alert_dbname=snort;$alert_host=localhost;$alert_port=3306;$alert_user=snort;$alert_password=snorttest$archive_dbname=snort_archive;$archive_host=localhost;$archive_port=3306;$archive_user=acid;$archive_password=acidtest;$ChartLib_path=c:\php\jpgraph\src;重启apache服务。使用浏览器打开建立acid运行必须的数据库。如图3-4：图3-4ACID显示成功鼠标点击createACIDAG。如图3-5：图3-5点击后显示的界面1.2配置snort编辑c:\snort\etc\snort.conf文件,用写字板打开，如下：includeclassification.configincludereference.config修改为includec:\snort\etc\classification.configincludec:\snort\etc\reference.config设置snort输出alert到MySQLserveroutputdatabase:alert,mysql,host=localhostuser=rootpassword=123dbna-me=snortencoding=hexdetail=full修改“Dynamicpreprocessordirectory/usr/local/lib/snort_Dynamicpreprocessor”为“Dynamicpreprocessordirectoryc:\snort\lib\snort_dynamicpreproces-sor”。修改“dynamicengine/usr/local/lib/snort_dynamicegine/libsf_engine.so”为“dynamicenginec:\snort\lib\snort_dynamicengine\sf_engine.dll”。如图3-6：图3-6调整位置1.2.1添加规则库解压缩snortrules-snapshot-CURRENT.tar.gz文件到c:\snort目录下面，覆盖原文件，并使用下列语句来测试：c:\snort\binsnort-cc:\snort\etc\snort.conf-lc:\snort\log-d-e-X-i2浏览器打开会看到类似于以下的界面，如图3-7：图3-7snort安装配置成功显示这样便宣告snort安装及配置完毕。1.2.2简单的使用分别用以下命令测试Snort是否工作正常：c:\snort-dev，能看到一只正在奔跑的小猪证明工作正常；c:\snort-W，查看本地网络适配器编号。c:\snort–cc:\snort\etc\snort.conf–lc:\snort\log–devX，测试配置文件能够支持工作，但是，在使用过程中snortrules-snapshot-CURRENT.tar包中的web-misc.rules有问题，所以为了其他内容能后正常进行入侵检测，修改c:\Snort\etc\snort.conf，在include$RULE_PATH/web-misc.rules前加#号将其注释掉可以选用IDSCenter配置snort项，采用默认安装IDSCenter11rc4来完成。使用SAM，需要Java支持，所以首先安装jre-1_5_0_12-windows-i586-p安装好后，解压sam_20050206_bin到c:\，进入才c:\sam\，直接双击sam.jar运行SAM软件。运行snort捕获数据包，进行入侵检测，在命令提示符中输入：c:\snort-cc:\snort\etc\snort.conf-i2-lc:\snort\log-deX-X参数用于在数据链接层记录rawpacket数据；-d参数记录应用层的数据；-e参数显示／记录第二层报文头数据；-c参数用以指定snort的配置文件的路径；-i参数指定监视的网络适配器的编号；并使用SAM和ACID监视服务器情况。