Centos7.x搭建Snort IDS入侵检测环境

Snort介绍

    Snort 它是一个多平台的、实时流量分析的入侵检测系统。Snort是一个基于libpcap的数据包嗅探器并可以作为一个轻量级的网络入侵检测系统。

snort的工作模式

（1）嗅探器
嗅探器模式：是从网络上读取数据包并作为连续不断的流显示在终端上。

（2）数据包记录器
数据包记录器：是把数据包记录到硬盘上。

（3）网络入侵检测系统
网路入侵检测：它是可配置的（所以会相对是比较复杂的）。

工作原理

    因为snort能够对网络上的数据包进行抓包，但区别于嗅探器的它能够根据自定义规则来进行相应和处理。snort有五种响应的机制。

（1）Activation（报警并启动另外一个动态规则链）；
（2）Dynamic（由其它的规则包调用）；
（3）Alert（报警）；
（4）Pass（忽略）；
（5）Log（不报警但记录网络流量）。

    Snort通过在网络TCP/IP的5层结构的数据链路层进行抓取网络数据包，抓包时需将网卡设置为混杂模式，根据操作系统的不同采用libpcap或winpcap函数从网络中捕获数据包；然后将捕获的数据包送到包解码器进行解码。

    Snort主要是通过各插件协同工作才使其功能强大，所以在部署时选择合适的数据库，Web服务器，图形处理程序软件及