Snort入侵检测实用解决方案PDF|Epub|txt|kindle电子书版本网盘下载

Snort入侵检测实用解决方案PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

绪论1

第1章 入侵检测基础3

1.1不同类型的入侵检测系统3

1.1.1基于主机的入侵检测系统4

1.1.2基于网络的入侵检测系统4

1.1.3一种混合的方法6

1.2检测入侵的方法6

1.2.1特征检测6

1.2.2异常检测7

1.2.3完整性检验7

1.3攻击的来源8

1.3.1外部的威胁8

1.3.2内部的威胁9

1.4攻击的步骤9

1.4.1计划阶段10

1.4.2侦察阶段10

1.4.3攻击阶段13

1.4.4后攻击阶段16

1.5入侵检测系统的现状17

1.5.1入侵检测系统不能检测所有的入侵事件17

1.5.2入侵检测系统不能对攻击做出响应17

1.5.3入侵检测系统的配置及维护比较困难17

1.6小结18

第2章 利用Snort进行网络入侵检测20

2.1 Snort的规格说明20

2.1.3 Snort是一种开放源代码的应用程序21

2.1.1安装的必要条件21

2.1.2带宽考虑21

2.2通过特征检测可疑流量22

2.2.1检测可疑净荷23

2.2.2检测具体协议元素23

2.2.3用客户规则扩展覆盖面24

2.3启发式的可疑流量检测24

2.4.2预处理25

2.4.1评估威胁25

2.4采集入侵数据25

2.5利用输出插件进行报警26

2.5.1聚集数据27

2.5.2用统一格式和Barnyard程序记录日志27

2.5.3报警27

2.6分层报警28

2.6.1无优先级报警28

2.6.2严格编码的优先级报警28

2.6.3可定制的优先级报警28

2.7分布式Snort体系29

2.7.1第一层——传感器层29

2.7.2第二层——服务器层30

2.7.3第三层——分析员控制台31

2.8安全的Snort31

2.9 Snort的缺陷31

2.9.1灵活性带来复杂性31

2.9.2误报的问题32

2.9.3市场因素33

2.10小结33

第3章 剖析Snort35

3.1用Libpcap输送Snort包35

3.2预处理程序36

3.2.1 frag236

3.2.2 stream438

3.2.3 stream4_reassemble40

3.2.4HTTP_decode41

3.2.5 RPC_decode42

3.2.6 BO43

3.2.7 Telnet_decode43

3.2.8 ARPspoof43

3.2.9 ASN1_decode44

3.2.10 fnord45

3.2.11 conversation45

3.2.13 SPADE46

3.2.12 portscan246

3.3检测引擎47

3.4输出插件48

3.4.1 Alert_fast48

3.4.2 Alert_full48

3.4.3 Alert_smb48

3.4.4 Alert_unixsock49

3.4.5 Log_tcpdump49

3.4.6 CSV49

3.4.7 XML50

3.4.8 Alert_syslog51

3.4.9数据库输出51

3.4.10统一格式输出52

3.5小结53

第4章 安装Snort的计划54

4.1制定入侵检测系统的策略54

4.1.2可疑行为55

4.1.1恶意行为55

4.1.3异常行为56

4.1.4不适当行为56

4.2决定要监控的内容57

4.2.1外部网络连接监控57

4.2.2内部网络关键点监控59

4.2.3重要计算资源监控59

4.3设计Snort体系结构59

4.3.1三层结构59

4.3.2单层结构60

4.3.3监控网段60

4.4维护计划61

4.5事件响应62

4.5.1事件响应计划62

4.5.2事件响应64

4.5.4测试计划66

4.6小结66

4.5.3恢复66

第5章 基础——硬件和操作系统68

5.1硬件性能的度量68

5.2操作系统平台的选择70

5.3监控网段72

5.3.1网内Hub监控73

5.3.2 SPAN端口监控75

5.3.3 Taps监控76

5.4多传感器分流77

5.5小结78

第6章 建立服务器80

6.1安装指南80

6.2 Red Hat Linux 7.3的安装80

6.2.1分区策略80

6.2.3防火墙配置81

6.2.4时区选择81

6.2.2网络配置81

6.2.5账号设置82

6.2.6选择需要安装的软件包82

6.3后安装任务82

6.4安装Snort服务器组件86

6.4.1安装OpenSSL86

6.4.2安装Stunnel88

6.4.3安装OpenSSH90

6.4.4下载Apache93

6.4.5安装MySQL94

6.4.6配置mod_ssl97

6.4.7安装gd98

6.4.8安装PHP99

6.4.9安装Apache102

6.4.10安装ADODB105

6.4.11安装ACID106

6.5小结111

7.1.1 Red Hat Linux 7.3的安装113

7.1安装指南113

第7章 建立传感器113

7.1.2后安装任务114

7.2安装Snort传感器组件116

7.2.1安装libpcap116

7.2.2安装tcpdump116

7.2.3安装OpenSSL117

7.2.4安装Stunnel118

7.2.5安装OpenSSH119

7.2.7安装NTP120

7.2.6安装MySQL客户端120

7.3安装Snort121

7.3.1配置snort.conf123

7.3.2运行Snort131

7.4安装Barnyard131

7.4.1配置barnyard.conf132

7.4.2运行Barnyard134

7.5小结135

7.4.3用barnyard.server脚本实现Barnyard的自动启动与停止135

第8章 建立分析员控制台137

8.1 Windows下的安装137

8.1.1安装SSH138

8.1.2 Web浏览器138

8.2 Linux下的安装138

8.2.1安装OpenSSH139

8.2.2 Web浏览器139

8.3测试控制台139

8.4使用ACID140

8.4.1搜索142

8.4.2警报组147

8.5小结149

第9章 其他操作系统下的安装方法150

9.1混合服务器／传感器150

9.2基于OpenBSD的Snort151

9.3.1Windows的安装153

9.3基于Windows的Snort153

9.3.2基本程序的安装155

9.3.3 Snort应用程序的安装160

9.3.4入侵检测中心的安装161

9.4小结163

第10章 调整和减少误报165

10.1预调行为166

10.2调整网络167

10.3用Snort过滤流量168

10.3.1网络变量168

10.3.2Berkeley包过滤169

10.4调整预处理程序169

10.4.1调整bo170

10.4.2调整arpspoof,asnl_decode和fnord170

10.4.3调整frag2170

10.4.4调整stream4172

10.4.5调整stream4_reassemable173

10.4.6调整http_decode、rpc_decode和telnet_decode174

10.4.7调整portscan2和conversation174

10.5细化规则集174

10.5.1 chat.rules规则176

10.5.2 ddos.rules规则176

10.5.3 ftp.rules规则176

10.5.4 icmp-info.rules规则（1）176

10.5.5 icmp-info.rules规则（2）176

10.5.6 info.rules规则176

10.5.7 misc.rules规则176

10.5.8 multimedia.rules规则177

10.5.9 other-ids.rules规则177

10.5.10 p2p.rules规则177

10.5.11 policy.rules规则177

10.5.12 porn.rules规则177

10.5.13 shellcode.rules规则177

10.6组织规则178

10.5.14 virus.rules规则178

10.7设计目标规则集179

10.8调整MySQL181

10.9调整ACID182

10.9.1报警的存档183

10.9.2报警的删除183

10.9.3缓存属性的调整183

10.10小结184

第11章 实时报警186

11.1概述186

11.2警报的分级187

11.2.1事件187

11.2.2有目标的攻击187

11.2.3自定义规则188

11.2.4用classification.config定义优先级188

11.3混合型报警189

11.2.5优先级（priority）选项189

11.3.1安装Swatch190

11.3.2配置Swatch190

11.4分布式Snort报警193

11.4.1配置Snort并安装Sendmail193

11.4.2在传感器上安装syslog-ng194

11.4.3为传感器配置syslog-ng194

11.4.4在服务器上安装Syslog-ng195

11.4.6为实时报警配置Syslog-ng196

11.4.5为服务器配置Syslog-ng196

11.4.7用Stunnel加密Syslog-ng会话197

11.5小结198

第12章 基本规则的编写200

12.1概念200

12.2语法202

12.2.1规则头202

12.2.2规则选项204

12.3.1修改已存在的规则217

12.3编写规则的方法217

12.3.2利用网络知识创造新规则219

12.3.3利用流量分析创建新规则219

12.4小结221

第13章 升级和维护Snort222

13.1选择Snort管理应用软件222

13.2入侵检测系统策略管理器223

13.2.1安装223

13.2.2配置224

13.3 SnortCenter226

13.3.1 SnortCenter的安装226

13.3.2 SnortCenter传感器代理安装228

13.3.3配置229

13.4升级Snort230

13.5小结232

第14章 入侵防范高级话题233

14.1一个关于入侵防范的警告233

14.2制定入侵防范策略234

14.2.1未打补丁的服务器235

14.2.2新的漏洞235

14.2.3公开的可访问的高权限主机235

14.2.4从不产生误报的规则235

14.3 Snort Inline修补程序236

14.3.1安装237

14.3.2配置237

14.3.3 Inline Snort（防范型Snort）规则编写238

14.3.4建立规则集239

14.4 SnortSam240

14.4.1安装241

14.4.2配置241

14.4.3在规则中插入阻塞响应246

14.5小结247

附录249

附录A 疑难解答249

附录B 规则文件253