12、Snort：强大的网络入侵检测工具全解析

Snort：强大的网络入侵检测工具全解析

1. 安装与可选软件

在完成 Snort 的编译并部署到位后，应从计划投入生产环境的传感器中移除所有用于编译的工具。此外，还可以安装以下可选软件产品：
- MySQL、Postgres 或 Oracle（SQL 数据库）
- 若使用 WinPopup 消息，可安装 smbclient
- Apache 或其他 Web 服务器
- 若有需要，可安装 PHP 或 Perl 以支持相关插件
- 用于远程访问的 SSH（或 Windows 的终端服务器）
- 具备 SSL 功能的 Apache 用于监控（或 Windows 的 IIS）

2. Snort 架构剖析

Snort 的架构由四个基本组件构成：
- 嗅探器（Sniffer）
- 预处理器（Preprocessor）
- 检测引擎（Detection Engine）
- 输出（Output）

其架构可类比为机械硬币分拣机：
1. 收集所有硬币（从网络主干获取数据包）。
2. 通过滑道判断硬币类型及滚动方式（预处理器处理数据包）。
3. 按硬币类型分类存储（检测引擎依据规则检查数据包）。
4. 管理员决定如何处理硬币（日志记录和数据库存储）。

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(网络主干):::process -->