16、Snort IDS：部署、测试与维护全解析

Snort IDS：部署、测试与维护全解析

1. Snort规则引用与阈值控制

Snort规则中存在对外部网站的引用，如 reference: arachnids, 127 这类引用，可通过Snort发行版中的 reference.config 文件确定其对应的URL。在这个例子中，更多关于该规则的信息可在 www.whitehats.com/info/IDS=127 找到，其中127是在arachnids网站数据库中用于搜索的ID。

有时候，我们需要控制警报的频率和数量。阈值和抑制功能允许我们定义相关属性来实现这一目的。例如，当我们习惯看到特定系统的特定流量时，不想每次关联规则触发都被大量警报打扰，可参考 threshold.conf 文件进行设置。

2. Snort的测试

测试和调整规则及传感器是入侵检测系统（IDS）非常重要的环节，多数测试应在测试实验室或测试环境中进行。Snort 2.1版本新增了 perfmonitor 预处理器，它能有效确定传感器负载、丢包率、连接数量以及网络段的常规负载。若将其与 perfmonitor-graph 绘图工具（可从 http://people.su.se/~andreaso/perfmon-graph 获取）结合使用，效果更佳。

不过，使用 perfmonitor 预处理器生成 snortstat 数据需要进行一些调整。而且，