snor理解snor配置文件ppt課件

1、理解理解snort配置文件配置文件 我們可以通過(guò)配置文件來(lái)定義和應(yīng)用適于大型或分布式環(huán)境需要的特性，這正是Snort強(qiáng)大的原因之一。Snort配置文件允許用戶定義變量，附加配置文件以及鏈接附加配置文件等。Snort通過(guò)配置文件來(lái)完成啟動(dòng)配置，配置文件包括7個(gè)基本的部分:變量定義：變量用于Snort規(guī)則和其他的目的，比如有關(guān)網(wǎng)絡(luò)、端口、規(guī)則文件路徑等的變量。配置參數(shù)：指定Snort配置的選項(xiàng)，例如解碼參數(shù)、檢測(cè)引擎參數(shù)，其中有些參數(shù)也可以用在命令行中。配置動(dòng)態(tài)加載庫(kù)（dll）。預(yù)處理器配置：用來(lái)在探測(cè)引擎執(zhí)行特定的動(dòng)作前對(duì)包進(jìn)行處理。輸出模塊配置：控制如何記錄數(shù)據(jù)。定義新的動(dòng)作類(lèi)型：如果預(yù)定義的

2、動(dòng)作類(lèi)型不能夠滿足我們的要求我們可以在配置文件中自定義動(dòng)作。規(guī)則配置和引用文件：盡管可以在Snort.conf中定義規(guī)則，將規(guī)則放在不同的文件中還是更加方便管理。我們可以用關(guān)鍵字include來(lái)指定所引用的規(guī)則文件。定義和使用變量 在配置文件Snort.conf文件中，已經(jīng)定義了很多變量，我們可以根據(jù)自己的需要修改。 其中，HOME_NET、EXTERNAL_NET、HTTP_PORT等變量非常關(guān)鍵。Snort用戶可以定義在配置文件和規(guī)則集中使用的變量。 定義變量的語(yǔ)法 定義普通變量：var 定義端口變量：portvar 定義變量 例var HOME_NET /24 al

3、ert ip any any - $HOME_NET any (ipopts: lsrr; msg: “Loose source routing attempt”; sid: 1000001;) 定義變量 變量中使用變量值列表 var HOME_NET /24，/24 /不同的條目用逗號(hào)分隔 定義變量的時(shí)候，可以用網(wǎng)絡(luò)接口名稱 var HOME_NET $eth0_ADDRESSvar EXTERNAL_NET $eth1_ADDRESS動(dòng)態(tài)變量 在定義變量的時(shí)候，我們可以使用“動(dòng)態(tài)變量”，也就是在配置文件或附加包含文件中用已定義了的變量再去定義其

4、他變量 例如，假如我們定義了一個(gè)變量DMZ_WEB，那么接下來(lái)這個(gè)變量定義是有意義的：var EXTERNAL_WEB $DMZ_WEB 關(guān)鍵字any也可以成為一個(gè)變量。它匹配任何值，例如：var EXTERNAL_NET any 動(dòng)態(tài)變量 如果被引用的變量沒(méi)有定義或定義非法，動(dòng)態(tài)變量可以被賦予一個(gè)“默認(rèn)靜態(tài)地址”，我們也可以定義一段錯(cuò)誤提示信息，當(dāng)被引用變量未定義時(shí)將顯示該信息。定義格式如下： var $var $“變量值”部分被冒號(hào)分開(kāi)，冒號(hào)前面是被引用變量，當(dāng)被引用變量未定義時(shí)，引擎將根據(jù)冒號(hào)后面的部分執(zhí)行動(dòng)作。 var DNS_SERVER $(ORG_DNS_SERVER: ) var ENTIRE_INTERNAL_COMPANY $(INTERNAL_NETS: ?錯(cuò)誤！未定義錯(cuò)誤！未定義INTERNAL_NETS)配置文件中的其他關(guān)鍵要素 在配置文件中還有其他一些非常重要的初始化要素，包括： 預(yù)處理器配置，格式如下：p