|
|
知识路径： > 入侵检测技术原理与应用 > 入侵检测系统应用 > 网络系统内部入侵检测 >
|
被考次数：2次
被考频率：低频率
总体答错率：44%
知识难度系数： 
|
由 软考在线 用户真实做题大数据统计生成
|
|
考试要求：掌握
相关知识点：13个
|
|
|
|
|
常见的开源网络入侵检测系统有Snort、Suricata、Bro、Zeek、OpenDLP、Sagan等。本文以Snort为例，给出开源IDS应用作为参考。
|
|
|
|
Snort是应用较为普遍的网络入侵检测系统，其基本技术原理是通过获取网络数据包，然后基于安全规则进行入侵检测，最后形成报警信息。Snort规则由两部分组成，即规则头和规则选项。规则头包含规则操作（action）、协议（protocol）、源地址和目的IP地址及网络掩码、源地址和目的端口号信息。规则选项包含报警消息、被检查网络包的部分信息及规则应采取的动作。Snort规则如下所示：
|
|
|
|
|
|
其中，规则头和规则选项通过“（）”来区分，规则选项内容用括号括起来。规则头常见的动作有alert、log、pass、activate、dynamic；规则选项是Snort入侵检测的引擎核心，所有Snort规则选项都用“；”隔开，规则选项关键词使用“：”和对应的参数区分，Snort提供十五个规则选项关键词。规则选项关键词常用的是msg和content。msg用于显示报警信息，content用于指定匹配网络数据包的内容。以Nmap扫描和SQL注入攻击为例，Snort检测规则如下。
|
|
|
|
|
|
|
|
|
|
|
|
|
