Snort入侵检测实用解决方案

第1章 入侵检测基础
1.1 不同类型的入侵检测系统
1.1.1 基于主机的入侵检测系统
1.1.2 基于网络的入侵检测系统
1.1.3 一种混合的方法
1.2 检测入侵的方法
1.2.1 特征检测
1.2.2 异常检测
1.2.3 完整性检验
1.3 攻击的来源
1.3.1 外部威胁
1.3.2 内部威胁
1.4 攻击的步骤 
1.4.1 计划阶段
1.4.2 侦察阶段
1.4.3 攻击阶段
1.4.4 后攻击阶段
1.5 入侵检测系统的现状
1.5.1 入侵检测系统不能检测所有的入侵事件
1.5.2 入侵检测系统不能地攻击作出响应
1.5.3 入侵检测系统的配置及维护比较困难
1.6 小结
第2章 利用Snort进行网络入侵检测
2.1 Snort的规格说明
2.1.1 安装的必要条件
2.1.2 带宽考虑
2.1.3 Snort是一种开放源代码的应用程序
2.2 通过特征检测可疑流量
2.2.1 检测可疑净荷
2.2.2 检测具体协议元素
2.2.3 用客户规则扩展覆盖面
2.3 启发式的可疑流量检测
2.4 采集入侵数据
2.4.1 评估威胁
2.4.2 预处理
2.5 利用输出插件进行报警
2.5.1 聚集数据
2.5.2 用统一格式和Barnyard程序记录日志
2.5.3 报警
2.6 分层报警
2.6.1 无优先级报警
2.6.2 严格编码的优先级报警
2.6.3 可定制的优先级报警
2.7 分布式Snort体系
2.7.1 第一层——传感器层
2.7.2 第二层——服务器层
2.7.3 第三层——分析员控制台
2.8 安全的Snort
2.9 Snort的缺陷
2.9.1 灵活性带来复杂性
2.9.2 误报的问题
2.9.3 市场因素
2.10 小结
第3章 剖析Snort
3.1 用Libpcap输送Snort包
3.2 预处理程序
3.2.1 frag2
3.2.2 stream4
3.2.3 stream4_reassemble
3.2.4 HTTP_decode
3.2.5 RPC_decode
3.2.6 BO
3.2.7 Telnet_decode
3.2.8 ARPspoof
3.2.9 ASN1_decode
3.2.10 fnord
3.2.11 conversation
3.2.12 portscan2
3.2.13 SPADE
3.3 检测引擎
3.4 输出插件
3.4.1 Alert_fast
3.4.2 Alert_full
3.4.3 Alert_smb
3.4.4 Alert_unixsock
3.4.5 Log_tcpdump
3.4.6 CSV
3.4.7 XML
3.4.8 Alert_syslog
3.4.9 数据库输出
3.4.10 统一格式输出
3.5 小结
第4章 安装Snort的计划
4.1 制定入侵检测系统的策略
4.1.1 恶意行为
4.1.2 可疑行为
4.1.3 异常行为
4.1.4 不适当行为
4.2 决定要监控的内容
4.2.1 外部网络连接监控
4.2.2 内部网络关键点监控
4.2.3 重要计算资源监控
4.3 设计Snort体系结构
4.3.1 三层结构
4.3.2 单层结构
4.3.3 监控网段
4.4 维护计划
4.5 事件响应
4.5.1 事件响应计划
4.5.2 事件响应
4.5.3 恢复
4.5.4 测试计划
4.6 小结
第5章 基础——硬件和操作系统
5.1 硬件性能的度量
5.2 操作系统平台的选择
5.3 监控网段
5.3.1 网内Hub监控
5.3.2 SPAN端口监控
5.3.3 Taps监控
5.4 多传感器分流
5.5 小结
第6章 建立服务器
6.1 安装指南
6.2 Red Hat Linux 7.3的安装
6.2.1 分区策略
6.2.2 网络配置
6.2.3 防火墙配置
6.2.4 时区选择
6.2.5 帐号设置
6.2.6 选择需要安装的软件包
6.3 后安装任务
6.4 安装Snort服务器组件
6.4.1 安装OpenaSSL
6.4.2 安装Stunnel
6.4.3 安装OpenSSH
6.4.4 下载Apache
6.4.5 安装MySQL
6.4.6 配置mod_ssl
6.4.7 安装gd
6.4.8 安装PHP
6.4.9 安装Apache
6.4.10 安装ADODB
6.4.11 安装ACID
6.5 小结
第7章 建立传感器
7.1 安装指南
7.1.1 Red Hat Linux 7.3的安装
7.1.2 后安装任务 
7.2 安装Snort传感器组件
7.2.1 安装libpcap
7.2.2 安装tcpdump
7.2.3 安装OpenSSL
7.2.4 安装Stunnel
7.2.5 安装OpenSSH
7.2.6 安装MySQL客户端
7.2.7 安装NTP
7.3 安装Snrot
7.3.1 配置snort.conf
7.3.2 运行Snort
7.4 安装Barnyard
7.4.1 配置barnyard.conf
7.4.2 运行Barnyard
7.4.3 用barnyard.server脚本实现Barnyard的自动启动与停止
7.5 小结
第8章  建立分析员控制台
8.1 Windows下的安装
8.1.1 安装SSH
8.1.2 Web浏览器
8.2 Linux下的安装
8.2.1 安装OpenSSH
8.2.2 Web浏览器
8.3 测试控制台
8.4 使用ACID
8.4.1 搜索
8.4.2 警报组
8.5 小结
第9章 其他操作系统下的安装方法
9.1 混合服务器/传感器
9.2 基于OpenBSD的Snort
9.3 基于Windows的Snort
9.3.1 Windows的安装
9.3.2 基本程序的安装
9.3.3 Snort应用程序的安装
9.3.4 入侵检测中心的安装
9.4 小结
第10章 调整和减少误报
10.1 预调行为
10.2 调整网络
10.3 用Snort过滤流量
10.3.1 网络变量
10.3.2 Berkeley包过滤
10.4 调整预处理程序
10.4.1 调整bo
10.4.2 调整arpspoof,asnl_decoe和fnord
10.4.3 调整frag2
10.4.4 调整stream4
10.4.5 调整stream4_reassemable
10.4.6 调整http_decode、rpc_decode和telnet_decode
10.4.7 调整portscan2和conversation
10.5 细化规则集
10.5.1 chat.rules规则
10.5.2 ddos.rules规则
10.5.3 ftp.rules规则
10.5.4 icmp-info.rules规则(1)
10.5.5 icmp-info.rules规则(2)
10.5.6 info.rules规则
10.5.7 misc.rules规则
10.5.8 multimedia.rules规则
10.5.9 other-ides.rules规则
10.5.10 p2p.rules规则
10.5.11 policy.rules规则
10.5.12 porn.rules规则
10.5.13 shellcode.rules规则
10.5.14 virus.rules规则
10.6 组织规则
10.7 设计目标规则集
10.8 调整MyQSL
10.9 调整ACID
10.9.1报警的存档 
10.9.2 报警的删除
10.9.3 缓存属性的调整
10.10 小结
第11章 实时报警
11.1 概述
11.2 警报的分级
11.2.1 事件
11.2.2 有目标的攻击
11.2.3 自定义规则
11.2.4 用classification.config定义优先级
11.2.5 优先级（priority）选项
11.3 混合型报警
11.3.1 安装Swatch
11.3.2 配置Swatch
11.4 分布式Snort报警
11.4.1 配置Snort并安装Sendmail
11.4.2 在传感器上安装syslog-ng
11.4.3 为传感器配置syslog-ng
11.4.4 在服务器上安装Syslog-ng
11.4.5 为服务器配置Syslog-ng
11.4.6 为实时报警配置syslog-ng
11.4.7 用Stunnel加密Syslog-ng会话
11.5 小结
第12章 基础规则的编写
12.1 概念
12.2 语法
12.2.1 规则头
12.2.2 规则选项
12.3 编写规则的方法
12.3.1 修改已存在的规则
12.3.2 利用网络知识创造新规则
12.3.3 利用流量分析创建新规则
12.4 小结
第13章 升级和维护Snort
13.1 选择Snort管理应用软件
13.2 入侵检测系统策略管理器
13.2.1 安装
13.2.2 配置
13.3 SnortCenter
13.3.1 SnortCenter安装
13.3.2 SnortCenter传感器代理安装
13.3.3 配置
13.4 升级Snort
13.5 小结
第14章 入侵防范高级话题
14.1 一个关于入侵防范的警告
14.2 制定入侵防范策略
14.2.1 未打补丁的服务器
14.2.2 新的漏洞
14.2.3 公开的可访问的高权限主机
14.2.4 从不产生误报的规则
14.3 Snort Inline修补程序
14.3.1 安装
14.3.2 配置
14.3.3 Inline Snort（防范型Snort）规则编写
14.3.4 建立规则集
14.4 SnortSam
14.4.1 安装
14.4.2 配置
14.4.3 在规则中插入阻塞响应
14.5 小结
附录
附录A 疑难解答
附录B 规则文件