Snort 入侵检测系统搭建指南-编程实验室

一、安装准备：环境依赖安装

在 CentOS7 系统中搭建 Snort，需先安装必备依赖库与拓展包，确保后续安装顺利进行。

复现平台	天枢一体化虚拟仿真平台
操作系统	CentOS7

1.1基础依赖库安装

执行以下命令安装核心依赖：

sudo yum install -y gcc flex bison zlib libpcap pcre libdnet tcpdump

1.2libnghttp2 依赖安装

最新版 Snort 需依赖 libnghttp2，通过 EPEL 源安装：

sudo yum install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

sudo yum install -y libnghttp2

1.3源代码安装额外依赖（仅源码安装方式需执行）

若选择从源代码安装 Snort，需补充安装开发包：

sudo yum install -y zlib-devel libpcap-devel pcre-devel libdnet-devel openssl-devel libnghttp2-devel luajit-devel

二、Snort 安装：两种安装方式

2.1通过 yum 安装（推荐，简化流程）

直接使用 yum 命令快速安装：

sudo yum install -y snort

2.2通过源代码安装（自定义配置更灵活）

2.2.1. 准备下载目录

mkdir ~/snort_src && cd ~/snort_src

2.2.2. 安装 DAQ（数据采集库）

下载 DAQ 源代码包（可替换版本号为最新版）：

wget https://www.snort.org/downloads/snort/daq-2.0.7.tar.gz

tar -xvzf daq-2.0.7.tar.gz

cd daq-2.0.7

编译安装：

./configure && make && sudo make install

cd ~/snort_src

2.3安装 Snort

下载 Snort 源代码（可替换版本号为最新版）：

wget https://www.snort.org/downloads/archive/snort/snort-2.9.16.1.tar.gz

tar -zxvf snort-2.9.16.1.tar.gz

cd snort-2.9.16.1

编译安装（启用 sourcefire）：

./configure --enable-sourcefire && make && sudo make install

三、Snort 配置：NIDS 模式部署

3.1基础环境配置

3.1.1. 更新共享库与创建符号链接

sudo ldconfig

sudo ln -s /usr/local/bin/snort /usr/sbin/snort

3.1.2创建专用用户与用户组

sudo groupadd snort

sudo useradd snort -r -s /sbin/nologin -c SNORT_IDS -g snort

3.1.3建立目录结构与设置权限

# 创建目录

sudo mkdir -p /etc/snort/rules

sudo mkdir /var/log/snort

sudo mkdir /usr/local/lib/snort_dynamicrules

# 设置权限

sudo chmod -R 5775 /etc/snort

sudo chmod -R 5775 /var/log/snort

sudo chmod -R 5775 /usr/local/lib/snort_dynamicrules

sudo chown -R snort:snort /etc/snort

sudo chown -R snort:snort /var/log/snort

sudo chown -R snort:snort /usr/local/lib/snort_dynamicrules

3.1.4. 创建规则相关文件

sudo touch /etc/snort/rules/white_list.rules

sudo touch /etc/snort/rules/black_list.rules

sudo touch /etc/snort/rules/local.rules

3.1.5. 复制配置文件（仅源码安装需执行）

sudo cp ~/snort_src/snort-2.9.16.1/etc/*.conf* /etc/snort

sudo cp ~/snort_src/snort-2.9.16.1/etc/*.map /etc/snort

3.2检测规则下载与配置

Snort 提供三种规则集：社区规则（免费）、注册规则（需注册获取 Oink 代码）、订阅规则（付费订阅）。

3.2.1 社区规则（快速测试用）

下载并解压：

wget https://www.snort.org/rules/community -O ~/community.tar.gz

sudo tar -xvf ~/community.tar.gz -C ~/

sudo cp ~/community-rules/* /etc/snort/rules

注释不必要的规则引用：

sudo sed -i 's/include \$RULE\_PATH/#include \$RULE\_PATH/' /etc/snort/snort.conf

3.2.2. 注册用户规则（需注册获取 Oink 代码）

替换 Oink 代码并下载：

wget https://www.snort.org/rules/snortrules-snapshot-29120.tar.gz?oinkcode=你的Oink代码 -O ~/registered.tar.gz

sudo tar -xvf ~/registered.tar.gz -C /etc/snort

3.3核心配置文件修改（snort.conf）

编辑配置文件：

sudo vim /etc/snort/snort.conf

3.3.1配置网络地址

# 保护的内部网络（替换为实际IP段）

ipvar HOME_NET 172.16.10.4/24

# 外部网络（默认即可）

ipvar EXTERNAL_NET !$HOME_NET

3.3.2配置规则文件路径

var RULE_PATH /etc/snort/rules

var SO_RULE_PATH /etc/snort/so_rules

var PREPROC_RULE_PATH /etc/snort/preproc_rules

var WHITE_LIST_PATH /etc/snort/rules

var BLACK_LIST_PATH /etc/snort/rules

3.3.3配置日志输出

output unified2: filename snort.log, limit 128

3.3.4 启用规则集

# 启用本地规则

include $RULE_PATH/local.rules

# 若使用社区规则，添加以下行

include $RULE_PATH/community.rules

四、功能验证：测试 Snort 运行

4.1配置有效性测试

执行以下命令验证配置是否正确：

sudo snort -T -c /etc/snort/snort.conf

成功提示：Snort successfully validated the configuration!，若报错需根据提示修复（常见问题：缺少文件 / 文件夹、规则引用错误）。

4.2警报功能测试

4.2.1 添加测试规则

编辑本地规则文件：

sudo vi /etc/snort/rules/local.rules

添加 ICMP 测试规则：

alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)

规则说明：

alert：触发时产生警报
icmp：协议类型
any any：源地址 / 端口（所有）
$HOME_NET any：目标地址 / 端口（保护网络 + 所有端口）
sid：唯一规则 ID（本地规则需≥1000001）
rev：规则版本

4.2.2 启动 Snort 并监听

# ens33为网卡名称，可通过ip addr或ifconfig查询

sudo snort -A console -i ens33 -u snort -g snort -c /etc/snort/snort.conf

4.2.3测试效果

从其他计算机 ping 目标服务器，终端会输出 ICMP 警报，按Ctrl+C停止监听。

4.2.4 查看日志

snort -r /var/log/snort/snort.log.时间戳（按TAB补全）

4.3后台服务运行

4.3.1 下载启动脚本（源码安装需执行）

wget https://www.snort.org/documents/snort-startup-script-for-centos -O ~/snortd

sudo chmod 755 ~/snortd && sudo mv ~/snortd /etc/init.d/

4.3.2 启动服务

sudo systemctl daemon-reload

sudo systemctl start snortd

4.3.3 服务管理命令

# 停止服务

sudo systemctl stop snortd

# 重启服务

sudo systemctl restart snortd

# 查看状态

sudo systemctl status snortd

五、可视化 WEB 报警平台搭建

5.1安装基础组件

yum install -y mysql-server mysql-devel php-mysql php-pear php-gd libtool php-imap php-ldap php-mbstring php-odbc php-pear php-xml php-pecl-apc

# 设置MySQL开机自启并启动

chkconfig --level 235 mysqld on

systemctl start mysqld

5.2 MySQL 数据库配置

5.2.1设置 root 密码

/usr/bin/mysqladmin -u root password '你的密码'

5.2.2创建 Snort 数据库与用户

mysql -u root -p

# 输入密码后执行以下SQL命令

mysql> create database snort;

mysql> use snort;

mysql> create user 'snort'@'localhost' IDENTIFIED BY '******';

#在以上命令中，“******”是MySQL中⽤户Snort的密码。

#接着创建名为snort、密码为“123456”的数据库⽤户，并赋予名为“snort”的数据库

权限

mysql> grant create,select,update,insert,delete on snort.* to snort@localhost i

dentified by '******';

mysql> set password for 'snort'@'localhost'=password('******'); //为⽤户snor

t设置访问密码

mysql> source ~/barnyard2-2-1.13/schemas/create_mysql; //该命令不可重复输

⼊，⼀定要执⾏此命令

mysql> show tables；

mysql> use snort;

+------------------+

| Tables_in_snort |

+------------------+

| data |

| detail |

| encoding |

| event |

| icmphdr |

| iphdr |

| opt |

Snort⼊侵检测系统搭建（Centos7）

12| reference |

| reference_system |

| schema |

| sensor |

| sig_class |

| sig_reference |

| signature |

| tcphdr |

| udphdr |

+------------------+

16 rows in set (0.00 sec)

mysql> flush privileges; //刷新数据库权限

mysql> exit

5.3Barnyard2 安装配置（日志转存数据库）

5.3.1 下载并解压 Barnyard2

wget https://github.com/firnsy/barnyard2/archive/v2-1.13.zip

unzip v2-1.13.zip

cd ~/barnyard2-2-1.13/

5.3.2 编译安装

./configure --with-mysql --with-mysql-libraries=/usr/lib64/mysql

make

make install

5.3.3 配置 Barnyard2

# 复制配置文件

sudo cp ~/barnyard2-2-1.13/etc/barnyard2.conf /etc/snort/

# 创建日志目录与状态文件

sudo mkdir /var/log/barnyard2

sudo chown snort.snort /var/log/barnyard2

sudo touch /var/log/snort/barnyard2.waldo

sudo chown snort.snort /var/log/snort/barnyard2.waldo

# 编辑配置文件

sudo vim /etc/snort/barnyard2.conf

修改配置文件关键参数：

config logdir:/var/log/barnyard2

config hostname: localhost

config interface: ens33 # 替换为实际网卡

config waldo_file:/var/log/snort/barnyard2.waldo

# 末尾添加数据库配置

output database: log, mysql, user=snort password=你的密码 dbname=snort host=localhost sensor name=sensor01

5.3.4 启动 Barnyard2

barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f snort.u2 -w /var/log/snort/barnyard2.waldo -g snort -u snort

5.4安装依赖插件

yum install -y httpd mysql-server php php-mysql php-mbstring php-mcrypt mysql-devel php-gd mcrypt libmcrypt libmcrypt-devel php-pear

# 安装PEAR插件（单次失败可多次尝试）

pear channel-update pear.php.net

pear install mail Image_Graph-alpha Image_Canvas-alpha Image_Color Numbers_Roman mail_mime

5.5安装 ADODB

cd ~/snort_src

wget https://sourceforge.net/projects/adodb/files/adodb-php5-only/adodb-520-for-php5/adodb-5.20.18.zip

tar -xvzf adodb-5.20.8.tar.gz

sudo mv adodb5 /var/adodb

sudo chmod -R 755 /var/adodb

5.6安装 BASE（WEB 管理平台）

# 下载并解压

wget https://sourceforge.net/projects/secureideas/files/BASE/base-1.4.5/base-1.4.5.tar.gz

tar -zxvf base-1.4.5.tar.gz

sudo mv base-1.4.5 /var/www/html/base/

# 配置BASE

cd /var/www/html/base

sudo cp base_conf.php.dist base_conf.php

sudo vim /var/www/html/base/base_conf.php

修改 BASE 配置：

$BASE_urlpath = '/base'; # 第50行

$DBlib_path = '/var/adodb/'; # 第80行

$alert_dbname = 'snort'; # 第102行

$alert_host = 'localhost';

$alert_port = '';

$alert_user = 'snort';

$alert_password = '你的密码'; # 第106行，与MySQL中snort用户密码一致

设置文件权限：

sudo chown -R snort:snort /var/www/html/base

sudo chmod o-r /var/www/html/base/base_conf.php

5.7启动 WEB 服务

# 启动mysql服务

service mysqld start

# 启动HTTP服务

service httpd start

# 关闭防火墙（测试环境，生产环境需配置防火墙规则）

systemctl stop firewalld.service

# 查看防火墙状态

firewall-cmd --state

访问 WEB 平台：浏览器输入http://服务器IP/base

六、常见问题与解决方案

6.1编译安装 DAQ 报错：缺少 aclocal-1.15

# 解决方案

sudo yum install -y libtool

# 若仍报错，更新软件源后重试

yum upgrade

6.2启动 Snort 报错：加载 libdnet.1 失败

ln -s /usr/lib64/libdnet.so.1.0.1 /usr/lib64/libdnet.1

6.3安装 MySQL 报错：无 mysql-server 包

# 步骤1：下载MySQL repo源

wget http://repo.mysql.com/mysql-community-release-el7-5.noarch.rpm

# 步骤2：安装repo包

rpm -ivh mysql-community-release-el7-5.noarch.rpm

# 步骤3：安装MySQL

yum install mysql-server

6.4运行 Barnyard2 报错：无法打开 sid-msg.map

sudo touch /etc/snort/sid-msg.map

6.5Ping 测试无日志输出

检查snort.conf中HOME_NET配置是否与服务器实际 IP 段一致：

cat /etc/snort/snort.conf | grep "ipvar HOME_NET"

6.6监听网卡不匹配

通过以下命令确认正确网卡名称：

ip addr

修改snort.conf与barnyard2.conf中的网卡配置（如 eth0、ens33）。

一、安装准备：环境依赖安装

1.1基础依赖库安装

1.2libnghttp2 依赖安装

1.3源代码安装额外依赖（仅源码安装方式需执行）

二、Snort 安装：两种安装方式

2.1通过 yum 安装（推荐，简化流程）

2.2通过源代码安装（自定义配置更灵活）

2.2.1. 准备下载目录

2.2.2. 安装 DAQ（数据采集库）

2.3安装 Snort

三、Snort 配置：NIDS 模式部署

3.1基础环境配置

3.1.1. 更新共享库与创建符号链接

3.1.2创建专用用户与用户组

3.1.3建立目录结构与设置权限

3.1.4. 创建规则相关文件

3.1.5. 复制配置文件（仅源码安装需执行）

3.2检测规则下载与配置

3.2.1 社区规则（快速测试用）

3.2.2. 注册用户规则（需注册获取 Oink 代码）

3.3核心配置文件修改（snort.conf）

3.3.1配置网络地址

3.3.2配置规则文件路径

3.3.3配置日志输出

3.3.4 启用规则集

四、功能验证：测试 Snort 运行

4.1配置有效性测试

4.2警报功能测试

4.2.1 添加测试规则

4.2.2 启动 Snort 并监听

4.2.3测试效果

4.2.4 查看日志

4.3后台服务运行

4.3.1 下载启动脚本（源码安装需执行）

4.3.2 启动服务

4.3.3 服务管理命令

五、可视化 WEB 报警平台搭建

5.1安装基础组件

5.2 MySQL 数据库配置

5.2.1设置 root 密码

5.2.2创建 Snort 数据库与用户

5.3Barnyard2 安装配置（日志转存数据库）

5.3.1 下载并解压 Barnyard2

5.3.2 编译安装

5.3.3 配置 Barnyard2

5.3.4 启动 Barnyard2

5.4安装依赖插件

5.5安装 ADODB

5.6安装 BASE（WEB 管理平台）

5.7启动 WEB 服务

六、常见问题与解决方案

6.1编译安装 DAQ 报错：缺少 aclocal-1.15

6.2启动 Snort 报错：加载 libdnet.1 失败

6.3安装 MySQL 报错：无 mysql-server 包

6.4运行 Barnyard2 报错：无法打开 sid-msg.map

6.5Ping 测试无日志输出

6.6监听网卡不匹配

JSP中如何利用多线程技术实现大文件并行上传？

wangEditor处理word文档超链接自动检测功能

48、网络安全与用户认证全解析

64、网络路由协议配置与参数详解

【超全】基于SSM的咖啡文化宣传网站【源码+文档+调试】

15、网络渗透测试及WRT54G硬件改造实用指南