Windows下手把手教Snort的安装与配置教程

也许每个人出生的时候都以为这世界都是为他一个人而存在的，当他发现自己错的时候，他便开始长大

少走了弯路，也就错过了风景，无论如何，感谢经历

转移发布平台通知：将不再在CSDN博客发布新文章，敬请移步知识星球

感谢大家一直以来对我CSDN博客的关注和支持，但是我决定不再在这里发布新文章了。为了给大家提供更好的服务和更深入的交流，我开设了一个知识星球，内部将会提供更深入、更实用的技术文章，这些文章将更有价值，并且能够帮助你更好地解决实际问题。期待你加入我的知识星球，让我们一起成长和进步

Windows下手把手教Snort的安装与配置

0x01 Snort 规则集类别

• app-detect.rules – 此类别包含查找和控制生成网络活动的某些应用程序的流量的规则。此类别将用于控制应用程序行为方式的各个方面
• blacklist.rules – 此类别包含已确定为恶意活动指标的 URI、USER-AGENT、DNS 和 IP 地址规则。这些规则基于来自 Talos 病毒沙箱的活动、恶意 URL 的公共列表和其他数据源
• browser-chrome.rules – 此类别包含对 Chrome 浏览器中存在的漏洞的检测。（这与“ browser-webkit ”类别是分开的，因为 Chrome 有足够的漏洞可以分解成它自己的，虽然它使用 Webkit 渲染引擎，但 Chrome 还有很多其他功能）
• browser-firefox.rules – 此类别包含对 Firefox 浏览器或具有“Gecko”引擎的产品中存在的漏洞的检测（雷鸟电子邮件客户端等）
• browser-ie.rules - 此类别包含对 Internet Explorer 浏览器（Trident 或 Tasman 引擎）中存在的漏洞的检测
• browser-webkit – 此类别包含对 Webkit 浏览器引擎（Chrome 除外）中存在的漏洞的检测，包括 Apple 的 Safari、RIM 的移动浏览器、诺基亚、KDE、Webkit 本身和 Palm
• browser-other – 此类别包含对上面未列出的其他浏览器中的漏洞的检测
• browser-plugins – 此类别包含对浏览器中处理浏览器插件的漏洞的检测（例如：Active-x）
• content-replace – 此类别包含任何利用 Snort 内部“替换”功能的规则
• deleted – 当规则已被弃用或替换时，它会移至此类别。规则永远不会从规则集中完全删除，它们被移到这里
• exploit -这是一个较旧的类别，很快就会被弃用。此类别以通用形式查找针对软件的漏洞利用
• exploit-kit – 此类别包含专门用于检测漏洞利用工具包活动的规则。这不包括“妥协后”规则（因为那些将在indicator-comromise中）。由于访问漏洞利用工具包而丢弃的文件将位于其各自的文件类别中
• file-executable – 此类别包含针对通过可执行文件发现或传递的漏洞的规则，无论平台如何
• file-flash - 此类别包含针对通过闪存文件发现或传递的漏洞的规则。无论是被攻击的交付方式平台，压缩或未压缩
• file-image - 此类别包含在图像文件中发现的漏洞的规则。无论交付方法、被攻击的软件或图像类型如何。（示例包括：jpg、png、gif、bmp 等）
• file-identify - 此类别是通过文件扩展名、文件中的内容（文件魔术）或流量中找到的标头来识别文件。此信息通常用于然后设置要在不同规则中使用的流位
• file-java - 此类别包含 Java 文件 (.jar) 中存在的漏洞规则
• file-multimedia - 此类别包含多媒体文件（mp3、电影、wmv）内部存在的漏洞规则
• file-office - 此类别包含属于 Microsoft Office 软件套件的文件中存在的漏洞规则。（Excel、PowerPoint、Word、Visio、Access、Outlook 等）
• file-pdf – 此类别包含针对 PDF 文件内部发现的漏洞的规则。无论创建方法、交付方法或 PDF 影响的软件（例如，Adobe Reader 和 FoxIt Reader）
• file-other – 此类别包含文件中存在的漏洞规则，不属于上述其他类别
• indicator-compromise – 此类别包含的规则显然仅用于检测积极受损的系统，可能会出现误报
• indicator-obfuscation– 此类别包含明确仅用于检测混淆内容的规则。就像编码的 JavaScript 规则一样
• indicator-shellcode – 此类别包含的规则只是在流量中寻找简单的 shellcode 识别标记。这取代了旧的“shellcode.rules”
• indicator-scan - 此类别包含仅在网络流量中寻找扫描指示的规则。这取代了旧的“ scan.rules ”
• malware-backdoor – 此类别包含用于检测发往已知侦听后门命令通道的流量的规则。如果一个恶意软件打开一个端口并等待其控制功能的传入命令，这种类型的检测将在这里。一个简单的示例是检测 BackOrifice，因为它侦听特定端口，然后执行发送的命令
• malware-cnc - 此类别包含已知的恶意命令和控制活动，