合理安装配置Snort

    这里将Snort作为IDS的一个例子，因为它相对容易部署，而且大多数管理员都能获得Snort（它是开放源代码）。如果希望安装、测试Snort，请登录Snort站点（http://www.snort.org）即可。下面以一个典型的中小网络环境为例，介绍使用Snort来实施IDS系统。在实施IDS时，面临的问题是：如何部署IDS系统。基于网络的IDS系统，大部分是通过网络交换机采集整个网络的流量信息，数据量非常大，管理员很少会有时间来正确地分析它们。其实，实施IDS的目的，主要是为了保护系统中重要的主机。网络拓朴如图2。

    在这里我们采用基于主机的IDS，即在各个需要被监控的服务器上安装IDS探头软件：snort，根据各服务器自身应用的特点，定制规则，并将收集到的信息、告警等传至网管员控制台的IDS控制中心。运行Snort软件需要libpcap库支持。libpcap 是 Linux/linux 平台下的网络数据包捕获函数包，大多数网络监控软件都以它为基础。Libpcap 提供了系统独立的用户级别网络数据包捕获接口，并充分考虑到应用程序的可移植性。Libpcap 可以在绝大多数类 Linux 平台下工作，Libpcap 软件包可从 http://www.tcpdump.org/ 下载。

    在IDS控制中心：网管员控制台为了管理Snort采用Web方式分析Snort日志。所需软件为：Apache、MySQL、ACID等。其中 Apache Web服务器为ACID提供运行环境。MySQL数据库服务器，用于存储Snort告警信息。

    所有IDS探头产生的信息、警报等都保存在MySQL数据库中。ACID（Analysis Console for Incident Databases）是一个基于PHP的分析引擎，用于查询、管理snort探针产生的数据库。还可以用Web方式查看分析Snort日志和警报信息的软件。ACID需要Php、Adodb、Gd、Zlib等软件的支持，来实现对MySQL数据库的访问以及以图形方式表现Snort日志警报信息。所以要首先建立在一个LAMP（apache+mysql+php）服务器以及相关函数库。下面要安装IDS核心软件Snort、AIDE等软件。具体步骤这里不就不赘述了。