Snort For Windows+Apache+PHP+MySQL配置文檔

一、安裝解壓縮工具WINRAR，並配置好本機的TCP/IP屬性
二、自定義安裝mysql-6.0.0-alpha-win32.exe，設置安裝目錄爲c:\mysql，其餘步驟默認安裝，並設置root用戶密碼（如：123，注意爲了方便起見，在本實例中全部的密碼均被設置爲了123）和添加c:\mysql\bin到系統環境變量PATH
三、安裝apache_2.2.4-win32-x86-no_ssl，設置安裝目錄爲c:\apache
四、解壓php-5.2.4-Win32到c:\php，
複製c:\php\php5ts.dll和c:\php\libmysql.dll文件到%systemroot%\system32，
複製c:\php\php.ini-dist到%systemroot%並重命名爲php.ini，
修改php.ini，分別去掉「extension=php_gd2.dll」和「extension=php_mysql.dll」前的分號，
並指定extension_dir="c:\php\ext"，
同時複製c:\php\ext下的php_gd2.dll與php_mysql.dll到%systemroot%\system32
五、在C:\apache\conf\httpd.conf中添加
在下面語句中後面添加(回車)#LoadModule ssl_module modules/mod_ssl.so
115行LoadModule php5_module "c:/php/php5apache2_2.dll"和
在下面語句中後面添加(回車)ScriptAlias /cgi-bin/ "C:/apache/cgi-bin/"
385行AddType application/x-httpd-php .php，
並重啓Apache服務
六、在C:\apache\htdocs目錄下新建webinf.php（文件內容爲：<?phpinfo();?>）
並使用 http://127.0.0.1/webinf.php訪問測試是否可以顯示當前Apache服務器的信息，若是可以顯示代表Apache和php工做基本正常
七、默認安裝WinPcap_4_0_1
八、默認安裝Snort_2_7_0_1_Installer並添加c:\snort\bin到系統環境變量PATH，爲了使以上兩次添加的系統環境變量生效，重啓計算機（用戶變量添加）
九、在命令提示符下輸入mysql -u root -p並按提示輸入安裝時給root用戶設置的密碼（不若是沒有定義系統環境變量，或定義了沒有生效，則要在其安裝目錄下運行，即c:\mysql\bin>mysql -u root -p）
十、利用如下語句在mysql中創建snort 運行必須的snort 庫和snort_archive 庫
mysql>create database snort;
mysql>create database snort_archive;
十一、利用如下語句爲Mysql 創建snort 和acid 賬號，使IDSCenter或acid能正常訪問Mysql中與snort相關的數據文件
mysql> grant usage on *.* to "acid"@"localhost" identified by "acidtest";
mysql> grant usage on *.* to "snort"@"localhost" identified by "snorttest";
十二、利用如下語句爲acid擁護和snort 擁護設置密碼
mysql>set password for "acid"@"localhost" = password('123');
mysql>set password for "snort"@"localhost" = password('123');
1三、利用如下語句爲acid 用戶和snort 用戶分配相關權限
mysql> grant select,insert,update,delete,create,alter on snort .* to "acid"@"localhost";
mysql> grant select,insert,update,delete,create,alter on snort_archive .* to "acid"@"localhost";
mysql> grant select,insert,update,delete,create,alter on snort .* to "snort"@"localhost";
mysql> grant select,insert,update,delete,create,alter on snort_archive .* to "acid"@"localhost";
（注意：以上三個步驟的任務能夠利用以腳原本完成，具體的方法是——在C盤建立一個腳本文件snort_mysql內容以下：
################################################################################
create database snort;
create database snort_archive;
grant usage on *.* to "acid"@"localhost" identified by "acidtest";
grant usage on *.* to "snort"@"localhost" identified by "snorttest";
set password for "acid"@"localhost" = password('123');
set password for "snort"@"localhost" = password('123');
grant select,insert,update,delete,create,alter on snort .* to "acid"@"localhost";
grant select,insert,update,delete,create,alter on snort_archive .* to "acid"@"localhost";
grant select,insert,update,delete,create,alter on snort .* to "snort"@"localhost";
grant select,insert,update,delete,create,alter on snort_archive .* to "snort"@"localhost";
#################################################################################
而後c:\>mysql -D mysql -u root -p < c:\snort_mysql.txt;）
1四、利用如下語句，使用c:\snort\schemas目錄下的create_mysql腳本分別在新建的庫中創建Snort運行必須的數據表
c:\mysql\bin\mysql -D snort -u root -p < c:\snort\schemas\create_mysql
c:\mysql\bin\mysql -D snort_archive -u root -p < c:\snort\schemas\create_mysql
（或是將C:\Snort\schemas下的create_mysql文件拷貝到C:\mysql\bin目錄下後， 分別在snort和snort_archive庫中執行mysql>source create_mysql）
1五、安裝adodb，解壓縮adodb495a到c:\php\adodb 目錄下
1六、安裝jpgrapg 庫，解壓縮jpgraph-2.2.tar到c:\php\jpgraph，
而且修改C:\php\jpgraph\src\jpgraph.php，添加以下一行
DEFINE("CACHE_DIR","/tmp/jpgraph_cache/");
1七、安裝acid，解壓縮acid-0.9.6b23.tar到c:\apache\htdocs\acid 目錄下，
並將C:\Apache\htdocs\acid\acid_conf.php文件的以下各行內容修改成：
$DBlib_path = "c:\php\adodb";
$alert_dbname = "snort";
$alert_host = "localhost";
$alert_port = "3306";
$alert_user = "acid";
$alert_password = "123";
$archive_dbname = "snort_archive";
$archive_host = "localhost";
$archive_port = "3306";
$archive_user = "acid";
$archive_password = "123";
$ChartLib_path = "c:\php\jpgraph\src"; 
1七、經過瀏覽器訪問http:/127.0.0.1/acid/acid_db_setup.php，在打開頁面中點取「Create ACID AG」按鈕，讓系統自動在mysql中創建acid 運行必須的數據庫
1八、簡單的snort配置，打開c:\Snort\etc下的snort.conf文件，將下列各行修改以下：
dynamicengine c:\Snort\lib\snort_dynamicengine\sf_engine.dll
dynamicpreprocessor directory c:\Snort\lib\snort_dynamicpreprocessor
var RULE_PATH c:/snort/rules
include c:\snort\etc\classification.config
include c:\Snort\etc\reference.config
1九、配置snort的輸出插件， 打開c:\Snort\etc下的snort.conf文件，添加以下行：
output database: alert, Mysql, host=localhost port=3306 dbname=snort user=root password=123 sensor_name=n encoding=ascii detail=Full
（注意：若是mysql和snort不在同一臺服務器上，要將「localhost」改成具體的mysql服務器的ip地址）
20、爲Snort添加響應規則，或配置Snort的規則，也能夠從Internet下載已有的規則，
本實例是經過現有的規則包——snortrules-snapshot-CURRENT.tar解壓到c:\snort來實現的
2一、分別用如下命令測試Snort是否工做正常
c:\>snort -dev，能看到一隻正在奔跑的小豬證實工做正常
c:\>snort -W，查看本地網絡適配器編號
c:\>snort –c c:\snort\etc\snort.conf –l c:\snort\log –devX，測試配置文件可以支持工做，可是，在使用過程當中snortrules-snapshot-CURRENT.tar包中的web-misc.rules有問題，因此爲了其餘內容能後正常進行***檢測，修改c:\Snort\etc\snort.conf，在include $RULE_PATH/web-misc.rules前加#號將其註釋掉
2二、能夠選用IDSCenter配置snort項，採用默認安裝IDSCenter11rc4來完成
2三、使用SAM，須要Java支持，因此首先安裝jre-1_5_0_12-windows-i586-p安裝好後，解壓sam_20050206_bin到c:\，進入才c:\sam\，直接雙擊sam.jar運行SAM軟件
2四、運行snort捕獲數據包，進行***檢測，在命令提示符中輸入：
c:\>snort -c "c:\snort\etc\snort.conf" -i 2 -l "c:\snort\log" -deX
-X 參數用於在數據連接層記錄raw packet 數據
-d 參數記錄應用層的數據
-e 參數顯示／記錄第二層報文頭數據
-c 參數用以指定snort 的配置文件的路徑
-i  參數指定監視的網絡適配器的編號
並使用SAM 和ACID 監視服務器狀況。
2五、SNORT的更多輔助工具：
Snortsnarf http://www.silicondefense.com/software/snortsnarf
Snortplot.php http://www.snort.org/dl/contrib/data_analysis/snortplot.pl
Swatch http://acidlab.sourceforge.net
Demarc http://www.demarc.com
Razorback http://www.intersectalliance.com/projects/razorback/index.html
Incident.pl http://www.cse.fau.edu/~valankar/incident
Loghog http://sourceforge.net/project/loghog
Oinkmaster http://www.algonet.se/~nitzer/oinkmaster
Sneakyman http://sneak.sourceforge.net
Snortreport http://www.circurtsmaximus.com/download.html