19、fwsnort：Snort规则转换与入侵检测的高效解决方案

fwsnort：Snort规则转换与入侵检测的高效解决方案

1. IDS中的应用与fwsnort特性

在入侵检测系统（IDS）领域，IDS可借助操作系统和应用程序信息，排除潜在的误报，或者提升所报告攻击的严重程度。例如，针对Microsoft IIS Web服务器缓冲区溢出的攻击，如果目标是Apache Web服务器，那么该攻击就不可能危及目标。此时，若IDS检测到该攻击，其事件严重程度应比攻击真正的IIS服务器时低很多。

fwsnort具有以下显著特性：
-轻量级资源占用：对于资源紧张的系统，可能没有足够资源部署额外的用户空间入侵检测进程（如Snort）。而fwsnort直接在Linux内核中进行数据包检查，对系统资源的使用量较小，无需将数据从内核内存复制到用户空间进程。在因资源受限而不适合部署专用IDS/IPS的系统中，fwsnort是一个可行的替代方案。
-内联响应：fwsnort构建的iptables签名策略始终与网络流量内联，非常适合对特别恶意的攻击采取行动。例如，当发现Linux服务器软件（如BIND）存在新漏洞时，如果Snort社区开发了检测该漏洞攻击的签名，fwsnort可配置为丢弃看起来匹配攻击的数据包（通过iptables的DROP目标），并通过REJECT目标发出标准协议响应。若服务器正常运行时间与服务级别协议（SLA）相关，在安排停机窗口进行补丁安装之前，服务器软件必须保持全球可用，此时内联预防机制可为防范该漏洞的利用提供有价值的保护。此外，由于fwsnort策略轻量级，通常可与其他预防机制（如以inline模式运行的Snort）一起部署。

由于fwsn