24、结合 fwsnort 与 psad 增强网络安全防护
结合 fwsnort 与 psad 增强网络安全防护
1. 引言
在当今复杂多变的网络环境中，保障网络安全是至关重要的任务。Snort 社区为检测网络攻击提供了有效的语言，fwsnort 借助 Snort 签名集来描述攻击，而 iptables 作为防火墙，专注于对网络流量的控制。当在 Linux 系统上运行的关键任务服务器软件发现漏洞时，在安排停机打补丁之前，系统容易受到攻击。利用 Snort 社区的力量，一旦有新的签名发布，fwsnort 就能指导 Linux 内核丢弃那些可能利用漏洞的数据包，避免造成实际危害。
2. fwsnort 与 psad 简介
- fwsnort：可以构建 iptables 规则集来丢弃数据包，但它无法动态地针对恶意 IP 地址实施持久的阻止规则，这需要用户空间进程来完成。不过，fwsnort 在攻击检测方面表现出色，尤其是对应用层攻击的检测。
- psad：具备检测、警报和自动响应的能力，但其检测引擎的有效性受到 iptables 日志格式的限制。
3. 将 fwsnort 检测与 psad 操作相结合
为了更好地保障网络安全，我们可以将 fwsnort 的签名检测能力与 psad 的多种功能（如 whois 查询、反向 DNS 查找、发送电子邮件警报、关联危险级别以及向 DShield 传达攻击信息等）结合起来。下面以针对 MediaWiki 软件的攻击为例，详细介绍如何实现两者的结合。