19、fwsnort：Snort规则转换与网络安全防护

fwsnort：Snort规则转换与网络安全防护

1. 攻击目标与IDS检测

当针对Microsoft IIS Web服务器的攻击指向Apache Web服务器时，攻击不会对目标造成损害。如果入侵检测系统（IDS）检测到此类攻击，其事件严重程度应远低于针对真实IIS服务器的攻击。

2. fwsnort的特性

• 轻量级资源占用：高负荷使用的系统可能缺乏资源来部署额外的用户空间入侵检测进程（如Snort）。而fwsnort直接在Linux内核中进行数据包检查，对系统资源的占用较轻，无需将数据从内核内存复制到用户空间进程。
• 内联响应：fwsnort构建的iptables签名策略与网络流量内联，适合对恶意攻击采取行动。例如，若发现Linux服务器软件（如BIND）的新漏洞，且Snort社区开发了检测该漏洞攻击的签名，fwsnort可配置为丢弃匹配攻击的数据包，并通过REJECT目标发出标准协议响应。

3. fwsnort的部署优势

fwsnort通过构建执行iptables命令的shell脚本，借助如Zenoss等工具可轻松在多个系统上部署，能通过SSH一次性在多个远程系统上执行命令，便于在基础设施的所有Linux系统中使用。

4. 签名转换示例

• Nmap命令尝试签名：Snort文件web - attacks.rules中的Nmap命令尝试签名，用于检测通过Web服务器执行Nmap扫描器的尝试。当字符串“nmap%2