19、fwsnort：网络安全规则转换与应用

fwsnort：网络安全规则转换与应用

1. fwsnort特性概述

在网络安全领域，不同的攻击场景和系统资源状况需要合适的入侵检测与防范工具。fwsnort作为一款工具，具有以下显著特性：

• 低资源占用：对于资源紧张的系统，难以部署像Snort这类额外的用户空间入侵检测进程。而fwsnort的数据包检查直接在内核中进行，无需将数据从内核内存复制到用户空间进程，对系统资源的占用极小。这使得在因资源限制不适合部署专用IDS/IPS的系统上，fwsnort成为一个可行的替代方案。
• 内联响应：fwsnort构建的iptables签名策略与网络流量紧密结合，非常适合应对恶意攻击。例如，当发现Linux服务器软件（如BIND）存在新漏洞时，如果Snort社区开发出检测该漏洞攻击的签名，fwsnort可配置为丢弃疑似攻击的数据包（通过iptables的DROP目标），并通过REJECT目标发出标准协议响应。若服务器正常运行时间与服务级别协议（SLA）相关，在安排停机打补丁之前，内联预防机制能为服务器提供宝贵的保护。而且，由于fwsnort策略轻量级，通常可与其他预防机制（如内联模式运行的Snort）一起部署。
• 易于部署：fwsnort通过构建执行iptables命令的shell脚本，借助类似Zenoss（http://www.zenoss.org）的工具，可通过SSH一次性在多个远程系统上执行命令，方便在基础设施内的所有Linux系统上使用。

2. 签名转换示例

在深入探讨fw