linux 入侵检测 Linux杀毒软件

大家好，感谢邀请，今天来为大家分享一下linux 入侵检测的问题，以及和Linux杀毒软件的一些困惑，大家要是还不太明白的话，也没有关系，因为接下来将为大家分享，希望可以帮助到大家，解决大家的问题，下面就开始吧！

如何在 Linux 系统上安装 Suricata 入侵检测系统

由于安全威胁持续不断，配备入侵检测系统(IDS)已成为如今数据中心环境下最重要的要求之一。然而，随着越来越多的服务器将网卡升级到10GB/40GB以太网技术，我们越来越难在大众化硬件上以线速实施计算密集型入侵检测。扩展IDS性能的一个方法就是使用多线程IDS。在这种IDS下，大量耗用CPU资源的深度数据包检查工作负载并行化处理，分成多个并发任务。这种并行化检查机制可以充分发扬多核硬件的优势，轻松扩展IDS的处理能力。这方面的两个知名的开源工具就是Suricata()和Bro()。

我在本教程中将演示如何在Linux服务器上安装和配置Suricata IDS。

在Linux上安装Suricata IDS

不妨用源代码构建Suricata。你先要安装几个所需的依赖项，如下所示。

在Debian、Ubuntu或Linux Mint上安装依赖项

$ sudo apt-get install wget build-essential libpcre3-dev libpcre3-dbg automake autoconf libtool libpcap-dev libnet1-dev libyaml-dev zlib1g-dev libcap-ng-dev libjansson-dev

在CentOS、Fedora或RHEL上安装依赖项

$ sudo yum install wget libpcap-devel libnet-devel pcre-devel gcc-c++ automake autoconf libtool make libyaml-devel zlib-devel file-devel jansson-devel nss-devel

一旦你安装了所有必需的程序包，现在可以安装Suricata了，如下所示。

首先，从下载最新的Suricata源代码，编译代码。截至本文撰稿时，最新版本是2.0.8。

$ wget

$ tar-xvf suricata-2.0.8.tar.gz

$ cd suricata-2.0.8

$./configure--sysconfdir=/etc--localstatedir=/var

这是配置的示例输出结果。

Suricata Configuration:

AF_PACKET support: yes

PF_RING support: no

NFQueue support: no

NFLOG support: no

IPFW support: no

DAG enabled: no

Napatech enabled: no

Unix socket enabled: yes

Detection enabled: yes

libnss support: yes

libnspr support: yes

libjansson support: yes

Prelude support: no

PCRE jit: yes

LUA support: no

libluajit: no

libgeoip: no

Non-bundled htp: no

Old barnyard2 support: no

CUDA enabled: no

现在编译并安装它。

$ make

$ sudo make install

Suricata源代码随带默认的配置文件。不妨安装这些默认的配置文件，如下所示。

$ sudo make install-conf

正如你所知，要是没有IDS规则集，Suricata毫无用处。颇为方便的是，Makefile随带IDS规则安装选项。想安装IDS规则，运行下面这个命令即可。

$ sudo make install-rules

上述规则安装命令会从EmergingThreats.net()安装可用的社区规则集的最新快照，并将它们存储在/etc/suricata/rules下。

首次配置Suricata IDS

现在就可以配置Suricata了。配置文件位于/etc/suricata/suricata.yaml。使用文本编辑工具打开文件，以便编辑。

$ sudo vi/etc/suricata/suricata.yaml

下面是一些基本的设置，供你开始入门。

“default-log-dir”关键字应该指向Suricata日志文件的位置。

default-log-dir:/var/log/suricata/

在“vars”这部分下面，你会找到Suricata使用的几个重要变量。“HOME_NET”应该指向由Suricata检查的本地网络。“!$HOME_NET”(被分配给EXTERNAL_NET)指本地网络以外的任何网络。“XXX_PORTS”表明不同服务所使用的一个或多个端口号。请注意：不管使用哪个端口， Suricata都能自动检测HTTP流量。所以，正确指定HTTP_PORTS变量并不是很重要。

vars:

HOME_NET:"[192.168.122.0/24]"

EXTERNAL_NET:"!$HOME_NET"

HTTP_PORTS:"80"

SHELLCODE_PORTS:"!80"

SSH_PORTS: 22

“host-os-policy”这部分用来防范一些利用操作系统的网络堆栈的行为(比如TCP重组)来规避检测的常见攻击。作为一项应对措施，现代IDS想出了所谓的“基于目标的”检测，检查引擎根据流量的目标操作系统，对检测算法进行微调。因而，如果你知道每个本地主机运行什么操作系统，就可以将该信息提供给Suricata，从而有望提高其检测速度。这时候用到了“host-os-policy“部分。在该例子中，默认的IDS策略是Linux;如果不知道某个IP地址的操作系统信息，Suricata就会运用基于Linux的检查策略。如果捕获到192.168.122.0/28和192.168.122.155的流量，Suricata就会运用基于Windows的检查策略。

host-os-policy:

#这些是Windows机器。

windows: [192.168.122.0/28, 192.168.122.155]

bsd: []

bsd-right: []

old-linux: []

#将Linux作为默认策略。

linux: [0.0.0.0/0]

old-solaris: []

solaris: ["::1"]

hpux10: []

hpux11: []

irix: []

macos: []

vista: []

windows2k3: []

在“threading”这部分下面，你可以为不同的Suricata线程指定CPU亲和性(CPU affinity)。默认情况下，CPU亲和性被禁用(“set-cpu-affinity: no”)，这意味着Suricata线程将被安排在任何可用的CPU核心上。默认情况下，Suricata会为每个CPU核心创建一个“检测”线程。你可以调整这个行为，只要指定“detect-thread-ratio: N”。这会创建N x M个检测线程，其中M是指主机上CPU核心的总数。

threading:

set-cpu-affinity: no

detect-thread-ratio: 1.5

就上述线程设置而言，Suricata会创建1.5 x M个检测线程，其中M是系统上CPU核心的总数。

想了解关于Suricata配置的更多信息，你可以阅读默认的配置文件本身，为了便于理解，加有大量注释。

使用Suricata执行入侵检测

现在可以试着运行Suricata了。在启动它之前，还有一个步骤要完成。

如果你使用pcap捕获模式，强烈建议关闭Suricata侦听的那个网卡上的任何数据包卸载功能(比如LRO/GRO)，因为那些功能可能会干扰数据包实时捕获。

下面介绍如何关闭网络接口eth0上的LRO/GRO：

$ sudo ethtool-K eth0 gro off lro off

请注意：视使用的网卡而定，你可能会看到下列警示信息，可以忽视这个信息。它只是意味着你的网卡不支持LRO。

Cannot change large-receive-offload

Suricata支持多种运行模式。运行模式决定了不同的线程如何用于IDS。下面这个命令列出了所有可用的运行模式。

$ sudo/usr/local/bin/suricata--list-runmodes

Suricata使用的默认运行模式是autofp(代表“自动流绑定负载均衡模式”)。在这种模式下，来自每一路流的数据包被分配给单一的检测线程。流被分配给了未处理数据包数量最少的线程。

最后，不妨启动Suricata，看看它的实际运行情况。

$ sudo/usr/local/bin/suricata-c/etc/suricata/suricata.yaml-i eth0--init-errors-fatal

在这个例子中，我们监控一个8核系统上的网络接口eth0。如上所示，Suricata创建了13个数据包处理线程和3个管理线程。数据包处理线程包括1个PCAP数据包捕获线程和12个检测线程(相当于8 x 1.5)。这意味着，一个捕获线程捕获的数据包经负载均衡处理后，变成了IDS面前的12个检测线程。管理线程是一个流管理器和两个计数器/统计相关线程。

下面是Suricata进程的线程视图(由htop描绘)。

Suricata检测日志存储在/var/log/suricata目录下。

$ tail-f/var/log/suricata/fast.log

04/01/2015-15:47:12.559075 [**] [1:2200074:1] SURICATA TCPv4 invalid checksum [**] [Classification:(null)] [Priority: 3]{TCP} 172.16.253.158:22-> 172.16.253.1:46997

04/01/2015-15:49:06.565901 [**] [1:2200074:1] SURICATA TCPv4 invalid checksum [**] [Classification:(null)] [Priority: 3]{TCP} 172.16.253.158:22-> 172.16.253.1:46317

04/01/2015-15:49:06.566759 [**] [1:2200074:1] SURICATA TCPv4 invalid checksum [**] [Classification:(null)] [Priority: 3]{TCP} 172.16.253.158:22-> 172.16.253.1:46317

为了易于导入，还有JSON格式的日志：

$ tail-f/var/log/suricata/eve.json

{"timestamp":"2015-04-01T15:49:06.565901","event_type":"alert","src_ip":"172.16.253.158","src_port":22,"dest_ip":"172.16.253.1","dest_port":46317,"proto":"TCP","alert":{"action":"allowed","gid":1,"signature_id":2200074,"rev":1,"signature":"SURICATA TCPv4 invalid checksum","category":"","severity":3}}

{"timestamp":"2015-04-01T15:49:06.566759","event_type":"alert","src_ip":"172.16.253.158","src_port":22,"dest_ip":"172.16.253.1","dest_port":46317,"proto":"TCP","alert":{"action":"allowed","gid":1,"signature_id":2200074,"rev":1,"signature":"SURICATA TCPv4 invalid checksum","category":"","severity":3}}

简述入侵检测常用的四种方法

入侵检测系统所采用的技术可分为特征检测与异常检测两种。

1、特征检测

特征检测(Signature-based detection)又称Misuse detection，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。

它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。

2、异常检测

异常检测(Anomaly detection)的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。

异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

扩展资料

入侵分类：

1、基于主机

一般主要使用操作系统的审计、跟踪日志作为数据源，某些也会主动与主机系统进行交互以获得不存在于系统日志中的信息以检测入侵。

这种类型的检测系统不需要额外的硬件．对网络流量不敏感，效率高，能准确定位入侵并及时进行反应，但是占用主机资源，依赖于主机的可靠性，所能检测的攻击类型受限。不能检测网络攻击。

2、基于网络

通过被动地监听网络上传输的原始流量，对获取的网络数据进行处理，从中提取有用的信息，再通过与已知攻击特征相匹配或与正常网络行为原型相比较来识别攻击事件。

此类检测系统不依赖操作系统作为检测资源，可应用于不同的操作系统平台；配置简单，不需要任何特殊的审计和登录机制；可检测协议攻击、特定环境的攻击等多种攻击。

但它只能监视经过本网段的活动，无法得到主机系统的实时状态，精确度较差。大部分入侵检测工具都是基于网络的入侵检测系统。

3、分布式

这种入侵检测系统一般为分布式结构，由多个部件组成，在关键主机上采用主机入侵检测，在网络关键节点上采用网络入侵检测，同时分析来自主机系统的审计日志和来自网络的数据流，判断被保护系统是否受到攻击。

参考资料来源：百度百科-入侵检测

Linux——11个步骤教你完美排查服务器是否被入侵

随着开源产品的日益普及，Linux运维工程师如何准确判断服务器是否遭受入侵，显得尤为重要。以下内容结合实践经验，提供几种常见入侵检测方法，适用于CentOS 6.9系统，其他Linux发行版亦可参考。

1.检查日志信息完整性，确保日志未被篡改或清除。

2.查看`/etc/passwd`和`/etc/shadow`文件，确认是否存在新增用户名及密码文件。

3.比对`/etc/passwd`和`/etc/shadow`内容，识别被修改的用户信息。

4.分析`/var/log/lastlog`日志，识别最近成功与不成功的登陆事件。

5.使用`/var/run/utmp`日志文件，查看当前登录用户。

6.查阅`/var/log/wtmp`日志，统计创建以来所有登录用户。

7.通过`/var/log/wtmp`日志，计算所有用户连接时间（小时）。

8.监测异常网络流量，使用`tcpdump`抓包或`iperf`工具分析。

9.检查`/var/log/secure`日志，尝试发现入侵者痕迹。

10.通过`top`命令识别异常进程，查找其对应的执行脚本。

11.确认入侵后，使用`lsof`命令检索被删除文件的相关信息。

当系统文件被删除但仍有进程访问时，通过`lsof`在/proc目录下恢复文件内容成为可能。例如，若`/var/log/secure`被删除：

1.验证`/var/log/secure`已不存在。

2.使用`lsof`查找当前是否有进程访问该文件。

3.通过PID对应信息，在/proc目录下找到文件描述符。

4.从/proc目录中读取文件描述符关联的文件内容，将其恢复至原始位置。

对于日志文件和数据库等应用程序，此方法可有效恢复误删文件，保障系统安全与数据完整。