在Windows 2003/XP with SQL Server下部署Snort

本文介绍如何将 snort 部署到 Windows 2003/XP 中，将数据输出至 Microsoft SQL Server 2000，并加以分析。本文的大部分内容来自“安装Win2003下的snort”一文，仅仅是对此文的修改和完善，特此感谢。


安装与配置

除 Windows 2003/2000/XP 和 Microsoft SQL Server 2000 外，作者在配置时使用了以下版本的软件包：
acid-0.9.6b23.tar.gz
http://www.cert.org/kb/acid
基于php 的入侵检测数据库分析控制台

../201807/~0,-4%.html
http://sourceforge.net/project/showfiles.php?group_id=42718
ADOdb（Active Data Objects Data Base）库for PHP，如果该链接失败，在 sourceforge 上可以找到。

apache_2.0.53-win32-x86-no_ssl.msi
http://www.apache.org
Windows 版本的Apache Web 服务器

jpgraph-1.17.tar.gz
http://www.aditus.nu/jpgraph
OO 图形库for PHP，请注意下载的版本应该和 PHP 版本相符，for PHP4 的版本在 PHP5 上无法运行，反之亦然。

../201807/~0,-4%.html
http://www.php.net
Windows 版本的php 脚本环境支持

snort-2.3.0.exe
http://www.snort.org
Windows 版本的Snort 安装包

WinPcap3.1.exe
http://winpcap.polito.it/
网络数据包截取驱动程序

一、安装Apache For Windows

安装的时候注意，如果你已经安装了IIS 并且启动了Web Server，因为IIS WebServer 默认在TCP 80 端口监听，所以会和Apache WebServer 冲突，我们可以修改Apache WebServer为其他端口。该版本将 apache 安装到 %program files%apache groupapache2，并自动安装 apache 为服务方式运行。

二、添加Apache 对PHP 的支持：

解压缩php-4.3.10-Win32.zip 至c:php
拷贝php4ts.dll 至%systemroot%system32，同时拷贝c:phpextension*.dll 至%systemroot%
拷贝php.ini-dist 至%systemroot%php.ini，修改php.ini，打开所有 extension （去掉extension前的注释）
以上添加gd 图形库支持

在httpd.conf 中添加以下2行
    LoadModule php4_module "c:/php/sapi/php4apache2.dll"
    AddType application/x-httpd-php .php
在控制面板->管理工具->服务中，重启 apache2 服务。
在 apache2htdocs 目录下新建test.php，
test.php 文件内容：

使用http://127.0.0.1:8080/test.php
测试php 是否安装成功

三、安装Snort-2.3.0
使用默认安装路径c:snort，选择数据库为 Microsoft SQL Server。

四、安装adodb
解压缩../201807/~0,-4%.html 至c:phpadodb 目录下

五、安装acid
(1)解压缩acid-0.9.6b23.tar.gz至apache2htdocsacid目录下
(2)修改acid_conf.php文件，找到相应的行，并把它们改成：

$DBtype = "mssql";
$DBlib_path = "c:phpadodb";

$alert_dbname = "snort";
$alert_host = "localhost";
$alert_port = "";
$alert_user = "snort";
$alert_password = "yourpassword";

/* Archive DB connection parameters */
$archive_dbname = "snort_archive";
$archive_host = "localhost";
$archive_port = "";
$archive_user = "snort";
$archive_password = "yourpassword";

$ChartLib_path = "c:phpjpgraphsrc";

(3)打开http://127.0.0.1:8080/acid/acid_db_setup.php，测试基本功能是否安装成功。如果有错误，则根据错误情况重新检查。在正常情况下，到此处应该能够正常连接数据库。注意：在Windows 2003/XP+SP2下，mssql不能正常使用，请到微软网站安装SQL Server SP3a。此外，acid_conf.php中的alert_port不是1433，留空即可。

六、安装jpgrapg 库

(1)解压缩jpgraph-1.17.tar.gz 至c:php jpgraph
(2)修改jpgraph.php
    DEFINE("CACHE_DIR","/tmp/jpgraph_cache/");
(3)运行c:snortin>snort -c "c:snortetcsnort.conf" -l "c:snortlogs" -d，打开
http://127.0.0.1:8080/acid/acid_main.php，应当看到当前的网络情况分析。

七、系统结构

以下是对刚才整个配置过程的梳理：
(1)snort将其捕获的数据发送至SQL Server的snort数据库。
(2)apache为系统提供了web服务支持。
(3)php为系统提供了php支持，使apache能够运行php程序。
(4)acid是基于php的入侵检测数据库分析控制台（刚才安装apache和php就是为了能运行它）
(5)adodb是php数据库的连接组件。
(6)acid通过adodb从mssql.snort数据库中读取数据，将分析结果显示在网页上，并使用jpgraph组件对其进行图形化分析。