snort 封包監聽模式簡介

snort 是一個輕量型的入侵偵測系統(IDS)
採用特徵比對的方式來偵測
官網


先介紹封包監聽模式：
snort 參數介紹

• -v 顯示資訊到 console
  
• -d 包含所有網路表頭資訊 (TCP , UDP , ICMP)
  
• -e 包含第二層的表頭資訊
  
• -i 選擇 interface 。 ex : -i eth0 or -i 1，可以先用 snort -W 來列出網路卡 list
  
• -l 存放記錄檔的目錄。 ex : snort -de -l /var/log/snort，預設存成 pcap 的格式
  
• -F file 監聽的條件，檔案 aa 的內容是 host 192.168.0.1 and port 23，snort -dev -F aa，代表只監聽 192.168.0.1 and port 23 的封包
  

如果要讀出紀錄檔： snort -dev -r [記錄檔案名稱]
如果記錄檔要存成 ascii 模式： snort -de -K ascii -l /var/log/snort