入侵檢測(cè)已經(jīng)日益成為網(wǎng)絡(luò)安全中不可或缺的一部分，它為網(wǎng)絡(luò)提供了一個(gè)防御層，
在這一層中我們可以預(yù)先定義可能的入侵行為以便對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行監(jiān)視，當(dāng)發(fā)現(xiàn)在可能的入侵行為時(shí)就會(huì)報(bào)警通知系統(tǒng)管理員。現(xiàn)在計(jì)算機(jī)安全市場(chǎng)上有許多入侵檢測(cè)系統(tǒng)，但它們都面臨一個(gè)共同的問(wèn)題，就是難于配置而且一般價(jià)格不菲，Snort 相對(duì)于它們來(lái)說(shuō)在這方面有相當(dāng)大的優(yōu)勢(shì)。
snort 是一個(gè)免費(fèi)的基于libpcap 的輕量級(jí)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)。它能夠跨系統(tǒng)平臺(tái)操作，
自帶輕量級(jí)的入侵檢測(cè)工具可以用于監(jiān)視小型的TCP/IP 網(wǎng)絡(luò)，在進(jìn)行網(wǎng)絡(luò)監(jiān)視時(shí)snort 能夠把網(wǎng)絡(luò)數(shù)據(jù)和規(guī)則進(jìn)行模式匹配，從而檢測(cè)出可能的入侵企圖，同時(shí)它也可以使用SPADE插件，使用統(tǒng)計(jì)學(xué)方法對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行異常檢測(cè)，這些強(qiáng)大的檢測(cè)功能為網(wǎng)絡(luò)管理員對(duì)于入侵行為做出適當(dāng)?shù)姆磽籼峁┝俗銐虻?a target='_blank' class='arckwlink_none'>信息。
snort 使用一種易于擴(kuò)展的模塊化體系結(jié)構(gòu)，開(kāi)發(fā)人員可以加入自己編寫(xiě)的模塊來(lái)擴(kuò)展
snort 的功能。這些模塊包括：HTTP 解碼插件、TCP 數(shù)據(jù)流重組插件、端口掃描檢測(cè)插件、FLEXRESP 插件以及各種日志輸入插件等。
同時(shí)snort 還是一個(gè)自由、簡(jiǎn)潔、快速、易于擴(kuò)展的入侵檢測(cè)系統(tǒng)，已經(jīng)被移植到了各
種UNIX 平臺(tái)和Win98，Win2000 上。它也是目前安全領(lǐng)域中，最活躍的開(kāi)放源碼工程之一。
在Snort.org 上幾乎每天都提供了最新的規(guī)則庫(kù)以供下載，由于snort 本身是自由的源碼開(kāi)放工程所以在使用snort 時(shí)除了必要的硬件外軟件上基本上不需要有任何額外的開(kāi)銷(xiāo)。這相對(duì)于少則上千多則上萬(wàn)的商業(yè)入侵檢測(cè)系統(tǒng)來(lái)說(shuō)，無(wú)疑是最好的替代產(chǎn)品之一。
本文主要論述了snort 的背景知識(shí)以及它的基于規(guī)則的入侵檢測(cè)機(jī)制，同時(shí)對(duì)于如何使
用也作了概括說(shuō)明。