Snort是一款非常實用的開源代碼入侵檢測軟件。主要工作是捕捉流經網絡的數據包，一旦發(fā)現(xiàn)與非法入侵的組合一致，便向管理員發(fā)出警告。并且有三種工作模式分別是嗅探器、數據包記錄器、網絡入侵檢測系統(tǒng)模式，可以幫助你滿足所有的情況。如果您有需要可以在jz5u下載這款Snort。

主要指令

order改變規(guī)則順序( snort -o )

alertfile建立警告輸出檔，例如：config alertfile: alertlog

classification將規(guī)則分類。

decode_arp開啟arp解碼功能。 （snort -a）

dump_chars_only開啟字元擷取功能。 （snort -C）

dump_payload擷取應用層資料。 (snort -d)

decode_data_link解碼資料連結層的標頭檔。 (snort -e)

bpf_file指定BPF篩檢程式（snort -F）。例如：config bpf_file: filename.bpf

set_gid改變GID (snort -g)。例如：config set_gid: snort_group

daemon以背景方式執(zhí)行。 (snort -D)

reference_net設置該區(qū)域的網路。 (snort -h)。例如：config reference_net:192.168.1.0/24

interface設置網路介面（snort –i）。例如：config interface: xl0

alert_with_interface_name警示時附加上介面資訊。 (snort -I)

logdir設置記錄目錄(snort -l)。例如：config logdir: /var/log/snort

umask設置snort輸出檔的權限。 (snort -m). Example: config umask: 022

pkt_count處理n個封包后，退出。 (snort -n). Example: config pkt_count: 13

nolog關閉記錄功能（警示仍然運作）。 (snort -N)

quiet安靜模式，不顯示狀態(tài)報告。 (snort -q)

checksum_mode計算checksum的協(xié)定類型。類型值：none, noip, notcp, noicmp, noudp, all

utc在時間紀錄上，用UTC時間代替本地時間。 (snort -U)

verbose將詳細記錄資訊列印到標準輸出。 (snort -v)

dump_payload_verbose擷取資料連結層的封包( snort -X )

show_year在時間紀錄上顯示年份。 (snort -y)

stateful為stream4設置保證模式。

min_ttl設置一個snort內部的ttl值以忽略所有的流量。

disable_decode_alerts關閉解碼時發(fā)出的警示。

disable_tcpopt_experimental_alerts關閉tcp實驗選項所發(fā)出的警示。

disable_tcpopt_obsolete_alerts關閉tcp過時選項所發(fā)出的警示。

disable_tcpopt_ttcp_alerts關閉ttcp選項所發(fā)出的警示。

disable_tcpopt_alerts關閉選項長度確認警示。

disable_ipopt_alerts關閉IP選項長度確認警示。

detection配置偵測引擎。 （例如：search-method lowmem）

reference幫Snort加入一個新的參考系統(tǒng)。