开源入侵检测系统—Snort检测NMap扫描和SQL注入

前两篇我们完成了对Snort的安装、配置，了解了Snort配置为 IDS 的基本使用
这一篇讲一讲 Snort 如何对 Nmap扫描和 SQL 注入进行检测

检测Nmap扫描

1、NMAP Ping扫描
规则

vim /etc/snort/rules/local.rules
##下面的规则都写入这个文件中

alert icmp any any -> 192.168.43.97 any (msg: "NMAP ping sweep Scan"; dsize:0;sid:10000001; rev: 1;)

nmap扫描命令

nmap -sP 192.168.43.97 --disable-arp-ping

##若不使用”--disable-arp-ping“参数，南无nmap可能会发送 arp 数据包，使 snort 检测不到，我们使用此参数，让其只发送 ICMP 扫描

2、NMAP TCP/UDP扫描
能够检测到攻击使用 nmap 的端口爆破、连接及漏洞利用行为
规则

alert tcp any any -> 192.168.43.97 any (msg: "NMAP TCP Scan";sid:10000002;rev:2;)

alert udp any any -> 192.168.43.97 any ( msg:"Nmap UDP Sca