使用 Snort 进行网络入侵检测，教你把可疑网络行为转化为可测试的 IDS 规则与可操作警报。4 个引导式实验涵盖 Snort 配置、抓包、自定义规则语法、content/PCRE 特征和警报解读；最后的挑战会把这些技能应用于预置的边界攻击抓包。
所有操作都在隔离的 Ubuntu 22.04 虚拟机中，使用本地产生的流量和预置 PCAP 证据。你会在使用前验证规则、比较 fast/full 警报格式，并观察规则范围如何影响误报与漏报。
你将学到什么
- 检查
snort.conf、理解HOME_NET，并在监控前验证配置语法 - 以 sniffer 和 packet logger 模式运行 Snort，并保存抓包供后续复核
- 用 action、protocol、address、direction 和 port 构造规则 header
- 为警报规则添加 message、自定义 SID、revision、TCP flag 和 content 条件
- 通过字面 content 与不区分大小写的 PCRE 匹配检测模拟 SQL 注入
- 触发并解读 fast/full 警报，识别端点、服务、特征和数据包细节
- 分析预置 PCAP，编写 SYN 扫描与 HTTP exploit 特征并汇总警报
本课程适合谁
本课程适合希望实践基于特征的网络检测的 SOC 学习者、网络防御人员、安全分析师和 Linux 管理员。由于需要检查 PCAP 内容并分析 TCP/IP 字段，适合在基础数据包与协议分析之后学习。
前置要求： 会使用基本 Linux Shell，理解 TCP/IP 地址与端口、ICMP、TCP flag、HTTP，并能用 tcpdump 等命令行工具读取 PCAP。无需 Snort 规则编写经验。
学习环境： 5 个在 Ubuntu 22.04 浏览器虚拟机中独立运行的活动，包括 4 个引导式实验和 1 个挑战。环境已提供 Snort 配置、本地规则文件、测试流量、警报目录及模拟 SQL 注入、扫描和 Web exploit 的 PCAP。
常见问题
课程会把 Snort 配置成阻断流量的 inline IPS 吗？
不会。练习使用被动 sniffer、logger、IDS 和离线 PCAP 工作流生成警报；inline 部署、丢弃数据包和生产边界集成不在范围内。
会对真实外部系统发动攻击吗？
不会。检测使用本地流量和包含模拟 SQL 注入、SYN 扫描及 HTTP exploit 证据的预置 PCAP，不攻击第三方目标。
需要 Snort 规则订阅或外部情报源吗？
不需要。你会检查内置配置并使用自定义 SID 编写本地规则。课程不下载或管理商业/社区规则源。
这些特征能检测攻击的所有变体吗？
不能。实验说明过宽特征会产生误报，过窄特征可能被绕过。content 与 PCRE 规则用于演示匹配机制，而非提供完整生产检测覆盖。
