snort中文手册
<< Back to Snort 中文手册摘要snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。
嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。
数据包记录器模式把数据包记录到硬盘上。
网路入侵检测模式是最复杂的，而且是可配置的。
我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。
(2003-12-11 16:39:12)Snort 用户手册第一章 snort简介snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。
嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。
数据包记录器模式把数据包记录到硬盘上。
网路入侵检测模式是最复杂的，而且是可配置的。
我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。
嗅探器所谓的嗅探器模式就是snort从网络上读出数据包然后显示在你的控制台上。
首先，我们从最基本的用法入手。
如果你只要把TCP/IP包头信息打印在屏幕上，只需要输入下面的命令：./snort -v使用这个命令将使snort只输出IP和TCP/UDP/ICMP的包头信息。
如./snort -vd这条命令使snort在输出包头信息的同时显示包的数据信息。
如果你还要显示数据链路层的信息，就使用下面的命令：./snort -vde注意这些选项开关还可以分开写或者任意结合在一块。
例如：下面的命令就和上面最后的一条命令等价：./snort -d -v –e数据包记录器如果要把所有的包记录到硬盘上，你需要指定一个日志目录，snort 就会自动记录数据包：./snort -dev -l ./log当然，./log目录必须存在，否则snort就会报告错误信息并退出。
当snort在这种模式下运行，它会记录所有看到的包将其放到一个目录中，这个目录以数据包目的主机的IP地址命名，例如：192.168.10.1 如果你只指定了-l命令开关，而没有设置目录名，snort有时会使用远程主机的IP地址作为目录，有时会使用本地主机IP地址作为目录名。
为了只对本地网络进行日志，你需要给出本地网络：./snort -dev -l ./log -h 192.168.1.0/24这个命令告诉snort把进入C类网络192.168.1的所有包的数据链路、TCP/IP以及应用层的数据记录到目录./log中。
如果你的网络速度很快，或者你想使日志更加紧凑以便以后的分析，那么应该使用二进制的日志文件格式。
所谓的二进制日志文件格式就是tcpdump程序使用的格式。
使用下面的命令可以把所有的包记录到一个单一的二进制文件中：注意此处的命令行和上面的有很大的不同。
我们勿需指定本地网络，因为所有的东西都被记录到一个单一的文件。
你也不必冗余模式或者使用-d、-e功能选项，因为数据包中的所有内容都会被记录到日志文件中。
你可以使用任何支持tcpdump二进制格式的嗅探器程序从这个文件中读出数据包，例如： tcpdump或者Ethereal。
使用-r功能开关，也能使snort读出包的数据。
snort在所有运行模式下都能够处理tcpdump格式的文件。
例如：如果你想在嗅探器模式下把一个tcpdump格式的二进制文件中的包打印到屏幕上，可以输入下面的命令：./snort -dv -r packet.log在日志包和入侵检测模式下，通过BPF(BSD Packet Filter)接口，你可以使用许多方式维护日志文件中的数据。
例如，你只想从日志文件中提取ICMP包，只需要输入下面的命令行：./snort -dvr packet.log icmp网络入侵检测系统snort最重要的用途还是作为网络入侵检测系统(NIDS)，使用下面命令行可以启动这种模式：./snort -dev -l ./log -h 192.168.1.0/24 -c snort.conf snort.conf是规则集文件。
snort会对每个包和规则集进行匹配，发现这样的包就采取相应的行动。
如果你不指定输出目录，snort就输出到/var/log/snort目录。
注意：如果你想长期使用snort作为自己的入侵检测系统，最好不要使用-v选项。
因为使用这个选项，使snort向屏幕上输出一些信息，会大大降低snort的处理速度，从而在向显示器输出的过程中丢弃一些包。
此外，在绝大多数情况下，也没有必要记录数据链路层的包头，所以./snort -d -h 192.168.1.0/24 -l ./log -c snort.conf 这是使用snort作为网络入侵检测系统最基本的形式，日志符合规则的包，以ASCII形式保存在有层次的目录结构中。
网络入侵检测模式下的输出选项在NIDS模式下，有很多的方式来配置snort的输出。
在默认情况下，snort以ASCII格式记录日志，使用full报警机制。
如果使用full报警机制，snort会在包头之后打印报警消息。
如果你不需要日志包，可以使用-N选项。
snort有6种报警机制：full、fast、socket、syslog、smb(winpopup)和none。
其中有4个可以在命令行状态下使用-A选项设置。
这4个是：-A fast：报警信息包括：一个时间戳(timestamp)、报警消息、源/目的IP地址和端口。
-A full：是默认的报警模式。
-A unsock：把报警发送到一个UNIX套接字，需要有一个程序进行监听，这样可以实现实时报警。
-A none：关闭报警机制。
使用-s选项可以使snort把报警消息发送到syslog，默认的设备是LOG_AUTHPRIV和LOG_ALERT。
可以修改snort.conf文件修改其配置。
snort还可以使用SMB报警机制，通过SAMBA把报警消息发送到Windows主机。
为了使用这个报警机制，在运行./configure脚本时，必须使用--enable-smbalerts选项。
下面是一些输出配置的例子：使用默认的日志方式(以解码的ASCII格式)并且把报警发给syslog：./snort -c snort.conf -l ./log -s -h 192.168.1.0/24./snort -c snort.conf -b -M WORKSTATIONS第二章编写snort 规则基础snort使用一种简单的，轻量级的规则描述语言，这种语言灵活而强大。
在开发snort规则时要记住几个简单的原则。
第一，大多数snort规则都写在一个单行上，或者在多行之间的行尾用/分隔。
Snort规则被分成两个逻辑部分：规则头和规则选项。
规则头包含规则的动作，协议，源和目标ip地址与网络掩码，以及源和目标端口信息；规则选项部分包含报警消息内容和要检查的包的具体部分。
下面是一个规则范例：alert tcp any any -> 192.168.1.0/24 111 (content:"|00 01 86 a5|"; msg: "mountd access";)第一个括号前的部分是规则头（rule header），包含的括号内的部分是规则选项（rule options）。
规则选项部分中冒号前的单词称为选项关键字（option keywords）。
注意，不是所有规则都必须包含规则选项部分，选项部分只是为了使对要收集或报警，或丢弃的包的定义更加严格。
组成一个规则的所有元素对于指定的要采取的行动都必须是真的。
当多个元素放在一起时，可以认为它们组成了一个逻辑与（AND）语句。
同时，snort规则库文件中的不同规则可以认为组成了一个大的逻辑或（OR）语句。
规则高级概念Includes:include允许由命令行指定的规则文件包含其他的规则文件。
include:注意在该行结尾处没有分号。
被包含的文件会把任何预先定义的变量值替换为自己的变量引用。
参见变量（Variables）一节以获取关于在SNORT 规则文件中定义和使用变量的更多信息。
Variables :变量可能在snort中定义。
格式：var:例子：var MY_NET 192.168.1.0/24alert tcp any any -> $MY_NET any (flags: S; msg: "SYN packet";) 规则变量名可以用多种方法修改。
可以在"$"操作符之后定义变量。
"?" 和"-"可用于变量修改操作符。
$var - 定义变量。
$(var) - 用变量"var"的值替换。
$(var:-default) - 用变量"var"的值替换，如果"var"没有定义用"default"替换。
$(var:?message) - 用变量"var"的值替换或打印出错误消息"message"然后退出。
例子：var MY_NET $(MY_NET:-192.168.1.0/24)log tcp any any -> $(MY_NET:?MY_NET is undefined!) 23ConfigSnort的很多配置和命令行选项都可以在配置文件中设置。
config [: ]Directives∙order 改变规则的顺序( snort -o )∙alertfile 设置报警输出文件，例如：config alertfile: alerts ∙classification 创建规则分类。
∙decode_arp 开启arp解码功能。
(snort -a)∙dump_chars_only 开启字符倾卸功能。
(snort -C)∙dump_payload 倾卸应用层数据。
(snort -d)∙decode_data_link 解码第二层数据包头。
(snort -e)∙bpf_file 指定BPF过滤器(snort -F)。
例如：config bpf_file: filename.bpf∙set_gid 改变GID (snort -g)。
例如：config set_gid: snort_group ∙daemon 以后台进程运行。
(snort -D)∙reference_net 设置本地网络。
(snort -h). 例如：config reference_net:192.168.1.0/24∙interface 设置网络接口(snort –i )。
例如：config interface: xl0∙alert_with_interface_name 报警时附加上接口信息。
Snort的配置与使用
第7章 Snort的配置与使用
include classification.config修改为：include c:＼snort＼ etc＼classification.config;
include reference.config修改为：include c:＼Snort＼etc＼ reference.config
第7章 Snort的配置与使用 图7.17 第四步：安装完成和关闭
第7章 Snort的配置与使用
7.1.4 配置Snort 第一步：添加c:＼snort＼bin到系统环境变量PATH（见
图7.9），为了使添加的系统环境变量生效，重启计算机。 第二步：默认安装WinPcap。选择最稳定版本3.2alpha1
第7章 Snort的配置与使用
第7章 Snort的配置与使用
第7章 Snort的配置与使用
第7章 Snort的配置与使用
第7章 Snort的配置与使用
第7章 Snort的配置与使用 图7.14 第一步：为Snort选择数据库支持
第7章 Snort的配置与使用 第二步：选择要安装的组件。如图7.15所示，默认选择
图7.6 第五步：点击“next”默认配置MySQL
第7章 Snort的配置与使用 第六步：设置root用户密码（如：123，注意为了方便
snort配置介绍
一、设置网络变量1、网络变量配置用户通过声明网络参数变量配置snort，variables可以包含字符串（路径）、IP和端口。
1）IP变量与IP列表IP有四声明方式：对IP具体声明、列表形式以及CIDR组，或者它们的任意组合。
IP变量以ipvar关键字声明。
示例：ipvar EXAMPLE [1.1.1.1,2.2.2.0/24,![2.2.2.2,2.2.2.3]]2）端口变量与列表端口列表支持端口声明及查找端口列表范围。
端口范围从0到65535.端口变量以portvar声明，示例：portvar EXAMPLE1 80portvar EXAMPLE3 anyportvar EXAMPLE4 [!70:90]portvar EXAMPLE5 [80,91:95,100:200]portvar pvar1 80portvar pvar2 [$pvar1,90]alert tcp any $EXAMPLE1 -> any $EXAMPLE2_PORT (msg:"Example"; sid:1;)alert tcp any $PORT_EXAMPLE2 -> any any (msg:"Example"; sid:2;)alert tcp any 90 -> any [100:1000,9999:20000] (msg:"Example"; sid:3;)配置服务器列表DNS服务：var DNS_SERVERS $HOME_NETSMTP服务：var SMTP_SERVERS $HOME_NETWeb 服务：var HTTP_SERVERS $HOME_NETSQL服务：var SQL_SERVERZ $HOME_NETTelnet服务：var TELNET_SERVERS $HOME_NETFTP服务：var FTP_SERVERS $HOME_NETSNMP服务：var SNMP_SERVERS $HOME_NET配置服务端口这使得snort去跟踪针对特点端口应用的攻击，如web server在端口8180上，则应这样配置：portvar HTTP_PORTS 8180不过这个值通常为80，因此定义为：portvar HTTP_PORTS 80如果希望定义多HTTP端口：portvar HTTP_PROTS [80,8080] 或者portvar HTTP_PROTS[80,8000:8080]eg：定义希望发现SHELLCODE的端口：portvar SHELLCODE_PORTS !80可能发现对ORACLE的攻击：portvar ORACLE_PORTS 1521针对FTP服务的端口：portvar FTP_PORTS 21配置rules文件路径这个可以是一个相对路径var RULE_PATH /etc/snort/rulesvar PREPROC_RULE_PATH /etc/snort/preproc_rules二、配置解码器解码器解码是数据包进入snort的第一个处理过程。
Snort简明使用手册
Snort简明使用手册2007-03-22 22:28Snort2.6——USAGE（中文）1.0 开始使用snortSnort不是很难使用，但是也存在着很多的命令行选项需要掌握，并且它们中许多很多时候并不能一起使用。
这个文件的目的就是使新人能够更简单的使用snort。
在我们进行下一步之前，有一些关于snort的基本概念需要了解。
snort能够配置成三种模式运行:嗅探器(sniffer)，包记录器(packet logger)和网络入侵检测系统(NIDS)。
嗅探模式（sniffer mode）简单的读取网络中的数据包，并以连续的数据流显示在控制台上。
包记录模式（packet logger mode）把捕获的数据包记录在磁盘上。
网络入侵检测模式(NIDS mode)是最复杂的、有机的配置，在这个模式下，snort分析网络中的数据，并通过使用用户自定义的规则集进行模式匹配，并根据匹配的结果执行多种操作。
2.0 嗅探模式（sniffer mode）首先，让我们从基础开始。
如果你只是想要在屏幕上打印出TCP/IP的包头信息（嗅探模式），使用下面的命令：./snort –v使用这个命令运行snort，将只显示IP和TCP/UDP/ICMP头信息，而不显示任何其它信息。
如果你想要查看传输的有效负载信息，可以使用如下命令：./snort –vd这条命令在打印协议头信息的同时也打印相应的包数据。
如果你想要一个更详细的现实，可以使用下面的命令来打印出数据链路层头信息：./snort –vde（注：这些选项参数能够分开或者拆散成任和结合的方式。
比如上一个命令也可以写做这种方式：./snort -d -v –e来达到同样的效果）3.0 包记录模式（PACKET LOGGER MODE）好的，上面的命令运行的都相当的好。
但是如果你想要记录包到磁盘上，你需要指定一个记录目录，然后snort将自动的进入包记录模式：./snort -dev -l ./log当然，这里假设你在当前目录下有一个叫做―log‖的目录。
snort
/etc/snort/gen-msg.map gid对应的报警文本
/etc/snort/sid-msg.map sid对应的报警文本
/var/snort/rules/ 入侵规则存放目录
/var/log/snort/ 警告和日志的默认存放目录
报警内容：
[**] [1:2000000005:0] xxx [**] <=中间方括号中的内容为 gid:sid:rev
[Priority: 5]
11/21-10:01:23.326186 192.168.0.106 -> 192.168.0.6
ICMP TTL:128 TOS:0x0 ID:16414 IpLen:20 DgmLen:84 DF
插件
编译后的snort，可以加载插件，扩展功能。除非自己编写插件，否则这部分功能用处不大。
预处理
配置各种预处理器的参数。这些预处理器是内置在snort中的。基本上无需改变默认配置。
入侵规则
具体的入侵规则在其他文件中定义，此处只需指明这些规则文件。
include $RULE_PATH/xxx.rules <=启用$RULE_PATH目录下的xxx.rules规则
4、如果你在Linux机器上运行IDS，请用netfileter/iptables阻止任何不必要的数据，Snort仍然可以看到所有的数据包。
5、一些特殊的方法：
在隐秘接口(Stealth Interface)上运行Snort。IDS的网线的1针和2针短路，3针和6针连到对端。
在没有IP地址的接口上运行IDS。在LINUX上激活一个没有配置IP地址的接口；在windows接口上不绑定TCP/IP协议或配置接口为DHCP但没有DHCP服务器。
snort配置步骤
1．在Windows环境下安装snort。
（1）安装Apache_2.0.46①双击apache_2.0.46-win32-x86-no_src.msi，安装在文件夹C:\apache下。
安装程序会在该文件夹下自动产生一个子文件夹apache2。
②为了避免Apache Web服务器的监听端口与Windows IIS中的Web服务器的80监听端口发生冲突，这里需要将Apache Web服务器的监听端口进行修改。
打开配置文件C:\apache\apache2\conf\httpd.conf，将其中的Listen 80，更改为Listen50080。
如图3.34所示。
图3.34修改apache的监听端口③单击“开始”按钮，选择“运行”，输入cmd，进入命令行方式。
输入下面的命令：C:\>cd apache\apache2\binC:\apache\apache2\bin\apache –k install这是将apache设置为以Windows中的服务方式运行。
如图3.35所示。
图3.35Apache以服务方式运行（2）安装PHP①解压缩php-4.3.2-Win32.zip里面的文件至C:\php\。
②复制C:\php下php4ts.dll至%systemroot%\System32，复制C:\php下php.ini-dist 至%systemroot%\，然后修改文件名为：php.ini。
③添加gd图形库支持，把C:\php\extensions\ php_gd2.dll拷贝到%systemroot%\System32，在php.ini中添加extension=php_gd2.dll。
如果php.ini有该句，将此语句前面的“；”注释符去掉。
如图3.36所示图3.36修改php.ini配置文件④添加Apache对PHP的支持。
在C:\apache\apache2\conf\httpd.conf中添加：LoadModule php4_module "C:/php/sapi/php4apache2.dll"AddType application/x-httpd-php .php如图3.37和图3.38所示。
Snort的配置与使用
网络入侵检测系统——网络入侵检测模式是最复杂的， 而且是可配置的。用户可以让Snort分析网络数据流 以匹配用户定义的一些规则，并根据检测结果采取一 定的动作。
./snot –dev –l ./log –c snort.conf
Acid（Analysis Console for Intrusion Databases ）
基于PHP的入侵检测数据库分析控制台
ADOdb(ADOdb Database Abstraction Library)
Adodb库为PHP提供了统一的数据库连接函数
Apache
Windows版本的Apache Web 服务器
<C:\snort\contrib\create_mysql
为用户分配权限
（mysql>）grant usage on *.* to acid@loacalhost identified by “acidPwd”;
(mysql>）grant select,insert,update,delete,create,alter on snort.* to acid@localhost;
数据包
数据包 解码器
检测引擎
日志 报警
2. Snort的工作模式（3种）
嗅探器 数据包记录器 网络入侵检测系统
4. Snort的工作模式（3种）
嗅探器——嗅探器模式仅仅是从网络上读取数据 包并作为连续不断的流显示在终端上。 ./snort –v ./snort –vd ./snort –vde
include $RULE_PATH/local.rules
windows下Snort的配置与使用
windows下Snort的配置与使用实验1：Snort的配置与使用1实验目的和要求学习Snort的配置与使用，要求：1）掌握Snort入侵检测环境的搭建；2）掌握Snort的配置与使用；3）熟悉Snort的工作原理。
2实验设备及材料1）系统环境：Windows XP/Windows 20032）软件安装：JDK：jdk-6u17-windows-i586.exe（可选）TOMCAT：apache-tomcat-5.5.30.exe（可选）MySQL：mysql-5.5.15-win32.msiWinPcap：WinPcap_4_1_2.exeSnort：Snort_2_9_1_Installer.exeIDSCenter：idscenter109b21.zip3实验内容3.1软件安装与配置3.1.1 JDK安装与配置软件版本：jdk-6u17-windows-i586.exe双击jdk-6u17-windows-i586.exe安装JDK，安装完后设置环境变量：变量名变量值java_home C:\Program Files\Java\jdk1.6.0_17classpath C:\Program Files\Java\jdk1.6.0_17\jre\libpath C:\Program Files\Java\jdk1.6.0_17\binjava –version // 查看软件版本信息，确定软件是否安装成功3.1.2 Tomcat安装与配置软件版本：apache-tomcat-5.5.30.exe、apache-tomcat-5.5.30-admin.zip 1）安装apache-tomcat-5.5.30.exe安装过程中会要求指定JRE的安装目录，确定端口，用户名和密码（用于可视化配置界面登录）。
启动Tomcat：验证安装是否成功：http://localhost:8088/http://127.0.0.1:8088/2）安装pache-tomcat-5.5.30-admin.zip首先解压apache-tomcat-5.5.30-admin.zip，用解压后的文件替换以下tomcat 文件。
Snort简介
Snort的使用
• -D 把snort以守护进程的方法来运行，默认情况下ALERT记录发送 到/var/log/snort.alert文件中去。 -e 显示并记录2个信息包头的数据。 -F <bpf>从<bpf>文件中读BPF过滤器（filters），这里的filters是标准 的BPF格式过滤器，你可以在TCPDump里看到，你可以查看 TCPDump的man页怎样使用这个过滤器。 -h <hn>设置网络地址，如一个C类IP地址192.168.0.1或者其他的， 使用这个选项，会使用箭头的方式数据进出的方向。 -I <if> 使用网络接口参数<if> -l <ld> LOG信息包记录到<ld>目录中去。 -M <wkstn> 发送WinPopup信息到包含<wkstn>文件中存在的工作站 列表中去，这选项需要Samba的支持，wkstn文件很简单，每一行只 要添加包含在SMB中的主机名即可。（注意不需要\两个斜杠）。
Snort –v的效果
Snort –dv的效果
Snort的使用
• Snort是基于规则的模式匹配的，这种体系 结构非常灵活，用户可以到 /dl/signatures/下载最 新的规则，在上几乎每几天就会有 新的规则被更新，同时用户也可以自己书 写新的规则，Snort规则文件是一个ASCII 文本文件，可以用常用的文本编辑器对其 进行编辑。
有关规则的编写
• 这个不是能一两句话讲清楚的 • 而且对于一般使用者来说，snort本身提供 的规则包已经能满足很多需求了 •
安装完成Snort后
• • • • \doc\SnortUsersManual.pdf 写snort的大牛写的用户手册 有进一步的信息可以参考 翻译版本： /article/ids/sn ort/23783.html
Snort命令参数详解
Snort命令参数详解用法：snort -[options]选项：-A 设置报警模式，alert = full/fast/none/unsock，详解上一篇snort简介。
-b 用二进制文件保存网络数据包，以应付高吞吐量的网络。
-B 将IP地址信息抹掉，去隐私化。
-c 使用配置文件，这会使得snort进入IDS模式，并从中读取运行的配置信息。
-d 显示包的应用层数据。
-D 以后台进程运行snort。
如无指定，Alerts将写到/var/log/snort/alert。
-e 显示数据链路层的信息。
-E 保存报警日志为windows事件日志。
-f 激活PCAP行缓冲（line buffering）。
-F 指定BPF过滤器。
-g 初始化Snort后以组ID（group ID）运行。
-G 为事件生成设置一个基础事件id值。
-h 设置本地网络为hn，如192.168.1.0/24。
-i 设置网络接口为。
可以用-W选项查询网络接口列表，然后用接口序号index指定接口。
如-i 2-I 报警时附加上接口信息。
-J 当以in-line模式运行时，这个选项将只捕获端口的报文。
-k 为all，noip，notcp，noudp，noicmp，or none设置校验和模式。
-K 设置保存文件的格式：pcap，ascii，none。
pcap是默认格式，同于-b选项的格式。
ascii是老的模式格式。
none则关闭数据包记录。
-l 设置数据包文件存放目录。
默认目录是/var/log/snort.-L 设置二进制输出文件的文件名为。
-M 当以非后台模式daemon运行时，保存信息到syslog。
-m 设置snort输出文件的权限位。
-n 出来个报文后终止程序。
-N 关闭保存日志包功能。
-o 改变应用规则的顺序。
从Alert-->Pass-->Log顺序改为Pass-->Alert-->Log，避免了设置大量BPF命令行参数来过滤alert规则。
基于Ubuntu的snort配置说明
如何在Ubuntu上安装Snort入侵my检测系统首先介绍一下可能用到的命令：1.Ubuntu默认的在图形界面下root是不能登录的，要想登录，首先：用普通用户登录，在命令行下输入：sudopasswd root重新为root设置密码。
然后:重启系统，即可用root登录。
这份文档主要描述了在 Ubuntu 7.10 上安装部署 Snort 入侵检测系统和 acid 基于 PHP 的网页入侵检测数据库分析控制台的过程。
Snort作为一款优秀的开源主机入侵检测系统，在windows和Linux平台上均可安装运行。
Ubuntu作为一个以桌面应用为主的Linux操作系统，同样也可以安装Snort。
2.详细的Snort安装过程[安装LAMP，Snort和一些软件库]由于 Ubuntu 是 Debian 系的 Linux，安装软件非常简单，而且 Ubuntu 在中国科技大学有镜像，在教育网和科技网下载速度非常快(2~6M/s)，就省掉了出国下载安装包的麻烦，只需要一个命令即可在几十秒钟内安装好所有软件。
这里使用 Ubuntu 默认命令行软件包管理器apt 来进行安装。
$ sudo apt-get install libpcap0.8-dev libmysqlclient15-dev mysql-client-5.0 mysql-server-5.0 bison flex apache2 libapache2-mod-php5 php5-gd php5-mysql libphp-adodbphp-pear pcregrep snort snort-rules-default需要注意的是在安装 MySQL 数据库时会弹出设置 MySQL 根用户口令的界面，临时设置其为“nfx(也可以自己设置)”。
[在 MySQL 数据库中为 Snort 建立数据库]Ubuntu 软件仓库中有一个默认的软件包 snort-mysql 提供辅助功能，用软件包管理器下载安装这个软件包。