Snort网络入侵检测五种病毒
snort入侵检测实验报告
snort入侵检测实验报告《snort入侵检测实验报告》摘要：本实验旨在通过使用snort入侵检测系统，对网络中的入侵行为进行监测和分析。
通过搭建实验环境，模拟各种入侵行为，并利用snort系统进行实时监测和报警，最终得出了实验结果并进行了分析。
一、实验背景随着网络技术的不断发展，网络安全问题也日益突出。
入侵检测系统作为网络安全的重要组成部分，扮演着监测和防范网络入侵的重要角色。
snort作为一款开源的入侵检测系统，具有灵活性和高效性，被广泛应用于网络安全领域。
二、实验目的1. 了解snort入侵检测系统的工作原理和基本功能；2. 掌握snort系统的安装和配置方法；3. 利用snort系统对网络中的入侵行为进行实时监测和分析；4. 总结实验结果，提出改进建议。
三、实验环境搭建1. 硬件环境：PC机一台，网络交换机一台；2. 软件环境：Ubuntu操作系统，snort入侵检测系统；3. 实验网络：搭建一个简单的局域网环境，包括多台主机和一个路由器。
四、实验步骤1. 安装和配置snort系统；2. 在实验网络中模拟各种入侵行为，如端口扫描、ARP欺骗、DDoS攻击等；3. 使用snort系统进行实时监测和报警；4. 收集实验数据，进行分析和总结。
五、实验结果通过实验，我们成功搭建了snort入侵检测系统，并对网络中的入侵行为进行了监测和分析。
实验结果显示，snort系统能够有效地检测到各种入侵行为，并及时发出警报。
同时，我们也发现了一些不足之处，如对于一些新型的入侵行为可能无法及时识别和防范。
六、实验结论snort入侵检测系统是一款高效、灵活的入侵检测工具，能够有效地监测和防范网络入侵行为。
然而，也需要不断改进和完善，以应对不断变化的网络安全威胁。
七、改进建议1. 不断更新snort系统的规则库，以适应新型的入侵行为；2. 加强对snort系统的配置和管理，提高其检测和防范能力；3. 结合其他安全设备，构建多层次的网络安全防护体系。
snort tcp扫描规则
snort tcp扫描规则Snort是一个流行的开源入侵检测系统（IDS），它可以用于检测网络上的各种攻击。
对于TCP扫描规则，我们可以通过编写适当的规则来检测TCP扫描活动。
以下是一些可能用于检测TCP扫描的Snort规则的示例：1. 检测SYN扫描：alert tcp any any -> $HOME_NET any (msg:"Possible SYN Scan"; flags:S; threshold: type threshold, track by_src, count 5, seconds 60; sid:100001;)。
这个规则会检测到发送了大量的SYN标志的TCP数据包，这可能是SYN扫描的迹象。
当达到一定数量的SYN数据包时，它会触发警报。
2. 检测FIN扫描：alert tcp any any -> $HOME_NET any (msg:"Possible FIN Scan"; flags:F; threshold: type threshold, track by_src,count 5, seconds 60; sid:100002;)。
这个规则会检测到发送了大量的FIN标志的TCP数据包，这可能是FIN扫描的迹象。
同样地，当达到一定数量的FIN数据包时，它会触发警报。
3. 检测XMAS扫描：alert tcp any any -> $HOME_NET any (msg:"Possible XMAS Scan"; flags:FPU; threshold: type threshold, track by_src, count 5, seconds 60; sid:100003;)。
这个规则会检测到发送了FIN、PSH和URG标志的TCP数据包，这可能是XMAS扫描的迹象。
同样地，当达到一定数量的XMAS数据包时，它会触发警报。
常见的网络入侵检测系统(IDS)和入侵防御系统(IPS)
常见的网络入侵检测系统（IDS）和入侵防御系统（IPS）网络入侵检测系统（Intrusion Detection System，IDS）和入侵防御系统（Intrusion Prevention System，IPS）是当今网络安全领域中非常重要的组成部分。
它们被广泛应用于各种网络环境中，包括企业网络、个人用户网络等。
本文将介绍一些常见的网络入侵检测系统和入侵防御系统，并探讨它们的工作原理和应用。
一、网络入侵检测系统（IDS）网络入侵检测系统用于监测网络中的异常活动和入侵行为。
它通过分析网络流量和系统日志来发现潜在的入侵事件，并及时进行警报。
IDS可以分为两种类型：基于签名的IDS和基于行为的IDS。
1.1 基于签名的IDS基于签名的IDS使用预定义的规则集合（也称为签名）来检测已知的入侵行为。
这些规则基于已知的攻击模式和攻击者使用的特定工具或技术。
当网络流量或系统日志与这些签名匹配时，IDS会发出警报。
1.2 基于行为的IDS基于行为的IDS通过对网络流量和系统行为的实时监测来检测未知的入侵行为。
它使用机器学习和行为分析算法来建立正常网络活动的基线，当检测到偏离基线的行为时，IDS会发出警报。
二、入侵防御系统（IPS）入侵防御系统与入侵检测系统类似，但不仅仅是检测入侵行为，还可以主动地阻止潜在的攻击。
IPS可以分为两种类型：基于规则的IPS和基于行为的IPS。
2.1 基于规则的IPS基于规则的IPS使用与IDS相似的签名规则集合来检测已知的入侵行为，并采取相应的阻止措施，比如阻止源IP地址或关闭特定的网络服务。
它可以在实时中断攻击流量或阻断攻击者与目标之间的连接。
2.2 基于行为的IPS基于行为的IPS通过分析网络流量和系统行为来检测未知的入侵行为，并采取相应的阻止措施。
它使用机器学习和行为分析算法来建立正常网络活动的基线，并监测偏离基线的行为。
当检测到异常行为时，IPS会实时采取措施进行防御。
snort
/etc/snort/gen-msg.map gid对应的报警文本
/etc/snort/sid-msg.map sid对应的报警文本
/var/snort/rules/ 入侵规则存放目录
/var/log/snort/ 警告和日志的默认存放目录
报警内容：
[**] [1:2000000005:0] xxx [**] <=中间方括号中的内容为 gid:sid:rev
[Priority: 5]
11/21-10:01:23.326186 192.168.0.106 -> 192.168.0.6
ICMP TTL:128 TOS:0x0 ID:16414 IpLen:20 DgmLen:84 DF
插件
编译后的snort，可以加载插件，扩展功能。除非自己编写插件，否则这部分功能用处不大。
预处理
配置各种预处理器的参数。这些预处理器是内置在snort中的。基本上无需改变默认配置。
入侵规则
具体的入侵规则在其他文件中定义，此处只需指明这些规则文件。
include $RULE_PATH/xxx.rules <=启用$RULE_PATH目录下的xxx.rules规则
4、如果你在Linux机器上运行IDS，请用netfileter/iptables阻止任何不必要的数据，Snort仍然可以看到所有的数据包。
5、一些特殊的方法：
在隐秘接口(Stealth Interface)上运行Snort。IDS的网线的1针和2针短路，3针和6针连到对端。
在没有IP地址的接口上运行IDS。在LINUX上激活一个没有配置IP地址的接口；在windows接口上不绑定TCP/IP协议或配置接口为DHCP但没有DHCP服务器。
五大最著名入侵检测系统全面分析
1.Snort：这是一个几乎人人都喜爱的开源IDS，它采用灵活的基于规则的语言来描述通信，将签名、协议和不正常行为的检测方法结合起来。其更新速度极快，成为全球部署最为广泛的入侵检测技术，并成为防御技术的标准。通过协议分析、内容查找和各种各样的预处理程序，Snort可以检测成千上万的蠕虫、漏洞利用企图、端口扫描和各种可疑行为。在这里要注意，用户需要检查免费的BASE来分析Snort的警告。
4.BASE：又称基本的分析和安全引擎，BASE是一个基于PHP的分析引擎，它可以搜索、处理由各种各样的IDS、防火墙、网络监视工具所生成的安全事件数据。其特性包括一个查询生成器并查找接口，这种接口能够发现不同匹配模式的警告,还包括一个数据包查看器/解码器，基于时间、签名、协议、IP地址的统计图表等。
2.OSSEC HIDS：这一个基于主机的开源入侵检测系统，它可以执行日志分析、完整性检查、Windows注册表监视、rootkit检测、实时警告以及动态的适时响应。除了其IDS的功能之外，它通常还可以被用作一个SEM/SIM解决方案。因为其强大的日志分析引擎，互联网供应商、大学和数据中心都乐意运行OSSEC HIDS，以监视和分析其防火墙、IDS、Web服务器和身份验证日志。
5.Sguil：这是一款被称为网络安全专家监视网络活动的控制台工具，它可以用于网络安全分析。其主要部件是一个直观的GUI界面，可以从Snort/barnyard提供实时的事件活动。还可借助于其它的部件，实现网络安全监视活动和IDS警告的事件驱动分析。
3.Fragroute/Fragrouter：是一个能够逃避网络入侵检测的工具箱，这是一个自分段的路由程序，它能够截获、修改并重写发往一台特定主机的通信，可以实施多种攻击，如插入、逃避、拒绝服务攻击等。它拥有一套简单的规则集，可以对发往某一台特定主机的数据包延迟发送，或复制、丢弃、分段、重叠、打印、记录、源路由跟踪等。严格来讲，这个工具是用于协助测试网络入侵检测系统的，也可以协助测试防火墙，基本的TCP/IP堆栈行为。可不要滥用这个软件呵。
网络安全实验Snort网络入侵检测实验.
遵义师范学院计算机与信息科学学院实验报告（2013—2014学年第1 学期）课程名称：网络安全实验班级：学号：姓名：任课教师：计算机与信息科学学院实验报告闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。
这些都通过它执行以下任务来实现：·监视、分析用户及系统活动· 系统构造和弱点的审计· 识别反映已知进攻的活动模式并向相关人士报警· 异常行为模式的统计分析· 评估重要系统和数据文件的完整性·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。
对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。
更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。
而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。
入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。
入侵检测系统所采用的技术可分为特征检测与异常检测两种:特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。
它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。
其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。
异常检测(Anomaly detection)的假设是入侵者活动异常于正常主体的活动。
根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。
异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为Snort入侵检测系统：Snort简介：在1998年，Martin Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它。
入侵检测技术与Snort
数据
数 据
数据
收
集
数 据
事件
分
析
结 果
结果
处
理
1.收集的数据内容 ①主机和网络日志文件 主机和网络日志文件记录了各种行为类型，包 含了发生在主机和网络上的不寻常和不期望活动 的证据，留下黑客的踪迹，通过查看日志文件， 能发现成功的入侵或入侵企图，并很快启动响应 的应急响应程序 ②目录和文件中不期望的改变 目录和文件中不期望的改变，特别是那些正常 情况下限制访问的对象，往往就是入侵产生的信 号 ③程序执行中的不期望行为 ④物理形式的入侵信息
入侵检测系统(Intrusion Detection System, IDS)是进行入侵检测的软件和硬件的组合。
具体而言，入侵检测系统的主要功能：
✓监视并分析用户和系统的行为； ✓审计系统配置和漏洞； ✓评估敏感系统和数据的完整性； ✓识别攻击行为、对异常行为进行统计； ✓自动收集与系统相关的补丁； ✓审计、识别、跟踪违反安全法规的行为； ✓使用诱骗服务器记录黑客行为；
数据分析是IDS的核心，它的功能就是对从数据源 提供的系统运行状态和活动记录进行同步、整理、组 织、分类以及各种类型的细致分析，提取其中包含的 系统活动特征或模式，用于对正常和异常行为的判断。
1.异常发现技术 用在基于异常检测的IDS中。在这类系统中，观测 到的不是已知的入侵行为，而是所监视通信系统中的 异常现象。如果建立了系统的正常行为轨迹，则在理 论上就可以把所有与正常轨迹不同的系统状态视为可 疑企图。由于正常情况具有一定的范围，因此正确选 择异常阀值或特征，决定何种程度才是异常，是异常 发现技术的关键。 异常检测只能检测出那些与正常过程具有较大偏 差的行为。由于对各种网络环境的适应性较弱，且缺 乏精确的判定准则，异常检测可能出现虚报现象。
计算机网络安全实验网络攻击与入侵检测实践
计算机网络安全实验网络攻击与入侵检测实践计算机网络安全是当今社会不可忽视的重要领域，网络攻击与入侵检测是保护计算机网络安全的重要手段之一。
在这篇文章中，我们将讨论计算机网络安全实验中的网络攻击与入侵检测实践，并探讨如何采取措施来保护网络免受外部攻击和入侵。
一、实验背景计算机网络安全实验旨在通过模拟网络环境，实践网络攻击与入侵检测的基本原理和方法。
通过这样的实验，我们可以更好地理解网络攻击的方式和手段，并通过入侵检测工具和技术来捕获和阻止网络入侵。
二、实验目的1. 了解常见的网络攻击类型，如DDoS攻击、SQL注入、网络钓鱼等，及其原理和特点。
2. 掌握网络入侵检测的基本概念和方法。
3. 熟悉使用一些常见的入侵检测系统和工具，如Snort、Suricata等。
4. 提高对网络安全威胁的识别和防护能力。
三、实验步骤与方法1. 网络攻击模拟在实验室的网络环境中，我们可以模拟各种网络攻击，比如使用DDoS攻击模拟工具向目标服务器发送大量伪造请求，观察服务器的响应情况；或者使用SQL注入工具来试图入侵一个具有弱点的网站，看看是否能够成功获取敏感信息。
2. 入侵检测系统的部署为了及时发现并阻止网络入侵，我们需要在实验网络中部署入侵检测系统。
其中，Snort是一个常用的入侵检测系统，我们可以下载、安装并配置Snort来监测并阻止网络攻击和入侵尝试。
3. 日志分析与事件响应入侵检测系统产生的日志可以被用于进一步分析和判断网络是否受到了攻击或者入侵。
我们可以使用日志分析工具来对日志进行分析，找出异常行为和异常流量，并采取相应的事件响应措施，如隔离受感染的主机、阻止攻击流量。
四、实验结果与分析通过实验，我们可以获得网络攻击的各种实例和入侵检测系统的日志。
通过对这些数据的分析，我们可以得到以下结论：1. 根据特定的攻击模式和行为特征，我们可以确定某次网络活动是否存在攻击或入侵行为。
2. 入侵检测系统可以在很大程度上减少恶意攻击和入侵尝试对网络的影响。
Snort-轻量级网络入侵检测系统
Ｖｌ ． ６ Ｎｏ． ０ ２ １ ２ Ｍａ ０ ６ ｙ２ ０
Ｓ ｏｔ ｎ ｒ 一轻 量级 网络 入 侵 检 测 系统
乔 苋 枯
（ 南大 学 计 算机 与信 息工程 学院 ，河 南 开封 ４ ５０ ） 河 ７ ０ １
中圈分类号 ： Ｐ １ Ｔ ３９
文献标识码 ： Ａ
文章编 号 ：０ ８ １ １２ ０ ）２ ０ ４—０ １０ —３ １ ｛０ ６ ０ —０ ３ ３
以处理 以太 网 、 令牌环 以及 Ｓ Ｉ ＬＰ等多种类 型的包 。 ２１２ 检 测 引擎 ．． 检测引擎 是 ｓ ｒ ｔ ｔ的核心 ， ａ 准确和 快速是衡量 其性能 的重要 指标 ， 者主要 取决 于对入 前 侵行 为特征码提 取 的精 确性 和规 则撰 写 的简 洁 实用 性， 由于网络入侵 检测 系统是 被 动 防御 的 ， 只能被 动 的检测流 经本 网络 的数 据 ， 而不能 主动发 送数 据包去 探测 。所 以只有将 入 侵行 为 的特 征码 归结 为协议 的 不 同字段 的特征值 ， 检测该特征 值来 决定入 侵行 通过 为是否发 生。后者主要 取决 于引擎 的组 织结 构 ， 是否
—
、 用户 指 定 的文 件 、
个 ＵＮⅨ 套接 字 ， 有使 用 ｓ Ｍ Ｂ 还 Ａ Ａ协 议 向 ｗ．— ｍ 皿 （ 单 网络 标记 语 言 ， ｐ 简 ￣ｎｌ ｅ
ｄｗ ｏ ｓ客户 程 序 发 出 Ｗ＇ ｑ ｔ 息 。利 用 Ｘ ｍ ｘ Ｐ ｐ消 ＭＬ插 件 ， ｏｔ 以使 用 ｓ ｒ可 ｎ
的， 而且是可 配置 的。这些 功能是相互关联 的 。
为 了能够 快 速 准 确地 进 行 检测 ，ｔｒ 将 检测 规 ｓ ｔ ａ 则利用链 表的形 式进 行 组织 ， 为两 部 分 ： 则 头和 分 规 规则选项 。前者 是所 有规 则共 有 的包 括 Ｉ 地 址 、 Ｉ ） 端 口号等 ， 者根 据不 同规 则包 括 相应 的字段 关键 字 。 后 图 １ ｓ ｒ 的创始人 Ｍａｔ ｏｓ 是 ｔｔ ａ ｒｎＲ ｅ ｈ所作 的检 测规则 ｉｅ把 日志存 放到一个文件 或者 ｅ ｒ ｗ ｌ ａ ｕｇ） 【 ｎ Ｓｏｔ 三 个 主 要 用 途 ： 据 包 嗅探 、 据 包 记 ｎｒ有 数 数 录、 网络入侵 检测 。其 中 ： 据包 嗅探仅 仅 是从 网络 数 上读取数据包 并连续不 断地 显示在 终端上 ； 据包 记 数 录是把数据包 记录到硬盘上 ； 网络入侵 检测 是最 复杂
snort入侵检测实验报告
Snort入侵检测实验报告1. 引言Snort是一种开源的网络入侵检测系统，广泛应用于网络安全领域。
本文将介绍如何使用Snort进行入侵检测的实验过程和结果。
2. 实验准备在进行实验之前，我们需要准备以下软件和硬件环境：•一台运行Linux操作系统的计算机•Snort软件•一个用于测试的虚拟网络环境3. 实验步骤步骤1: 安装Snort首先，我们需要在Linux计算机上安装Snort软件。
可以通过以下命令进行安装：sudo apt-get install snort步骤2: 配置Snort安装完成后，我们需要对Snort进行配置。
打开Snort的配置文件，可以看到一些默认的配置项。
根据实际需求，可以对这些配置项进行修改。
例如，可以指定Snort的日志输出路径、规则文件的位置等。
步骤3: 下载规则文件Snort使用规则文件来检测网络流量中的异常行为。
我们可以从Snort官方网站或其他来源下载规则文件。
将下载的规则文件保存在指定的位置。
步骤4: 启动Snort配置完成后，使用以下命令启动Snort：sudo snort -c <配置文件路径> -l <日志输出路径> -R <规则文件路径>步骤5: 进行入侵检测启动Snort后，它会开始监听网络流量，并根据规则文件进行入侵检测。
当检测到异常行为时，Snort会生成相应的警报，并将其记录在日志文件中。
步骤6: 分析结果完成入侵检测后，我们可以对生成的日志文件进行分析。
可以使用各种日志分析工具来提取有用的信息，并对网络安全进行评估。
4. 实验结果通过对Snort的实验，我们成功地进行了入侵检测，并生成了相应的警报日志。
通过对警报日志的分析，我们可以发现网络中存在的潜在安全威胁，并采取相应的措施进行防护。
5. 总结Snort是一种功能强大的网络入侵检测系统，可以帮助我们发现网络中的安全威胁。
通过本次实验，我们学会了如何使用Snort进行入侵检测，并对其进行了初步的实践。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
入侵检测技术实验Snort网络入侵检测
学院：
班级：
姓名：
学号：
一、实验目的
1)掌握数据库的使用方法和MySQLfront的安装使用方法
2)掌握wireshark抓取数据包分析关键特征以及相关格式内容
3)掌握病毒的工作原理和通信过程，交互的信息
4)将这门课的内容结合实际进行分析和实践
二、实验原理
1)实验环境：
WinPcap_4_1_2.exe 网络数据包截取驱动程序
Snort_2_9_1_Installer.exe Windows 版本的Snort 安装包
mysql-5.5.18-win32.msi Windows 版本的mysql安装包
MySQL_Front_Setup.1765185107.exe mysql数据库可视化软件
snortrules-snapshot-CURRENT.tar.gz Snort规则库
Wireshark-win32-1.12.0.1410492379.exe抓包分析工具
2)实验环境的搭建
按照所给文档“Windows XP下安装配置Snort”的提示安装所需的软件，下面几个图片是成功安装的图片：
图（1）建立snort库
图（2）成功建立snort库
图（3）成功启动snort进行检测
至此，实验环境搭配成功。
三、实验内容
1)测试检测效果
测试虽然成功启动snort，但不能确定是否成功，故此测试任意IP端口
进行测试
配置此时的规则，修改local.rules文件，改规则为：alert ip any any -> any any (msg: "IP Packet detected";sid:1000000;)
此时结果如下图：
图（4）检测测试成功下面对选择的5款软件进行测试：
2)凤凰RemoteABC 2008
图（4）凤凰RemoteABC 2008抓取通信数据包分析特征：
此时知道关键字为“8b4ca58172880bb”，通信协议为tcp，用此关键字作为特征进行抓取
具体规则为：
alert tcp any any -> any any (msg: "fenghuang";content:
"8b4ca58172880bb"sid:104;)
3)iRaT_Client
抓取通信数据包进行分析：
此时知道关键字为”Tnhou3JjfA==”，通信协议为tcp
那么制作规则为：
alert tcp any any -> any any (msg: "IRAT";content: "Tnhou3JjfA=="sid:100;)
成功截取iRaT_Client的存在4)pcshare
截取通信数据包进行分析：
此时知道关键字为“Innnnnnnnnnnnnnnnnnnnnnnnn”，通信协议为tcp 则规则为：
alert tcp any any -> any any (msg: "pcshare";content:
"Innnnnnnnnnnnnnnnnnnnnnnnn "sid:1000;)
检测pcshare成功
5)任我行netsys
截取通信数据包进行分析知，关键字为“UELHRU9ODQONC”,通信协议为tcp
规则为：
alert tcp any any -> any any (msg: "renwoxing";content: "UELHRU9ODQONC "sid:2110;)
此时检测成功6)红黑远控
截取通信数据包进行分析知，关键字为“Msg0008”,通信协议为tcp
规则为：
alert tcp any any -> any any (msg: "honghei";content: "Msg0008 "sid:102;)
此时检测成功
至此，五个小软件都测试成功。
四、实验小结和收获
1)出现问题
（1）刚开始检测不到任何东西，不知是配置文件错了还是其他原因？
答：是因为配置文件里出现的一些问题，没有成功配置，
要细心每一个细节。
（2）病毒木马之间不能通信？
答：是因为IP没有一个局域网段内，而且防火墙没有关
闭，没有配置正确的IP进行通信。
（3）怎么分析关键字？
答：在一些特殊的流里一般会有一些重复出现的字符串，
关键字，最好是在操作木马的时候截取的。
（4）怎么制定规则？
答：根据协议，关键字，IP，协议等关键字段进行制定。
2)思考感悟
（1）这是一个实践课程，需要我们更多去探索，多去学习，而不能仅仅局限在课本里面
（2）多和教员交流，可以增加自己的效率和减少工作的时间，取得更多的进步
（3）以前学过的知识还会在将来使用到，学过wireshark使用，现在任然需要使用
（4）学会快速使用各种软件，学会尝试新的东西，快速掌握软的。