roupadd snort
useradd -g snort snort -s /bin/false
passwd -S snort
mkdir -p /etc/snort/rules
mkdir -p /var/log/snort/archive
chown -R snort.snort /var/log/snort
cd etc; cp * /etc/snort
嗅探器
snort -dev
-v
使用这个命令将使snort只输出IP和TCP/UDP/ICMP的包头信息.
-vd
看到应用层的数据
-e
显示数据链路层数据
Snort命令参数
-l log
把所有截获的数据包放到一个文件中
-b
数据包截获的是二进制的可以在一些软件中解包
snort最重要的用途还是作为网络入侵检测系统(NIDS)，使用下面命令行可以启动这种模式：
./snort -d -l ./log -h 192.168.0.0/24 -c snort.conf
