从零搭建符合等保要求的数字档案馆系统入侵检测实操指南

前置准备

基础环境要求

本次方案适配绝大多数单位部署的数字档案馆系统，基于开源入侵检测工具Snort实现，零成本可落地，环境要求如下：

• 服务器配置：CPU双核2GHz以上，内存≥4G，存储≥50G
• 操作系统：Ubuntu 22.04 Server 64位（稳定无兼容性问题）
• 网络要求：服务器已部署数字档案馆web门户、数据库，开放80/443/3306等业务端口

依赖一键安装

直接执行以下命令，一次性安装所有编译依赖，无需单独下载：

``` sudo apt update && sudo apt install -y build-essential libpcap-dev libpcre3-dev libluajit-5.1-dev libnghttp2-dev openssl zlib1g-dev wget sendmail ```

执行完成后直接下载Snort稳定版安装包：

``` wget https://www.snort.org/downloads/snort/snort-2.9.19.tar.gz ```

实操部署步骤

第一步：编译安装Snort核心

依次执行以下命令完成安装，每一步执行完确认无报错再进行下一步：

``` 解压安装包 tar zxvf snort-2.9.19.tar.gz && cd snort-2.9.19 编译配置与安装 ./configure --enable-sourcefire --enable-luajit --enable-nflog --enable-nghttp2 && make && sudo make install 更新动态链接库 sudo ldconfig ```

安装完成后验证：执行snort -V，输出版本信息即成功；如果提示命令找不到，执行以下命令修复：

``` sudo ln -s /usr/local/bin/snort /usr/sbin/snort ```

创建专用运行用户，避免权限风险：

``` sudo groupadd snort && sudo useradd snort -r -s /sbin/nologin -g snort ```

第二步：配置适配数字档案馆的检测规则

先创建所需目录并分配权限：

``` sudo mkdir -p /etc/snort/rules /etc/snort/preproc_rules /var/log/snort /usr/local/lib/snort_dynamicrules sudo chmod -R 755 /etc/snort && sudo chown -R snort:snort /var/log/snort ```

编辑主配置文件sudo vi /etc/snort/snort.conf，直接复制替换以下内容，注意修改HOME_NET：

``` ipvar HOME_NET [你数字档案馆的IP段/24, 服务器公网IP/32] ipvar EXTERNAL_NET any var RULE_PATH /etc/snort/rules var SO_RULE_PATH /etc/snort/preproc_rules var WHITE_LIST_PATH /etc/snort var BLACK_LIST_PATH /etc/snort include $RULE_PATH/local.rules include $RULE_PATH/snort.rules output alert_email: 你的接收告警邮箱 %s - 数字档案馆入侵告警 ``` 注意：必须把HOME_NET替换为你数字档案馆实际所在的内网段和服务器IP，不要填写any，否则会大幅降低检测效率

接下来添加针对数字档案馆场景的自定义检测规则，编辑/etc/snort/rules/local.rules，复制添加以下内容：

``` 检测未授权访问后台入口 alert tcp any any -> $HOME_NET 80 (msg:"告警：数字档案馆未授权后台访问尝试"; content:"/admin"; sid:1000001; rev:1;) 检测SQL注入攻击 alert tcp any any -> $HOME_NET [80,443] (msg:"告警：数字档案馆SQL注入尝试"; content:"union select"; classtype:web-application-attack; sid:1000002; rev:1;) 检测数据库暴力破解 alert tcp any any -> $HOME_NET 3306 (msg:"告警：数字档案馆数据库暴力破解尝试"; flags:S; threshold: type both, track by_src, count 5, seconds 60; sid:1000003; rev:1;) 检测敏感文件下载尝试 alert tcp any any -> $HOME_NET 80 (msg:"告警：数字档案馆敏感档案下载尝试"; content:".rar"; content:"/archive"; sid:1000004; rev:1;) ```

下载社区开源基础规则包：

``` wget https://rules.snort.org/community/snort3-community-rules.tar.gz -P /tmp tar zxvf /tmp/snort3-community-rules.tar.gz -C /tmp cp /tmp/snort3-community-rules/snort3-community.rules /etc/snort/rules/snort.rules ```

验证配置正确性，把命令中的eth0替换为你的服务器实际网卡名称，可通过ip addr查看：

``` snort -T -c /etc/snort/snort.conf -i eth0 ```

输出Configuration is Correct即为配置成功。

第三步：配置开机自启动服务

创建systemd服务文件sudo vi /etc/systemd/system/snort.service，复制以下内容，同样替换eth0为你的网卡名：

``` [Unit] Description=入侵检测服务-数字档案馆专用 After=network.target [Service] Type=simple ExecStart=/usr/local/bin/snort -q -u snort -g snort -c /etc/snort/snort.conf -i eth0 Restart=always [Install] WantedBy=multi-user.target ```

启动服务并设置开机自启：

``` sudo systemctl daemon-reload && sudo systemctl start snort && sudo systemctl enable snort ```

执行sudo systemctl status snort显示active (running)即为部署完成。

效果验证与日常维护

功能验证测试

从外部机器访问你的数字档案馆，构造测试请求：http://你的数字档案馆地址/admin.php?a=union select 1,2,3，1分钟后执行以下命令查看日志：

``` sudo cat /var/log/snort/alert ```

如果能看到对应规则的告警信息，说明入侵检测已经正常工作，你也会在配置的邮箱收到告警通知。

日常维护操作

• 每周更新一次规则：执行上述下载规则的命令，覆盖原有规则文件后执行sudo systemctl restart snort即可
• 排除误报：把误告警的正常IP加入/etc/snort/whitelist.config，每行一个IP，然后在snort.conf中添加include $WHITE_LIST_PATH/whitelist.config即可自动排除
• 如果数字档案馆新增业务端口，直接在local.rules中新增对应检测规则即可，无需重新安装

本方案完全满足三级等保对数字档案馆系统入侵检测的要求，所有步骤可直接复制执行，无需额外技术基础即可落地。