主页 / server / 问题 / 43839
Accepted
Elijah
Asked: 2009-07-22 16:34:15 +0800 CST

除了默认值之外，snort 中还有哪些常用的规则操作？

  • 772

我正在编写一个严格的 snort 规则解析器，我想适应流行插件的 snort 规则。该文档指定任何操作/类型都是可能的，因为它们可以由插件定义。但是，我想要一个已知操作的列表来查找，以便向用户发出警告。

目前，我知道以下 snort 动作：

alert
log
pass
activate
dynamic
drop
sdrop
reject

您是否使用或知道任何其他自定义操作？

security network-monitoring intrusion-detection snort

3 个回答

  1. Best Answer

    自定义操作由 snort.conf 中的规则类型声明定义；然后可以在您的规则中使用这些自定义操作。从默认的 snort.conf 中：

    # You can optionally define new rule types and associate one or more output
# plugins specifically to that type.
#
# This example will create a type that will log to just tcpdump.
# ruletype suspicious
# {
#   type log
#   output log_tcpdump: suspicious.log
# }
#
# EXAMPLE RULE FOR SUSPICIOUS RULETYPE:
# suspicious tcp $HOME_NET any -> $HOME_NET 6667 (msg:"Internal IRC Server";)

    因为规则类型可以是完全任意的，所以解析 snort.conf 文件中首先定义的任何规则类型，然后在规则解析器的操作散列或与之匹配的任何内容中使用它更有意义。

    • 2

  2. 这可能是一个很好的起点。我不相信这些是默认值。

    http://cvs.snort.org/viewcvs.cgi/snort/rules/

    • 1

  3. block并sblock在 2.9.0.5（或大约）中添加。具体见手册。它们本质上是drop和的镜子sdrop。

    • 0

相关问题