我正在编写一个严格的snort规则parsing器，我想适应stream行插件的snort规则。 该文档指定任何操作/types都是可能的，因为它们可以由插件定义。 不过，我想列出一些已知的行动，以便向用户发出警告。
目前，我知道下面的snort动作：
alert log pass activate dynamic drop sdrop reject 有没有其他的自定义操作，你使用或知道？
自定义操作由snort.conf中的规则types声明定义; 这些自定义操作可以在您的规则中使用。 从默认的snort.conf：
# You can optionally define new rule types and associate one or more output # plugins specifically to that type. # # This example will create a type that will log to just tcpdump. # ruletype suspicious # { # type log # output log_tcpdump: suspicious.log # } # # EXAMPLE RULE FOR SUSPICIOUS RULETYPE: # suspicious tcp $HOME_NET any -> $HOME_NET 6667 (msg:"Internal IRC Server";)
因为规则types可以是完全任意的，所以parsingsnort.conf文件对于先定义的任何规则types更有意义，然后将其用于规则parsing器的动作散列或任何匹配的规则。
这可能是一个很好的起点。 我不相信这是默认的。
block和sblock被添加到2.9.0.5（或其附近）。 有关详细信息，请参阅手册。 他们基本上是drop和sdrop镜子。