我正在编写一个严格的snort规则parsing器,我想适应stream行插件的snort规则。 该文档指定任何操作/types都是可能的,因为它们可以由插件定义。 不过,我想列出一些已知的行动,以便向用户发出警告。
目前,我知道下面的snort动作:
alert log pass activate dynamic drop sdrop reject
有没有其他的自定义操作,你使用或知道?
自定义操作由snort.conf中的规则types声明定义; 这些自定义操作可以在您的规则中使用。 从默认的snort.conf:
# You can optionally define new rule types and associate one or more output # plugins specifically to that type. # # This example will create a type that will log to just tcpdump. # ruletype suspicious # { # type log # output log_tcpdump: suspicious.log # } # # EXAMPLE RULE FOR SUSPICIOUS RULETYPE: # suspicious tcp $HOME_NET any -> $HOME_NET 6667 (msg:"Internal IRC Server";)
因为规则types可以是完全任意的,所以parsingsnort.conf文件对于先定义的任何规则types更有意义,然后将其用于规则parsing器的动作散列或任何匹配的规则。
这可能是一个很好的起点。 我不相信这是默认的。
block
和sblock
被添加到2.9.0.5(或其附近)。 有关详细信息,请参阅手册。 他们基本上是drop
和sdrop
镜子。