suricata 3.1 源码分析3

原创 2016年08月30日 09:23:13

原文链接:http://www.9mblog.com/68.html
继续main函数下面的内容。

/* By default use IDS mode, but if nfq or ipfw
* are specified, IPS mode will overwrite this */

EngineModeSetIDS();

初始化引擎模式为IDS模式,字面上是这么理解。反正这个模式只有IPS和IDS两种,如果不清楚可以上网查。我这里就说一下主要区别。IPS会先将数据收下,进行分析后再传给后续设备或程序进行处理。而IDS模式是类似于旁路或将数据copy一份这样处理,它不会阻断数据传输。这只是我的理解,如果有不对的地方欢迎大家指出。

/* Initialize the configuration module. */

ConfInit();

初始化配置模块

void ConfInit(void)
{
    if (root != NULL) {
        SCLogDebug("already initialized");
        return;
    }
    /*root是ConfNode类型的全局指针,将指向yaml配置文件的根节点*/
    root = ConfNodeNew();

if (root == NULL) {
    SCLogError(SC_ERR_MEM_ALLOC,
        "ERROR: Failed to allocate memory for root configuration node, "
        "aborting.");
    exit(EXIT_FAILURE);
}
SCLogDebug("configuration module initialized");
}

if (ParseCommandLine(argc, argv, &suri) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
}

ConfNodeNew()如下:

ConfNode *ConfNodeNew(void)
{
   ConfNode *new;

    new = SCCalloc(1, sizeof(*new));        //申请ConfNode大小的内存
    if (unlikely(new == NULL)) {
        return NULL;
    }
    TAILQ_INIT(&new->head);     //将new的head置为NULL

    return new;
}

解析命令行参数。为suri结构的成员赋值。其中,与包捕获相关的选项(如“-i”)都会调用LiveRegisterDevice,以注册一个数据包捕获设备接口(如eth0)。全局的所有已注册的设备接口存储在变量live_devices中,类型为LiveDevice。注意,用多设备同时捕获数据包这个特性在Suricata中目前还只是实验性的。“-v”选项可多次使用,每个v都能将当前日志等级提升一级。

 if (FinalizeRunMode(&suri, argv) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
 }

根据运行模式完成相应设置,其中PCAP_FILE、ERF_FILE、ENGINE_ANALYSIS,不会通过网络抓包,所以将suri->offline置1。设置全局的run_mode变量。另外还对 daemon模式做了记log的相关操作。

switch (StartInternalRunMode(&suri, argc, argv)) {
      case TM_ECODE_DONE:
            exit(EXIT_SUCCESS);
      case TM_ECODE_FAILED:
            exit(EXIT_FAILURE);
}

若运行模式为内部模式,则进入该模式执行,完毕后退出程序。

版权声明:本文为博主原创文章,未经博主允许不得转载。

suricata 3.1 源码分析9

RunModeDispatch(suri.run_mode, suri.runmode_custom_mode)初始化运行模式。首先,根据配置文件和程序中的默认值来配置运行模式(single、auto...

suricata 3.1 源码分析1

首先进入main函数int main(int argc, char **argv) { SCInstance suri; SCInstanceInit(&suri); SCInstan...

suricata 3.1 源码分析5

if (PostConfLoadedSetup(&suri) != TM_ECODE_OK) { exit(EXIT_FAILURE); } 执行PostConfLoadedS...

suricata 3.1 源码分析8

CSetStartTime(&suri); 设置记录开始时间 SCDropMainThreadCaps(suri.userid, suri.groupid); 去除主线程的权限。这个是通过lib...

suricata 3.1 源码分析6

if (suri.run_mode != RUNMODE_UNIX_SOCKET) { FlowInitConfig(FLOW_VERBOSE); 初始化Flow engine...

suricata 3.1 源码分析4

GlobalInits();初始化全局变量。包括:数据包队列trans_q、数据队列data_queues(干嘛的?)、对应的mutex和cond、建立小写字母表。TimeInit(); 初始化时间。...

suricata 3.1 源码分析2

这次要说的是一个十分重要的函数RunModeRegisterRunModes();主要是完成运行模式的注册,我们添加的所有运行模式都要通过这个函数注册。下面是它的内部实现。 void RunMode...

suricata 3.1 源码分析7

DetectEngineCtx *de_ctx = NULL; if (!suri.disabled_detect) { //detect设为启用 SCClassCon...

suricata 3.1 源码分析10

/* In Unix socket runmode, Flow manager is started on demand */ if (suri.run_mode != RUNMODE...

Suricata之源代码(一)

第一次系统性的写blog,写的不好,请大家多多包涵。         在介绍Suricata源代码之前,大致介绍一下Suricata的工作流程。在suricata中主要使用了回调函数将所有的模块连接...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:suricata 3.1 源码分析3
举报原因:
原因补充:

(最多只允许输入30个字)