Suricata规则编写——数据包头部关键字

最新推荐文章于 2024-03-26 10:15:20 发布

Traxer

最新推荐文章于 2024-03-26 10:15:20 发布

阅读量4.2k

点赞数

分类专栏：流量检测文章标签：流量检测 suricata snort规则

本文链接：https://blog.csdn.net/wuyangbotianshi/article/details/44804529

版权

本文详细介绍了Suricata如何利用IP（ttl, ipopts, sameip, ip_proto, id, fragbits, fragoffset, Geoip）、TCP（seq, ack, window）和ICMP（itype, icode, icmp_id, icmp_seq）协议关键字进行流量检测。通过这些关键字，可以检测和分析网络中不同协议数据包的头部信息，以实现更精确的流量管理和安全防护。" 125909732,14830920,Android实现底部导航栏与Fragment页面切换,"['Android开发', 'Java', 'UI设计', '导航', '适配器']

摘要由CSDN通过智能技术生成

1.简介

本文介绍suricata支持的IP、TCP、ICMP三种协议的数据包头关键字，http协议由于比较常用，关键字也比较多所以后面单独介绍，而其他应用层协议暂无特定的关键字。

2.IP协议关键字

首先需要对IP协议有一定的了解，网际协议-维基百科，RFC 791，IPv4-维基百科。

IPv4协议的格式如下：

这里写图片描述

     0                   1                   2                   3   
     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |Version|  IHL  |Type of Service|          Total Length         |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |         Identification        |Flags|      Fragment Offset    |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |  Time to Live |    Protocol   |         Header Checksum       |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |                       Source Address                          |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |                    Destination Address                        |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
   |                    Options                    |    Padding    |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

                    Example Internet Datagram Header