Snort之架构框架（一）

 

snort有很多运行模式

如：

 

#define MODE_PACKET_DUMP    1

#define MODE_PACKET_LOG     2

#define MODE_IDS            3

#define MODE_TEST           4

#define MODE_RULE_DUMP      5

#define MODE_VERSION        6

 

extern u_int8_t runMode; 

 

 

 

下面只对MODE_IDS模式进行剖析。。。。

 

main（）

{

ParseCmdLine函数 ===》初始化全局变量pv；

 

InitOutputPlugins();===》生成报警种类库。。。

例如：

#define NT_OUTPUT_ALERT 0x1 /* output node type alert */ #define NT_OUTPUT_LOG 0x2 /* output node type log */ #define NT_OUTPUT_SPECIAL 0x4 /* special output node type */

InitPreprocessors()

InitPlugIns();===》生成检测插件库。。。。

 

ParseRulesFile(pv.config_file, 0, PARSE_RULE_LINES);===》解析配置文件，这个步骤最重要的是根据配置从报警种类库中选择报警种类链表，根据配置从检测插件库中选择插件，最终生成规则树。。

 

SetPktProcessor();根据网卡类型选择包处理器。。

 

fpCreateFastPacketDetection();根据生成之前生成的规则树优化生成快速检测规则树。。。

 

InterfaceThread(); 开始抓包，并用已经选择的包处理器进行包剖析，匹配，产生报警等。。。

}

 

下一节 剖析规则树如何生成。。这里运用了灵活插件技巧。。