信息安全 | 威胁特征规则介绍与编写：Snort规则

Snort规则

Snort是一个轻量级的网络入侵检测系统。具有实时数据流量分析日志IP网络数据包捕获的能力，能够进行协议分析，对内容进行搜索/匹配。通过编写规则文件，能够检测各种不同的攻击方式，对攻击进行实时告警。

支持平台

Windows，Linux和Mac OS

参考文档

wangan.com/docs/snortnet

规则组成

• 规则头

  • 规则行为
  • 协议类型
  • 源/目的IP地址
  • 子网掩码
  • 方向操作符
  • 源/目的端口

• 规则选项

  • 告警信息
  • 异常数据的信息（特征码、signature）

例子

alert tcp 202.110.8.1 any -> 122.111.90.8 80 (msg:”Web Access”; sid:1)

规则头

1. 规则行为

“alert”表示如果这条规则被触发则告警，属于规则行为。除了alet以外，规则行为还有4种，分别是log、pass、activate、dynamic。

• alert：使用选定的告警方法产生告警信息，并且记录数据包。
• log：记录数据包
• pass：忽略数据包
• activate：告警，接着打开其它的dy