Snort规则定义与测试

目录

一、实验环境

二、实验内容

步骤一  Snort规则的基本语法和构成

        步骤二  创建自定义本地规则集测试Snort

         步骤三  配置Snort 3的日志输出并测试

一、实验环境

攻击机：kali2022  IP：192.168.127.124

靶  机：Ubuntu22.04 IP：192.168.127.122

软  件：snort 版本3.6.0、ping等

二、实验内容

步骤一  Snort规则的基本语法和构成

Snort3规则的基本格式：

 <规则动作> <协议> <源IP> <源端口> —> <目标IP> <目标端口> (<规则选项>)

Snort规则由规则头部和规则选项组成：

规则头部（Rule Header）:

        规则头告诉snort在什么范围内去应用规则，并且做出什么动作。

1. 动作（Action）：定义当规则匹配时采取的行动，如alert、log、pass、activate等。
2. 协议（Protocol）：指定规则适用的协议，如TCP、UDP、ICMP等。
3. 源IP地址（Source IP Address）：指定数据包的源IP地址，可以使用任何有效的IP地址或网络地址。
4. 源端口（Source Port）：指定数据包的源端口号，可以使用任何有效的端口号或范围。
5. 方向操作符（Direction Operator）：指示流量的方向，“->”表示单向流动，“<>”表示双向流动等。
6. 目的IP地址（Destination IP Address）：指定数据包的目的IP地址。
7. 目的端口（Destination Port）：指定数据包的目的端口号。

规则选项（Rule Options）:

        规则选项通常包含多个关键字和对应的参数，用于定义要匹配的特定模式或特征。关键字和参数之间用冒号“:”分隔，不同的关键字之间用分号“;”分隔。

1. msg（Message）：当规则触发时显示的消息。
2. content（Content）：用于匹配数据包内容的规则选项。
3. depth（Depth）：指定content选项搜索的最大深度。
4. offset（Offset）：指定content选项开始搜索的位置。
5. nocase（No Case）：使content选项不区分大小写。
6. flags（Flags）：用于匹配TCP标志位。
7. seq（Sequence Number）：用于匹配TCP序列号。
8. ack（Acknowledgment Number）ÿ