qq_44479162的博客

原创 suricata关键字threshold

功能：在一个T(seconds)时间窗口内，当规则匹配中N(count)次，就产生一个告警。： 当第一个命中规则告警包来时，构建结点并记录此时第一个包的时间和命中的规则的seconds(时间窗口)，并且结点上的count++，插入哈希表。在一个T(seconds)时间窗口内，当规则匹配中N(count)次之后，开始产生告警。功能：在一个T(seconds)时间窗口内，当规则匹配中N(count)次，就产生一个告警。功能：在一个T(seconds)时间窗口内，最多产生N(count)次告警。