Snort规则入门学习

Snort规则学习

Snort 是一个开源入侵防御系统（IPS）。Snort IPS 使用一系列规则来帮助定义恶意网络活动，并利用这些规则来查找与之匹配的数据包，并为用户生成警报。

下面来学习一下snort的规则语法

入门引言

从一条简单的snort规则开始

alert tcp any any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";)

snort 每条规则都可以分成逻辑上的两个部分：规则头（header）和规则选项（General Option）

从开头到括号前属于规则头部分，括号内的部分属于规则选项。规则选项中冒号前面的词叫做选项关键词(option keywords)。如果许多选项组合在一起，它们之间是逻辑与的关系

snort规则简介

下面是snort规则组成
snort 每条规则都可以分成逻辑上的两个部分：规则头（header）和规则选项（General Option）

• 规则头（header）
  • 规则行为(rule’s action)
  • 协议(protocol)
  • IP地址
  • 端口
  • 方向操作符
• 规则选项（options）

其他概念：

• Includes：inclu