Suricata 新建规则

suiricata本身就支持很多规则，但是我们也可以自定义规则。根据官方文档，主要分为以下几个步骤。

1 新建local.rules规则文件

位置可以与suricata.yaml一致，也可以放到其他地方。最简单的规则如下

alert tcp any any -> any any (msg: "mytest"; sid:20210420;)

如果要建复杂规则，那么需要根据文档自己编写，支持协议的头内容分析，也支持协议携带的数据进行分析（content关键字）。
注意：每个规则的sid都是不一样的。

2 修改suricata.yaml文件

在suricata.yaml文件中加入local.rules信息

default-rule-path: /usr/local/var/lib/suricata/rules

rule-files:
  - suricata.rules
  - /path/to/local.rules

最后一行为改动内容，具体的路径因人而异，就是保存local.rules的路径。

3 运行suricata查看规则是否生效