原文链接:http://www.9mblog.com/68.html
继续main函数下面的内容。
/* By default use IDS mode, but if nfq or ipfw
* are specified, IPS mode will overwrite this */
EngineModeSetIDS();
初始化引擎模式为IDS模式,字面上是这么理解。反正这个模式只有IPS和IDS两种,如果不清楚可以上网查。我这里就说一下主要区别。IPS会先将数据收下,进行分析后再传给后续设备或程序进行处理。而IDS模式是类似于旁路或将数据copy一份这样处理,它不会阻断数据传输。这只是我的理解,如果有不对的地方欢迎大家指出。
/* Initialize the configuration module. */
ConfInit();
初始化配置模块
void ConfInit(void)
{
if (root != NULL) {
SCLogDebug("already initialized");
return;
}
/*root是ConfNode类型的全局指针,将指向yaml配置文件的根节点*/
root = ConfNodeNew();
if (root == NULL) {
SCLogError(SC_ERR_MEM_ALLOC,
"ERROR: Failed to allocate memory for root configuration node, "
"aborting.");
exit(EXIT_FAILURE);
}
SCLogDebug("configuration module initialized");
}
if (ParseCommandLine(argc, argv, &suri) != TM_ECODE_OK) {
exit(EXIT_FAILURE);
}
ConfNodeNew()如下:
ConfNode *ConfNodeNew(void)
{
ConfNode *new;
new = SCCalloc(1, sizeof(*new)); //申请ConfNode大小的内存
if (unlikely(new == NULL)) {
return NULL;
}
TAILQ_INIT(&new->head); //将new的head置为NULL
return new;
}
解析命令行参数。为suri结构的成员赋值。其中,与包捕获相关的选项(如“-i”)都会调用LiveRegisterDevice,以注册一个数据包捕获设备接口(如eth0)。全局的所有已注册的设备接口存储在变量live_devices中,类型为LiveDevice。注意,用多设备同时捕获数据包这个特性在Suricata中目前还只是实验性的。“-v”选项可多次使用,每个v都能将当前日志等级提升一级。
if (FinalizeRunMode(&suri, argv) != TM_ECODE_OK) {
exit(EXIT_FAILURE);
}
根据运行模式完成相应设置,其中PCAP_FILE、ERF_FILE、ENGINE_ANALYSIS,不会通过网络抓包,所以将suri->offline置1。设置全局的run_mode变量。另外还对 daemon模式做了记log的相关操作。
switch (StartInternalRunMode(&suri, argc, argv)) {
case TM_ECODE_DONE:
exit(EXIT_SUCCESS);
case TM_ECODE_FAILED:
exit(EXIT_FAILURE);
}
若运行模式为内部模式,则进入该模式执行,完毕后退出程序。