Suricata规则编写

最新推荐文章于 2024-05-13 08:17:58 发布
最新推荐文章于 2024-05-13 08:17:58 发布
阅读量2.9k 收藏 14
点赞数 1
分类专栏： 计算机网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39003567/article/details/104658632
版权

规则格式

Suricata规则包括以下三部分：

  1. action，action决定当signature匹配的时候会发生什么
  2. header， 定义了协议，IP地址，端口和规则的位置
  3. rule options， 定义规则细节
drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

红色对应action，绿色对应header，蓝色对应rule options

Action

  • Pass

如果匹配到规则，Suricata停止扫描数据包并且跳过当前规则（当前数据包内的规则）

  • Drop

Drop只能在IPS/inline模式下可用，如果程序匹配到了规则，并且action为drop的话，它会立即停止。这个数据包不会再被发送。

缺点：接收器没有接收到正在发生事情的信息，导致超时（TCP），Suricata对这个数据包生成一个警报。

  • Reject

这是对数据包的主动拒绝。接收者和发送者收到一个拒绝数据包，有两种类型的拒绝数据包将自动选择。当违规数据包与TCP有关时，会发送Reset-Packet包。对其他所有协议，会发送ICMP-error包。Suricata同时会生成一个警告。在Inline/IPS模式下，违规数据包也会被drop掉，与Drop action相似。

  • Alert

当包含alert的被匹配到时，数据包会与其他没有问题（或者说无威胁的）数据包一样对待（放行），只不过Suricata 会对这个数据包生成一个告警，只有系统管理员才会看到这个告警。

规则的默认顺序为pass, drop, reject, alert.

Header

Protocol

用来告诉Suricata当前规则中包含的协议，何以选择的协议主要有：

  • tcp (for tcp-traffic)
  • udp
  • icmp
  • ip (ip stands for ‘all’ or ‘any’)

还有一些其他的应用层协议或七层协议也可以选择：

  • http
  • ftp
  • tls (this includes ssl)
  • smb
  • dns
  • dcerpc
  • ssh
  • smtp
  • imap
  • msn
  • modbus (disabled by default)
  • dnp3 (disabled by default)
  • enip (disabled by default)
  • nfs (depends on rust availability)
  • ikev2 (depends on rust availability)
  • krb5 (depends on rust availability)
  • ntp (depends on rust availability)
  • dhcp (depends on rust availability)

这些协议能不能用取决于配置文件suricata.yaml中是否配置了这些协议。

如果你有一个signature列如http协议，suricata确保只有当它是http流量时才会匹配

Source and destination

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

$HOME_NET是源，$EXTERNAL_NET是目的地址（注意箭头方向）

通过source和destination，你可以分别明确流量的源和目的地址。你可以分配IP地址（IPV4和IPV6都可以）和IP范围。这些可以与操作符结合使用

OperatorDescription
../..IP 范围（CIDR 表示法）
！例外和否定
[.., ..]分组

 

 

 

 

 

通常还可以使用变量，如$HOME_NET、$EXTERNAL_NET。

举例：

ExampleMeaning
!1.1.1.1除了1.1.1.1的每个IP地址
![1.1.1.1, 1.1.1.2]除了1.1.1.1和1.1.1.2的每个IP地址
$HOME_NET在yaml中设置的HOME_NET地址
[$EXTERNAL_NET, !$HOME_NET]EXTERNAL_NET和不是HOME_NET的
[10.0.0.0/24, !10.0.0.5]10.0.0.0/24 除了 10.0.0.5
[…, [….]] 
[…,![….]] 

 

 

 

 

 

 

 

 

 

注意：如果配置文件中设置如下:

HOME_NET:any

EXTERNAL_NET:!$HOME_NET

 

 

 

不可以写!$EXTERNAL_NET，因为not any不合法。

Ports（source and destination）

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

流量通过端口进出，不同端口有不同的端口号，例如80是http的默认端口而https是443。但是注意，端口并不决定通信中使用哪个协议。相反，它决定哪个应用正在接受数据。

以上提到的端口通常都是目标端口。源端口，即发送数据包的应用通常由操作系统分配一个随机端口。当为自己的HTTP写规则时，应当通常写any->80，因为这意味从任何源端口到你的http程序的（80端口上的）数据包都是可以match到的

在设置端口时也可以使用特殊运算符，例如：

OperatorDescription
:端口范围
！除了哪个端口
[.., ..]组合

 

 

 

 

 

例如：

ExampleMeaning
[80, 81, 82]端口80,81,82
[80: 82]从80到82端口
[1024: ]从1024一直到最高端口号
!80除了80端口
[80:100,!99]80到100端口中除了99端口
[1:80,![2,4]]1到80端口中除了2和4端口
[.., [..,..]] 

 

 

 

 

 

 

 

 

 

Direction

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

流向（direction）告诉规则用哪种方式匹配流量数据

大部分规则是->，即只匹配从source到destination的，也可以双向（<>）

注意：没有反转方向（<-）

例子为一个客户端使用IP地址1.2.3.4端口号1024，服务端使用IP地址5.6.7.8端口号80，客户端向服务端发送信息，并且服务端应答

规则：

alert tcp 1.2.3.4 1024 -> 5.6.7.8 80

 

 

这样只有第一个数据包可以被匹配到，对于反向的流量会直接放行

Rule options

规则其余部分由选项组成，由括号括起分号隔开。一些选项可以设置（如msg）由选项的关键字规定，后面加“：”，一些不可以设置，只有关键字（如nocase）

<keyword>:<settings>;

<keyword>;

 

 

 

规则选项由特定的顺序，变换顺序就会改变规则的含义

注意：在Suricata 规则中" ; "和" " "有特殊含义，在规则选项值中使用时必须转义，如

msg：“Msg with semicolon\;”;

 

 

因此，还必须转义反斜杠，因为它用作转义字符。

Modifier Keywords

一些关键字函数可以用做修饰符，有两种修饰符

  • 旧风格的“content modifier”在rule中进行回顾，例如：
alert http any any -> any any (content:"index.php"; http_uri; sid:1;)

 

 

在例子中‘index.php’被修改为检查http uri缓冲区

  • 最新的类型成为‘sticky buffer’，他将缓冲区字段放在第一位，他后面的所有关键字都应用于这个缓冲区，例如：
alert http any any -> any any (http_response_line; content:"403 Forbidden"; sid:1;)

 

 

 

在这个例子中‘403 Forbidden’对http响应行检查，因为他在关键字http_response_line的后面

Normalized Buffers

一个数据包由原始数据组成，http和reassembly可以复制这类数据包的数据，它们清楚异常内容，组和数据包等。剩下的就是“normalized buffers”：

因为数据被标准化不再是最开始的样子，它变成了一种解释（interpretation），标准化缓冲区包括：所有的http关键字，重组流（reassembled streams），TLS-，SSL-，SSH-，FTP-和dcerpc-buffers

有一些例外，例如关键字http_raw_uri,详情：http_uri and http_raw_uri

Meta Keywords

meta-setting对Suricata的检查没有影响，对Suricata报告事件的方式有影响

msg（message）

关键字msg给出关于规则的文本型信息和可能的警告

Example:

msg:"ATTACK-RESPONSES 403 Forbidden";

 

 

Tip:通常将signature的第一部分大写并显示signature的类

       通常msg作为signature的第一个关键字

注意：;.\,",这三个字符若出现在msg中，需进行转义

sid（signature ID）

signature的ID，数字组成，如：

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

Tip：通常sid作为signature的最后一个关键字，若有关键字rev则作为倒数第二个关键字

rev（revision）

sid总是和rev同时出现，rev代表signature的版本，如果一个signature被修改，rev的数会被signature的修改者增加

gid（group ID）

gid关键字可以为不同组的signature提供另外一个ID值，Suricata默认gid为1，它可以被修改，但是不是很常用，改变他没有什么技术含义，只能在alert中看到。

fast.log中的gid样例：[1:2008124:2]中，1代表gid，2008124代表sid，2代表rev

10/15/09-03:30:10.219671 [**] [1:2008124:2] ET TROJAN Likely Bot Nick in IRC (USA +..) [**] [Classification: A Network Trojan was Detected] [Priority: 3] {TCP} 192.168.1.42:1028 -> 72.184.196.31:6667
4.2.5. classtype

 

 

 

 

classtype

classtype关键字给出规则和警告的类别信息。它包括一个短名字，一个长名字和优先级。他可以告诉你一个规则只是包含信息还是有关黑客等。对于每个类别，classification.config有一个在规则中用到的优先级。

classtype定义样例：

config classification: web-application-attack,Web Application Attack,1
config classification: not-suspicious,Not Suspicious Traffic,3

 

 

 

在配置文件中定以后，我们可以在规则中用这些类别。一个有着web-application-attack的规则会被分配到1的优先级并且告警信息包含Web Application Attack

classtypeAlertPriority
web-application-attackWeb Application Attack1
not-suspiciousNot Suspicious Traffic3

 

 

 

 

下面的例子是一个trojan-activity的例子

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

Tip：classtype在sid和rev关键字之前，在其他关键字之后。

reference

reference关键字可以指向关于signature的信息位置和关于signature尝试解决的问题地址。reference关键字可以再signature中出现多次，这个关键字是为signature编写者和分析signature为什么匹配到的人准备的，其格式如下：

reference: type, reference

 

 

一个典型的指向www.info.com的reference如下：

reference: url, www.info.com

 

 

不过，也有一些系统可以被当做reference来用，最常见的就是CVE数据库，它将威胁与数字结合，防止你为同一个漏洞多次分配url，例如：

reference: cve, CVE-2014-1234

 

 

这将引用http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1234，所有reference的类型都会在reference.config中定义

下面这个例子包括reference

drop tcp $HOME_NET any -> $EXTERNAL_NET any (msg:”ET TROJAN Likely Bot Nick in IRC (USA +..)”; flow:established,to_server; flowbits:isset,is_proto_irc; content:”NICK “; pcre:”/NICK .*USA.*[0-9]{3,}/i”; reference:url,doc.emergingthreats.net/2008124; classtype:trojan-activity; sid:2008124; rev:2;)

 

 

 

 

priority

priority关键字附带1到255的强制数值，其中1到4是最常用的。将检查有着较高优先级的signature，最高的优先级是1.通常signature在classtype中已经有了一个优先级。这个优先级可以被关键字priority关键字覆盖，格式如下：

priority：1；

 

 

metadata

metadata关键字允许一些其他的，非功能性的信息添加到signature中。虽然格式是自由格式的，但建议用键值对，因为Suricata可以将他们包含到警报当中，格式如下：

metadata: key value;
metadata: key value, key value

 

 

 

target

target关键字允许编写规则的人去指定警报的那一侧是攻击的目标，如果指定，警报事件将得到增强，包括源和目标信息。

target:[src_ip|dest_ip]

 

 

如果值是src_ip，那么生成事件中的源IP（JSON中的src_ip字段）是攻击目标，如果target是dest_ip，那么target是生成事件中的目的IP

Suricata规则编写——常用关键字
Traxer的学习之路
03-31 1万+
1.简介现在的NIDS领域snort一枝独秀，而suricata是完全兼容snort规则的多线程IDS，无论在效率还是性能上都超过原有的snort，这个系列主要针对suricata的规则中的一些关键字进行了解和学习，参考链接为：https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules2.基本关键字所
suricata规则编写-检测ssh爆破攻击
whime
05-22 3754
步骤： 1. 使用hydra攻击ssh服务器，利用tcpdump 抓包。 2. 编写suricata规则 3. 重放pcap包测试效果。 利用hydra和 tcpdump获取攻击流量包 在
suricata 检测规则编写
xuwaiwai的博客
09-11 4829
目录 规则头 规则行为，根据优先级排列： 协议： 源ip，目标ip： 源端口/目标端口： 流量方向： 规则体 msg： flow流匹配： flowbits : sameip源ip、目标ip检测： content内容匹配： 不区分大小写 nocase： 偏移位置 offset： 结束位置 depth： 在xx范围外 distance ： 在xx范围内 within： 有效载荷大小 dsize： pcre正则 pcre： http修饰符： fast_pattern...
suricata-rules:Suricata针对新的严重漏洞制定规则
05-25
什么是Suricata？ Suricata是一个免费，开源，成熟，快速且强大的网络威胁检测引擎。 有关更多信息，请访问 。 该存储库的目的 支持蓝色团队成员编写有关新的严重漏洞的Suricata规则，以尽快发现并防止攻击者的利用。 定期更新Suricata规则，并将其保存在管理良好的数据库中。 内容结构 每个漏洞都拥有一个文件夹。 每个文件夹都有2个主要部分： 文件README.md包含3个部分： 漏洞概述 概念验证（PoC）或换句话说，是恶意有效载荷的样本 参考 文件.rules拥有Suricata规则本身。 笔记 许多服务都在HTTPS上运行，但是Suricata无法分析加密的数据。 如果要使用Suricata来检测HTTPS有效负载中的攻击者，则应为nginx等HTTPS设置反向代理，然后将HTTP转发到应用程序服务器，并在此HTTP流量上运行Suricata。 如果您不确
suricata规则编写-检测SYN-Flood攻击
whime
05-22 3523
步骤 Kali虚拟机使用hping3发起SYN泛洪攻击，伪造随机地址。 利用flags标志和threshold关键字编写规则 测试 hping3发起SYN泛洪攻击 利用Kali工具hping3 发起SYN半连接泛洪攻击 编写规则 suricata兼容snort规则 ，使用flags标志配合threshold编写规则，flags:S表示匹配SYN标志位为1的tcp包，根据dst进行跟踪，在30...
suricata规则编写
03-28
下面是Suricata规则编写的基本步骤： 1. 确定规则的目的：规则应该明确规定要检测的行为和目的。 2. 选择匹配类型：Suricata规则支持多种匹配类型，包括内容匹配、正则表达式、IP地址、端口等。需要根据规则目的...
Suricata规则编写——数据包头部关键字
Traxer的学习之路
04-01 4275
1.简介本文介绍suricata支持的IP、TCP、ICMP三种协议的数据包头关键字，http协议由于比较常用，关键字也比较多所以后面单独介绍，而其他应用层协议暂无特定的关键字。2.IP协议关键字首先需要对IP协议有一定的了解，网际协议-维基百科，RFC 791，IPv4-维基百科。IPv4协议的格式如下： 0 1 2
Suricata规则编写——HTTP关键字
Traxer的学习之路
04-03 8535
1.简介之前的常用关键字中介绍了content以及许多修饰它的关键字，除此之外，http协议中还有一些修饰content的关键字，也是由于http协议使用量较大，关键字较多，因此单独拿出来学习。参考：HTTP协议-维基百科。2.Request和Responsehttp协议包括了http request和http response数据包。通常，由HTTP客户端发起一个request请求，创建一个到服务
Suricata 新建规则
sinat_41915699的博客
04-20 1209
suiricata本身就支持很多规则，但是我们也可以自定义规则。根据官方文档，主要分为以下几个步骤。 1 新建local.rules规则文件 位置可以与suricata.yaml一致，也可以放到其他地方。最简单的规则如下 alert tcp any any -> any any (msg: "mytest"; sid:20210420;) 如果要建复杂规则，那么需要根据文档自己编写，支持协议的头内容分析，也支持协议携带的数据进行分析（content关键字）。 注意：每个规则的sid都是不一样的。 2
suricata规则：Suricata IDS规则使用检测红队渗透恶意行为等，支持检测CobaltStrikeMSFEmpireDNS隧道Weevely菜刀冰蝎反弹shellICMP隧道等
02-06
suricata规则：Suricata IDS规则使用检测红队渗透恶意行为等，支持检测CobaltStrikeMSFEmpireDNS隧道Weevely菜刀冰蝎反弹shellICMP隧道等
suricata-手册
11-29
Suricata is a high performance Network IDS, IPS and Network Security Monitoring engine. It is open source and owned by a community-run non-profit foundation, the Open Information Security Foundation (OISF). Suricata is developed by the OISF.
suricata规则
whatday的专栏
12-20 8581
Emerging威胁检测规则wiki：http://doc.emergingthreats.net/bin/view/Main/WebHome Emerging规则文件：http://rules.emergingthreatspro.com/   基本语法 Snort规则与Suricata规则基本语法相同 规则结构 一、规则头部： 1. 规则行为：行为声明，用于通知IDS引擎...
suricata 开源工具学习-规则了解
qq_41167620的博客
01-24 1351
匹配信用卡号码： pcre:"/([0-6]\d\d|7[0-256]\d|73[0-3]|77[0-2])-\d{2} - \d{4} /";1. TTL：匹配指定的TTL指，可使用关系运算符（< , =, >）,可以用来识别操作系统类型。针对检测http流量的规则，Suricata提供了http流重组能力，同时提供了用于编写HTTP流量相关的更高效的规则修饰器。2. dsize：匹配一个指定payload大小的数据包，可使用关系运算符（< , =, >）
suricata 开源工具学习-规则 关键字开发应用
qq_41167620的博客
01-22 1076
查看默认规则位置，打开suricata.yaml文件，找到rules部分，追加test.rules。这个规则的含义，数据包中存在连续ascll值http内容，且tcp首尾值10进制为104,110。suricata提供了组件式的开发方式，在SigTableSetup注册所有规则关键字。从上得出结论，每个检测关键字提供了三个检测功能，分别为数据包匹配，协议流匹配，和文件匹配。这个匹配接口实现，数据包负载部分首尾值匹配，匹配条件取决于规则中给出的首尾10进制内容。版本中使用，因为他是裁剪的所以我还是用主干。
Suricata常用规则和入侵检测案例。
qq_39330735的博客
03-30 5128
1、Suricata是来来源于经典的NIDS系统，是一套基于网络流量的危险检测引擎，整合了IDS(Instrusion detection)、IPS(Instrusion Prevention)、NSM(Network Security Monitoring)和PCAP等功能2、IDS功能通过监听网卡流量并匹配规则引擎进行入侵实时检测和预警，检测手段和wazuh比较类似3、、IPS功能。
Suricata/Snort规则参考
HoloLens的博客
08-21 4749
Suricata/Snort规则参考 文章目录Suricata/Snort规则参考限制优势6. Suricata 规则6.1. 规则格式6.1.1. 动作（Action）6.1.2. 协议（Protocol）6.1.3. 源和目的（Source and destination）6.1.4. 端口（Source and destination）6.1.5. 方向（Direction）6.1.6. 规则选项（Rule options）6.1.6.1. 修饰器关键词（Modifier Keywords）6.1.6
suricata自带的规则/网上能找到的Suricata规则
oXingYunQing的博客
09-09 4153
（1） （2） https://zhuanlan.zhihu.com/p/36340468 Suricata规则介绍、以及使用suricata-update做规则管理
【Suricata】03-Suricata 7.0.x 规则管理
最新发布
Simo2024的博客
05-13 1196
本文介绍了Suricata开源规则库的更新、查看、启用、关闭、删除。具体规则的启用、禁用、修改、删除；以及如何在不重启suricata引擎的情况下，如何重新加载规则，给规则设置白名单等操作。
Suricata IDS 入门 — 规则详解
SHELLCODE_8BIT的博客
12-21 6699
suricata是一款开源高性能的入侵检测系统，并支持ips（入侵防御）与nsm（网络安全监控）模式，用来替代原有的snort入侵检测系统，完全兼容snort规则语法和支持lua脚本。 安全脉搏SecPulse.Com独家发文，如需转载，请先联系授权。 1.规则配置 配置文件位置：/etc/suricata/suricata.yaml 规则目录位置：/etc/suricata/rules 先设置HOME_NET与EXTERNAL_NET，推荐HOME_NET填写内网网段，EXTERNAL_NET设
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值