suricata规则学习记录

Suricata快速模式（fast_pattern）确定解释

如果在规则中明确设置了’fast_pattern’关键字，Suricata将使用它作为快速模式匹配。fast_pattern关键字只能按规则设置一次。如果未设置“fast_pattern”，Suricata会自动确定要用作快速模式匹配的内容。以下说明Suricata用于自动确定要使用的快速模式匹配的逻辑。(请注意，如果存在正（即非否定）内容匹配，则忽略否定内容匹配以进行快速模式确定。否则，考虑否定的内容匹配)

fast_pattern选择标准如下：

1.Suricata首先识别签名中使用的具有最高“优先级”的所有内容匹配。优先级基于匹配的缓冲区，通常“http_ *”缓冲区具有更高的优先级（较低的数字是较高的优先级）。有关哪些缓冲区具有优先级的详细信息，请参见 附录B.

2.在步骤1中识别的内容匹配（最高优先级内容匹配）内，最长（就字符/字节长度而言）内容匹配被用作快速模式匹配。

3.如果多个内容匹配具有相同的最高优先级并且有资格获得最长长度，则具有最高字符/字节多样性分数（“模式强度”）的那个匹配用作快速模式匹配。

4.如果多个内容匹配具有相同的最高优先级，符合最长长度和相同的最高模式强度，则最后注册的缓冲区（“list_id”）用作快速模式匹配。有关不同缓冲区/列表的注册顺序，请参阅附录B.

5.如果多个内容匹配具有相同的最高优先级，则有资格获得最长的长度，相同的最高模式强度，并且具有相同的list_id（即查看相同的缓冲区），然后是首先出现的（从左到