Snort är ett fritt nät - inbrottslarm - och - förebyggande program för operativsystemet Linux . Snort har en inbyggd motor som gör att du kan skriva dina egna regler med hjälp av en specialiserad språk . Snort regler består av två delar : huvudet och alternativen . Regler följer ett grundläggande mönster : En inkommande datapaket granskas och testas mot detaljerna i reglerna . Om ett villkor är uppfyllt - om paketet är från en specifik adress , till exempel - en åtgärd vidtas . Du kan använda denna grundläggande mönster för att skapa dina egna Snort regler . Instruktioner
1
Bekanta dig med den generella formen av en Snort regel . En regel ser ut så här :
action protokoll address0_IP address0_port riktning address1_ip address1_port ( optioner )
2
Bestäm vilken " action " som du vill att regeln ska ta . Den " action "-fältet avgör vad regeln faktiskt åstadkommer . "Log " action , till exempel , helt enkelt registrerar nätverket händelsen . Den " alert " action skickar ett meddelande som bestäms av Snort s konfigurationsfil eller skickar ett meddelande till kommandoraden . Se till Snort dokumentationen för en fullständig lista över acceptabla åtgärder . Addera 3
Bestäm vilket protokoll du som du vill att regeln ska gälla . Den " protokollet " fältet refererar till det nätverksprotokoll som används av datapaket som kan vara IP , ICMP , TCP eller UDP .
4
bestämma riktningen av regeln . Den " riktning " fältet berättar Snort vilken adress är källan till paketet och som är destinationen . Till exempel , genom att placera tecknet sekvensen " - > " i mottagar-fältet , " address0_IP " är källan IP -adressen för datapaket , medan " address1_IP " är paketets destination
5
. Skriv ett Snort regel som varnar programmet när trafik från en specifik adress upptäcks . Anta denna trafik använder TCP-protokollet och kommer från adressen 192.168.2.99 . Genom att använda sökordet " något " kan du fylla i hamnen och adress fält för datamålet . Följande Snort regel skapar ett meddelande när trafiken detekteras från denna adress :
alert tcp 192.168 . 2.99 varje - > någon något ( msg : " . Trafik från 192.168 2.99 " ;)
