Snort er et gratis nett- inntrenging- deteksjon - og - forebygging program for operativsystemet Linux . Snort har en innebygd motor som gjør at du kan skrive dine egne regler ved hjelp av en spesialisert språk . Snort regler er sammensatt av to deler: header og alternativene . Følges en grunnleggende mønster : En inngående datapakke er undersøkt og testet mot de nærmere reglene. Hvis en betingelse er oppfylt - hvis pakken kommer fra en bestemt adresse , for eksempel - en handling er tatt. Du kan bruke denne grunnleggende mønster for å lage dine egne Snort regler . Instruksjoner
en
Gjør deg kjent med generelle formen for en Snort regelen. En regel ser slik ut : en
handling protokoll address0_IP address0_port retning address1_ip address1_port (opsjoner ) på
2
Bestem hvilke "action" du vil regelen skal utføre . "Handling" feltet bestemmer hva regelen faktisk oppnår . Den " log" handling , for eksempel poster simpelthen nettverket hendelsen. Den " alert " action sender en melding som er bestemt av Snort sin konfigurasjonsfil eller sender en melding til kommandolinjen . Se i Snort dokumentasjon for en fullstendig liste over akseptable handlinger.
3
Bestem hvilken protokoll du som du vil at regelen skal gjelde. Den " protokoll" -feltet refererer til nettverksprotokoll som blir brukt av datapakke , som kan være IP, ICMP, TCP eller UDP .
4
Bestem retning av regelen . Den " retning "-feltet forteller Snort hvilken adresse er kilden av pakken og som er målet . For eksempel ved å plassere tegnet sekvensen " - >" i målfeltet , " address0_IP " er kilden IP -adressen til datapakke , mens " address1_IP " er pakken destinasjon
5
. Skriv en Snort regel som varsler programmet når trafikk fra en bestemt adresse er registrert. Anta at denne trafikken bruker TCP-protokollen og kommer fra den adressen 192.168.2.99 . Ved å bruke søkeordet " noe ", kan du fylle ut port og adresse felt for destinasjonen av dataene. Følgende Snort oppretter en melding når trafikken oppdages fra denne adressen : en
varsling tcp 192.168 . 2.99 noen - > alle alle ( msg : " . Trafikk fra 192.168 2.99 " ;)
