在Snort警报文件中指定规则地址

Question

我正在处理一个项目，该项目处理更改规则的顺序，以使IDS过程更快，更高效。 我只需找到在snort警报文件中生成任何警报的规则所在的位置。 （我的意思是规则位于哪条规则文件的哪条线上？） 任何人都可以帮我找出答案吗？

Answer 1

要在配置文件中找到的规则：

您可以使用Snort规则签名ID。

例如，

[**] [1:5000361:0] need-to-know - suspicious spammed domain [**] 

这里的署名ID是5000361。

，或者可以在警报

[Xref => url www.spamhaus.org/query/dbl?domain=xxxxxxx.com] 

所示在上述线为referenece在配置文件中进行搜索，所述参考是www.spamhaus.org/query/dbl?domain=xxxxxxx.com

Snort的配置文件使用-c选项指定随后通过配置文件的名称，通常命名为snort.conf。由于它是使用选项指定的，因此它可以位于系统的任何位置。通常可以在/usr/local/etc/snort.conf或安装snort的目录中找到它。

Answer 2

这个问题没有任何意义。 “我正在研究一个项目，该项目涉及改变规则的顺序，以使IDS过程更快，更高效。”

这意味着如果你改变snort规则在文件中的顺序，那么它会改变它们被评估的顺序，这是完全错误的。 snort在规则评估方面的工作方式要复杂得多，为了提高效率，您必须使规则更加高效。对于snort，规则中最重要的部分是fast_pattern关键字。即使您没有在规则中指定fast_pattern，snort也会自动选择规则中至少包含3个字符的最长内容匹配，并将其用作fast_pattern。对于每个进入snort的数据包都会为该数据包构建一个规则评估树，这些规则的顺序与它们存储在配置文件中的顺序完全无关。 Snort只会读取配置中的所有规则，并且在运行时收到数据包时会确定它们的评估顺序。