21、入侵检测与恶意软件防护技术解析

入侵检测与恶意软件防护技术解析

入侵检测工具规则操作

在入侵检测系统（IDS）中，可对特定规则执行以下操作：
- alert ：使用选定的警报方法生成警报，然后记录数据包。
- log ：记录数据包。
- pass ：忽略数据包。
- drop ：阻止并记录数据包。
- reject ：阻止数据包，记录它，如果协议是TCP则发送TCP重置，如果协议是UDP则发送ICMP端口不可达消息。
- sdrop ：阻止数据包，但不记录。

以下是可用于监控网络流量的简单规则示例：

alert icmp any any -> any any (msg:“Testing ICMP alert”; sid: 1000001;)
alert udp any any -> any any (msg:“Testing UDP alert”; sid:1000002;)
alert tcp any any -> any any (msg:“Testing TCP alert”; sid:1000003;)
reject tcp any any -> any any (content:“www.youtube.com”; msg:“You are BLOCKED”; sid:9991112; rev:1;)
alert tcp any any