14、Snort规则配置与预处理优化指南

Snort规则配置与预处理优化指南

1. Snort外部引用与规则基础

1.1 外部引用

Snort有多种外部引用关键字，每个关键字对应一个特定的URL基础地址，如下表所示：
| Keyword | URL Base |
| ---- | ---- |
| bugtraq | http://www.securityfocus.com/bid/ |
| cve | http://cve.mitre.org/cgi-bin/cvename.cgi?name= |
| arachNIDS | http://www.whitehats.com/info/IDS |
| McAfee | http://vil.nai.com/vil/content/v_ |
| Nessus | http://cgi.nessus.org/plugins/dump.php3?id= |
| url | http:// (a general URL that’s passed straight through) |

外部关键字的正确使用形式为： Reference: <SYSTEM> <VALUE> ，可以用分号连接多个引用选项。

1.2 高级选项

1.2.1 流量控制

流量控制选项能定义网络流的方向。网络通信有两个端点和方向，Snort可配置为在触发多种触发器时发出警报。其内部引擎需进行一些复杂处理，包括实时数据包重建，但这能让你知道攻击是否成功，是值得的。

1.2.2 正则表达式