suricata 3.1 源码分析3

最新推荐文章于 2025-09-15 09:56:42 发布

原创最新推荐文章于 2025-09-15 09:56:42 发布 · 3k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#源码 #suricata

suricata 同时被 2 个专栏收录

53 篇文章

订阅专栏

suricata源码分析

42 篇文章

订阅专栏

本文介绍Suricata入侵检测系统的配置与初始化过程，包括引擎模式设置、配置模块初始化及命令行参数解析等内容。

原文链接：http://www.9mblog.com/68.html
继续main函数下面的内容。

/* By default use IDS mode, but if nfq or ipfw
* are specified, IPS mode will overwrite this */

EngineModeSetIDS();

初始化引擎模式为IDS模式，字面上是这么理解。反正这个模式只有IPS和IDS两种，如果不清楚可以上网查。我这里就说一下主要区别。IPS会先将数据收下，进行分析后再传给后续设备或程序进行处理。而IDS模式是类似于旁路或将数据copy一份这样处理，它不会阻断数据传输。这只是我的理解，如果有不对的地方欢迎大家指出。

/* Initialize the configuration module. */

ConfInit();

初始化配置模块

void ConfInit(void)
{
    if (root != NULL) {
        SCLogDebug("already initialized");
        return;
    }
    /*root是ConfNode类型的全局指针，将指向yaml配置文件的根节点*/
    root = ConfNodeNew();

if (root == NULL) {
    SCLogError(SC_ERR_MEM_ALLOC,
        "ERROR: Failed to allocate memory for root configuration node, "
        "aborting.");
    exit(EXIT_FAILURE);
}
SCLogDebug("configuration module initialized");
}

if (ParseCommandLine(argc, argv, &suri) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
}

ConfNodeNew()如下：

ConfNode *ConfNodeNew(void)
{
   ConfNode *new;

    new = SCCalloc(1, sizeof(*new));        //申请ConfNode大小的内存
    if (unlikely(new == NULL)) {
        return NULL;
    }
    TAILQ_INIT(&new->head);     //将new的head置为NULL

    return new;
}

解析命令行参数。为suri结构的成员赋值。其中，与包捕获相关的选项（如“-i”）都会调用LiveRegisterDevice，以注册一个数据包捕获设备接口（如eth0）。全局的所有已注册的设备接口存储在变量live_devices中，类型为LiveDevice。注意，用多设备同时捕获数据包这个特性在Suricata中目前还只是实验性的。“-v”选项可多次使用，每个v都能将当前日志等级提升一级。

 if (FinalizeRunMode(&suri, argv) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
 }

根据运行模式完成相应设置，其中PCAP_FILE、ERF_FILE、ENGINE_ANALYSIS，不会通过网络抓包，所以将suri->offline置1。设置全局的run_mode变量。另外还对 daemon模式做了记log的相关操作。

switch (StartInternalRunMode(&suri, argc, argv)) {
      case TM_ECODE_DONE:
            exit(EXIT_SUCCESS);
      case TM_ECODE_FAILED:
            exit(EXIT_FAILURE);
}

若运行模式为内部模式，则进入该模式执行，完毕后退出程序。