14、Snort规则配置与预处理优化全解析

Snort规则配置与预处理优化全解析

1. Snort外部引用与规则基础

Snort的外部引用为规则编写提供了丰富的信息来源，以下是常见的外部引用关键字及其对应的URL基础：
| Keyword | URL Base |
| — | — |
| bugtraq | http://www.securityfocus.com/bid/ |
| cve | http://cve.mitre.org/cgi-bin/cvename.cgi?name= |
| arachNIDS | http://www.whitehats.com/info/IDS |
| McAfee | http://vil.nai.com/vil/content/v_ |
| Nessus | http://cgi.nessus.org/plugins/dump.php3?id= |
| url | http:// (a general URL that’s passed straight through) |

正确使用外部关键字的形式为： Reference: <SYSTEM> <VALUE> ，可以用分号分隔多个引用选项。

Snort的高级选项包括流量控制、正则表达式和协议选项等。流量控制可定义网络流的方向，让Snort在触发条件时发出警报；正则表达式结合Snort规则能实现强大的匹配功能；协议选项则基于网络协议组件进行精细选择，帮助检测黑客的探测和侦察行为。

Snort内部通过复杂的数据处理来管理众多规则，使用字符串解析器将规则分割成组件部分，并存储在一系列