Snort3规则编写简介

原创

Penyforever 2022-07-10 21:30:46 ©著作权

©著作权归作者所有：来自51CTO博客作者Penyforever的原创作品，请联系作者获取转载授权，否则将追究法律责任

Snort3规则编写简介

本指南介绍了Snort3规则语言的一些新变化，目标是促进规则编写语法从Snort2到Snort3的转变。

规则头

规则头格式遵循以下格式：

Action Protocol Networks Ports Direction Operator Networks Ports

示例：

alert tcp $HOME_NET any -> $EXTERNAL_NETE $HTTP_PORTS (RULE_OPTIONS)
alert udp $EXTERNAL_NET $FILE_DATA_PORTS -> $HOME_NET any (RULE_OPTIONS)

在Snort3中，选项Protocol、Networks、Ports和Direction Operator是可选的，可以省略，表示匹配任意；类似于用关键字any替换网络和端口。

示例：

alert tcp (RULES_OPTIONS)

这个允许创建更快和更少冗余的规则。实际上省略选项应该是有选择性的，以避免在读取规则时产生歧义。一个典型的场景是编写规则来检测内容，无论其方向（入站/出站）和协议（tcp、udp 或 icmp）如何。

Alert “http”服务关键字

在Snort2中，编写规则以检测HTTP URI、Header或Body中的内容时使用的协议定义为tcp。在Snort3中，一个新的协议关键字 http可用于HTTP内容检测。这提供了以下好处：

Snort可以检测和对HTTP内容告警，无论端口如何（非标准端口上的HTTP）。因此，规则编写者不必担心某些恶意软件正在通信的端口是否标准端口。
不再需要Snort2中metadata选项中定义的服务映射（例如：service http）。因此，免除了规则编写者必须在规则元数据选项中定义服务映射的负担。本指南将进一步讨论元数据选项。
使用Snort3中可用的新的粘性和动态缓冲区的能力允许对Snort3规则进行简化和潜在的性能改进，具体如以下部分所述。

新的粘性缓冲区和动态缓冲区选择器

粘性缓冲区（例如file_data和sip_header）允许规则编写者在包含HTTP响应正文或SIP标头等内容的特定缓冲区中定义检测光标。粘性缓冲区必须先于被检测的内容，并且在更改之前一直有效。Snort3引入了新的粘性缓冲区和选择器专门用于HTTP内容检测，例如http_uri和http_header。此外，Snort3在某些粘性缓冲区下添加了动态缓冲区选择器作为子类别，例如http_header粘性缓冲区下的字段选择器。使用字段选择器，规则作者可以限制针对特定HTTP标头的内容匹配，其中标头名称不区分大小写。

“http_uri”粘性缓冲区示例

在这个示例中，在Snort3中使用http_uri粘性缓冲区消除了使用每个内容匹配后的http_uri内容选项。