第三章 使用Snort规则

如同病毒，大多数入侵行为都具有某种特征，Snort的规则就是用这些特征的有关信息构建的。在第1章中我们提到，你可以用蜜罐来取得入侵者所用的工具和技术的信息，以及他们都做了什么。此外，还有入侵者会利用的已知的系统弱点数据库，如果入侵者试图利用这些弱点来实施攻击，也可以作为一些特征。这些特征可能出现在包的头部，也可能在数据载荷中。Snort的检测系统是基于规则的，而规则是基于入侵特征的。Snort规则可以用来检测数据包的不同部分。Snort 1.x可以分析第3层和第4层的信息，但是不能分析应用层协议。Snort v 2.x增加了对应用层头部分析的支持。所有的数据包根据类型的不同按顺序与规则比对。

规则可以用来产生告警信息、记录日志，或使包通过（pass）：对Snort来说，也就是悄悄丢弃(drop)，通过在这里的意义与防火墙或路由器上的意义是不同的，在防火墙和路由其中，通过和丢弃是两个相反的概念。Snort规则用简明易懂的语法书写，大多数规则写在一个单行中。当然你也可以行末用反斜线将一条规则划分为多个行。规则文件通常放在配置文件snort.conf文件中，你也可以用其他规则文件，然后用主配置文件引用它们。

本章将提供给你不同类型规则的信息以及规则的基本结构。在本章的最后，你可以找到一些用来检测入侵活动的规则的例子。读完本章以及后面两章后，你所获得的信息就可以使你建立一个基本的Snort入侵检测系统了。

3．1 TCP/IP 网络分层

在你开始书写规则之前，我们先来简要讨论一下TCP/IP的网络层次结构nort规则是常重要的，因为Snort规则依赖于这些层中的协议。