shell命令执行攻击的suricata规则

下面是一个检测 shell 命令执行攻击的 Suricata 规则示例：

alert tcp any any -> any any (msg:"Shell command execution attempt"; flow:to_server,established; content:"|3A 20|"; nocase; content:"|0D 0A|"; within:10; pcre:"/^\x3a\s*(?:\/|[a-z]:\\)/Ri"; classtype:attempted-admin; sid:1000001; rev:1;)

解释：

- `alert tcp any any -> any any`: 检测 TCP 流量。
- `msg:"Shell command execution attempt";`: 规则的描述信息。
- `flow:to_server,established;`: 只检测服务器向客户端的流量，并且只检测已建立的连接。
- `content:"|3A 20|"; nocase; content:"|0D 0A|"; within:10;`: 检测包含冒号和空格的字符串，以及回车换行符，且它们之间的距离不能超过 10 个字节。
- `pcre:"/^\x3a\s*(?:\/|[a-z]:\\)/Ri";`: 正则表达式，匹配以冒号和空格开头，后面跟着斜杠或以英文字母和冒号开头的字符串。
- `classtype:attempted-admin;`: 分类标签，表示尝试进行管理操作。
- `sid:1000001;`: 规则 ID，可以根据需要进行修改。
- `rev:1;`: 规则版本号。

注意：此规则仅作为示例，实际情况应根据具体情况进行调整。