下面这个例子创建一条规则,记录到 !"。
!#0#!++!
M
0#!!
8 !"!++!
N
DD搠D敧D捯浵DDDDDO下面这个例子创建一条规则,记录到系统日志和 0)P5 数据库
!#0## &#
M
0#&#!!
󄬮/95678/5$:
!! &&1&#K"0JK!#Q 1&"#Q%Q&%
N
协议
规则的下一部分是协议。) 当前分析可疑包的 + 协议有四种:、! 、+" 和 +。将来可
能会更多,例如 /:、7:、7:$、6)(、:、4 等。
Ip 地址
规则头的下一个部分处理一个给定规则的 + 地址和端口号信息。关键字C&0C可以被用来定义任何地
址。) 没有提供根据 + 地址查询域名的机制。地址就是由直接的数字型 + 地址和一个 + 块组
成的。+ 块指示作用在规则地址和需要检查的进入的任何包的网络掩码。3 表示 类网络,
表示 1 类网络, 表示一个特定的机器的地址。例如,3 代表从 到
LL 的地址块。在这个地址范围的任何地址都匹配使用这个 3 标志的规
则。这种记法给我们提供了一个很好的方法来表示一个很大的地址空间。
有一个操作符可以应用在 + 地址上,它是否定运算符(#&+#&)。这个操作符告诉
匹配除了列出的 + 地址以外的所有 + 地址。否定操作符用C!C表示。下面这条规则对任何来
自本地网络以外的流都进行报警。
&#E3&0?3#CR&LRCB"
C#I#&"! &#CB
这个规则的 + 地址代表C任何源 + 地址不是来自内部网络而目标地址是内部网络的 包C。
你也可以指定 + 地址列表,一个 + 地址列表由逗号分割的 + 地址和 : 块组成,并且要放在方括
号内“FS,“GS。此时,+ 列表可以不包含空格在 + 地址之间。下面是一个包含 + 地址列表的规则的例
子。
&#EF3K3G&0?F3K3G
#CR&LRCB"C#I#&"! &#CB
端口号
端口号可以用几种方法表示,包括C&0C端口、静态端口定义、范围、以及通过否定操作
符。C&0C端口是一个通配符,表示任何端口。静态端口定义表示一个单个端口号,例如 表示
"&#, 表示 ##, 表示 % 等等。端口范围用范围操作符C:C表示。范围操作符
可以有数种使用方法,如下所示:
! &0&0?33
记录来自任何端口的,目标端口范围在 到 3 的 ! 流
&0&0?3
记录来自任何端口,目标端口小于等于 的 流