как можно динамически сопоставлять содержимое пакетов в snort?

Я хочу проверить ключевое слово с содержимым пакета в snort, но не статическое слово.

Я хочу, чтобы он был динамическим, например, получить терминал формы этого ключевого слова в Ubuntu.

alert tcp any any -> any any (msg:" your content found"; sid:100000; content:"something to find"; )

Эти коды используются для статического значения.

Поделитесь своими идеями, пожалуйста.

Спасибо.


dynamic snort packets
person zara-T    schedule 26.01.2015    source источник
comment
Можете ли вы привести несколько примеров контента, которому вы хотите соответствовать? Невозможно сделать динамические слова с соответствием по содержимому, но вы можете использовать pcre.   -  person johnjg12    schedule 30.01.2015
comment
что я могу сделать с pcre??? содержимым для соответствия может быть любое слово. я имею в виду, что хочу получить слово из терминала и найти его в содержимом пакета и показать результат поиска с сообщением в терминале. спасибо   -  person zara-T    schedule 30.01.2015
comment
Я не совсем уверен, что вы имеете в виду. Можете ли вы привести какой-то пример?   -  person johnjg12    schedule 30.01.2015
comment
представьте себе кино; в c++ я хочу сделать это в snort. я не хочу вводить слово для проверки соответствия в правиле, подобно приведенному выше коду, я хочу спросить пользователя, какое ключевое слово вы хотите найти? а затем получите это ключевое слово от пользователя и найдите его. Спасибо за Ваш быстрый ответ   -  person zara-T    schedule 30.01.2015

Ответы (2)


arrow_upward
0
arrow_downward

Я думаю, что единственный способ добиться чего-то подобного — использовать правило общего объекта. Я не верю, что есть другой способ сделать это. Правила для общих объектов — одна из самых сложных вещей для реализации в правилах snort, но с ними, безусловно, можно сделать что-то подобное. Я рекомендую прочитать эту запись в блоге о том, как использовать общие правила объекта.

person johnjg12    schedule 30.01.2015

arrow_upward
0
arrow_downward

Как насчет сценария-оболочки, который принимает правило через консоль, записывает его в файл правил, а затем перезагружает snort?

person eugenioperez    schedule 07.04.2017