Snortのシグネチャの作成方法

Snort は、カスタムのシグネチャを作成できます。

概要

Snort は、カスタムのシグネチャを作成できます。

Snort のシグネチャは、以下の様な書式です。

alert icmp any any -> any any (msg:"ICMP Packet"; sid:477;rev:3;)

ルールにマッチしたときに、起こすアクションを指定します。アクションには、以下のものがあります。

ルールヘッダのアクション
アクション	説明
alert	アラートを出力し、パケットの内容をログに記録します。
log	パケットの内容をログに記録します。
pass	パケットを通過させ、このパケットのチェックは終了します。
activate	アラートを出力し、dynamic を有効にします。
dynamic	activate から呼び出されて、指定された処理を実行します。

Snort が扱えるプロトコルは、以下の通りです。