Snort é um aplicativo de detecção de intrusão e prevenção de rede livre para o sistema operacional Linux. Snort possui um motor embutido que permite que você escreva suas próprias regras utilizando uma linguagem especializada. Regras do Snort são compostos de duas partes: o cabeçalho e as opções. Regras seguem um padrão básico : um pacote de dados de entrada é examinado e testado contra as especificidades das regras. Se a condição for cumprida - se o pacote é a partir de um endereço específico, por exemplo - uma ação é tomada. Você pode usar este padrão básico para criar suas próprias regras do Snort . Instruções
1

Familiarize-se com a forma geral de uma regra Snort . A regra se parece com isso :

protocolo de ação address0_IP direção address0_port address1_ip address1_port ( opções)
2

Decida qual " ação" que pretende a regra de tomar. O campo " ação" determina o que o governo realmente realiza . A ação "log" , por exemplo, simplesmente registra o evento de rede. A ação de "alerta" envia uma mensagem que é determinado pelo arquivo de configuração do Snort ou envia uma mensagem para a linha de comando. Consulte a documentação do Snort para uma lista completa de ações aceitáveis.
3

Decida o protocolo que a que você deseja que a regra se aplique . O campo " protocolo " refere-se ao protocolo de rede que está sendo usado pelo pacote de dados , que pode ser IP , ICMP, TCP ou UDP.
4

Determine a direção da regra. O campo " direção " diz Snort que é o endereço de origem do pacote e que é o destino. Por exemplo, colocando a seqüência de caracteres " -> " no campo de destino, " address0_IP " é o endereço IP de origem do pacote de dados , enquanto o " address1_IP " é o destino do pacote
5

. Escreva uma regra Snort que alerta o programa sempre que o tráfego de um endereço específico é detectado. Suponha que este tráfego utiliza o protocolo TCP e vem do 192.168.2.99 endereço. Ao usar a palavra " qualquer ", você pode preencher os campos de porta e endereço para o destino dos dados. A regra Snort a seguir cria uma mensagem sempre que o tráfego é detectado a partir deste endereço :

tcp alerta 192.168. 2.99 qualquer -> any any (msg : " . Tráfego de 192.168 2,99 " ;)