Snort est une application réseau de détection d'intrusion et de prévention gratuit pour le système d'exploitation Linux. Snort dispose d'un moteur intégré qui vous permet d'écrire vos propres règles à l'aide d'un langage spécialisé . Règles Snort sont composées de deux parties: la tête et les options. Règles suivent un modèle de base : Un paquet de données entrant est examiné et testé contre les spécificités des règles. Si une condition est remplie - si le paquet est d'une adresse spécifique , par exemple - une mesure n'est prise. Vous pouvez utiliser ce modèle de base pour créer vos propres règles Snort . Instructions
1

Familiarisez-vous avec la forme générale d'une règle de Snort . Une règle ressemble à ceci:

mesures protocole address0_IP address0_port direction address1_ip address1_port ( options)
2

Décidez quels " action" vous voulez la règle à suivre. Le champ " action" détermine quelle est la règle accomplit effectivement . L'action «log» , par exemple , enregistre simplement la manifestation du réseau. L'action "alerte" envoie un message qui est déterminé par le fichier de configuration de Snort ou envoie un message à la ligne de commande . Reportez-vous à la documentation de Snort pour une liste complète des actions acceptables.
3

Décidez de ce protocole que vous avez à laquelle vous souhaitez que la règle s'applique . Le champ " protocole " fait référence au protocole de réseau qui est utilisé par le paquet de données , qui peut être IP , ICMP, TCP ou UDP.
4

déterminer le sens de la règle. Le champ " direction" dit à Snort dont l'adresse est la source du paquet et qui est la destination . Par exemple, en plaçant la séquence de caractères "->" dans le domaine de destination, " address0_IP " est l'adresse IP source du paquet de données , tandis que " address1_IP " est la destination du paquet
5

. Écris une règle Snort qui alerte le programme chaque fois que le trafic d'une adresse spécifique est détecté. Supposons que ce trafic utilise le protocole TCP et provient de l'adresse 192.168.2.99 . En utilisant le mot-clé «tout », vous pouvez remplir les champs de port et l'adresse de la destination des données. La règle de Snort suivant crée un message chaque fois qu'un trafic est détecté à partir de cette adresse:
alerte

tcp 192.168. 2,99 any -> any any (msg : " . Trafic de 192.168 2.99" ;)