|
特征。一条规则中不同部分必须同时满足才能执行，相当于“与”操作。而同一个规则库文件中的所有规则之间相当于一个“或”操作。
以下是一个例子：alert tcp any any -> 192.168.1.0/24 111 (content:|00 01 86 a5|; msg: mountd access;)。该条规则描述了：任何使用TCP协议连接网络192.168.1.0/24中任何主机的111端口的数据包中，如果出现了二进制数据00 01 86 a5，便发出警告信息mountd access。
规则操作说明当发现适合条件的数据包时应该做些什么。有两种操作：alert和log。如果是 alert，则使用选定的告警方法产生警报，并记录这个数据包；如果是log，则只记录该数据包。
协议指明当前使用的是何种协议。对于IP地址和端口，关键字“any”可以用来定义任何IP地址。在 页码：[1] [2] [3] [4] [5] 第3页、共5页 |
