Snort规则src和dsr地址的内容

Question

如果我想使用snort规则警报提醒流量：

implicit val sparkContext = sc

尝试使用：

Ethernet II, Src: Xircom_c5:7c:38 (00:10:a4:c5:7c:38), Dst: 3comCorp_a8:61:24 (00:60:08:a8:61:24)

它看起来不起作用.....

Answer 1

Snort在MAC地址级无效，可与 TCP ， UDP ， ICMP 和 IP 配合使用协议。

您的规则是tcp规则，因此将具有最小20字节的标头，可能最多60个字节，具体取决于选项。

由于snort内容规则仅在有效内容中匹配，这意味着您的每个内容字词library(dplyr) library(lubridate) # Re-create data frame df <- data_frame(date, start, duration, event) %>% mutate(start_dt = as.POSIXct(paste(date, start), tz = 'UTC'), start_hr = hour(start_dt), end_dt = start_dt + duration * 3600, end_hr = hour(end_dt) + (as.Date(end_dt) - as.Date(start_dt)) * 24) # Plot df %>% ggplot() + geom_segment(aes(x = event, y = start_hr, xend = event, yend = end_hr, color = event, size = 1)) + facet_wrap(~ date, nrow = 1) + guides(size = 'none') 和content:"|00 60 08 a8 61 24|"只会在初​​始标头（20 - 60字节）之后匹配。