Snort sid-msg.map文件概述

96
小天是我见过最单纯善良的人
2015.09.06 15:53* 字数 493

0x00来源

  解压自snortrules-snapshot-2975.tar.gz,来自于<解压目录>/etc/sid-msg.map,配置Snort时将此文件放在/etc/snort 目录下,具体的请看 CentOS6.6下基于snort+barnyard2+base的入侵检测系统的搭建

0x01用途

  通过名字可以看出他是sid和msg的一张map,也就是sid和msg一一对应的一张表,他里面默认写好了2975中的对应情况,用户自定义规则中的msg和sid如果想要对应起来,同样也要写入此文件中。
  如果没有写入,举个例子,


自定义规则

BASE告警


通过上面这两张图我们看到,在BASE告警这张截图中,<特征>下面写的是Snort Alert[gid,sid,rev],并不是我们想要的msg中的内容。这时候我们就需要改一下sid-msg.map文件了,将这个对应关系添加上。

0x02实施


自定义规则

将对应关系添加到sid-msg.map


  然后重启barnyard2和snort


成功

0x03遇到的问题

  一直没有成功的原因是我只重启了snort,并没有想到要重启barnyard2,但是,通过barnyard2的配置文件barnyard2.conf中可以看到


设置sid-map路径


而snort.conf中并没有设置这个路径,所以重启barnyard2才是符合逻辑的。

0x04 9月16日补充内容

reference这个关键词,虽说,没什么关键性的作用,但是我搞了两天都没把他搞定。
问题现象:


reference


上面一条是我自己写的规则,下面一条是snort本身的规则,我也在规则中使用reference关键词了,但是并没有什么用,后来发现了这个其实和msg是一样的,在规则中修改并没有什么作用,必须在sid-msg.map中添加才行。


sid-msg.map


最后感谢µ°²×°³ÌÐò°²×°³小盆友。

Snort入侵检测