Snort規則內存結構和檢測引擎流程

規則頭和規則選項 snort將所有已知的攻擊以規則的形式放在規則庫中，規則庫中的每條規則條目分爲兩個部分：規則頭（RuleHeader）和規則選項（RuleOption）。 規則頭包括:規則行爲、協議、源/目的IP地址、子網掩碼以及源/目的端口、數據流方向。 規則選項包含:報警信息和異常包的信息 (特徵碼) 這是Snort中一條事件定義：alert tcp $EXTERNAL_NET any->

>>阅读原文<<