Snort 网站屏蔽规则

Question

尝试编写一个阻止系统(使用其 IP)访问特定网站的 snort 规则，到目前为止一直在尝试。

alert tcp any any <> 'ipaddress' any (content: "web url"; msg: "Access Denied"; react:block; sid:1000005;)

关于为什么这不起作用的任何想法？

Answer 1

Snort 有几个可以使用的操作:

警报 使用选定的警报方法生成警报，然后记录数据包

日志 记录数据包

通过忽略数据包

激活警报，然后打开另一个动态规则

动态保持空闲直到被激活规则激活，然后作为日志规则

下降阻止并记录数据包

拒绝阻止数据包，记录它，然后如果协议(protocol)是 TCP，则发送 TCP 重置；如果协议(protocol)是 UDP，则发送 ICMP 端口不可达消息。

sdrop 阻止数据包但不记录它。

这些可以在文档页面 Snort Rule Headers 上找到

在您的情况下，您想要 下降 , 拒绝或 sdrop ，取决于您是否要发送重置，以及是否记录。

您当前的不会阻止的原因是 警报 只会记录数据包。