Ví dụ như em muốn alert khi có một người dùng trong mạng của mình download quá 100MB từ 1h-2h liệu có được không nhỉ 

Còn những thành phần khác: icmp_id, itype, content, reference,.....em không làm sao hiểu được nó ở đâu ra và có ý nghĩa như thế nào. Khi viết rule liệu có nhất thiết phải có đủ những thành phần này không.
Nhất là phần content, theo em cái phần content là content của packet mà snort capture được, nhưng làm sao để biết được content của một packet để viết rule bây giờ.
Về phần sid, làm sao để có thể tạo signature của kiểu tấn công trên nhỉ.
Hic, rắc rối quá. Làm sao để có thể tạo được một rule đơn giản bây giờ?
Ai giúp em những thắc mắc này với.
Ví dụ như em muốn alert khi có một người dùng trong mạng của mình download quá 100MB từ 1h-2h liệu có được không nhỉ  

Thanks các anh, em đã hiểu ra được nhiều thứ. Những thuật từ như dsize, metadata, classtype, reference,....em tham khảo ở tài liệu nào bây giờ nhỉ.
Em có dùng wireshark và windump capture các packet để xem content của nó, nhưng em không rõ phần nào là content của nó để add vào rule?
Đây là packet capture khi em ping google.com

 

coolie wrote:

Thanks các anh, em đã hiểu ra được nhiều thứ. Những thuật từ như dsize, metadata, classtype, reference,....em tham khảo ở tài liệu nào bây giờ nhỉ.
Em có dùng wireshark và windump capture các packet để xem content của nó, nhưng em không rõ phần nào là content của nó để add vào rule?
Đây là packet capture khi em ping google.com

 

Bồ đọc tài liệu tôi cho ở trên chưa vậy?