Suricata规则编写-IP头关键字
IP报文头基本信息
中文版本：
英文版本：
1.TTL
ttl关键字用于检查包头中特定的IP生存时间值。 格式是：
ttl:<number>
举个例子:
ttl:10;
在ttl关键字的末尾，您可以输入您想要匹配的值。 生存时间（Time-to-live）值决定了数据包在互联网系统中的最长时间。 如果该字段设置为0，则数据包必须被销毁。 生存时间基于跳数。 数据包通过的每一跳/路由器减去数据包TTL计数器中的一个。 这种机制的目的是限制数据包的存在，使数据包不能以无限的路由循环结束。
实际例子：
alert ip $EXTERNAL_NET any -> $HOME_NET any (msg:”GPL MISC 0 ttl”; ttl:0;reference:url,support.microsoft.com/default.aspx?scid=kb#-#-EN-US#-#-q138268; \
reference:url,www.isi.edu/innotes/rfc1122.txt; classtype:misc-activity; sid:2101321; rev:9;)
2. Ipopts
使用ipopts关键字，您可以检查是否设置了特定的ip可选选项。 在规则开始时必须使用Ipopts。 每个规则只能匹配一个选项。
有几个选项可以匹配。 这些是：
ipopts关键字的格式：
ipopts:<name>
举个例子：
ipopts: lsrr;
规则例子：
3.sameip
每个数据包都有一个源IP地址和一个目的IP地址。 可能是源IP与目标IP相同。 使用sameip关键字，您可以检查源的IP地址是否与目的地的IP地址相同。 sameip关键字的格式是：
sameip;
例子如下：
4. ip_proto
使用ip_proto关键字，您可以在数据包标头中的IP协议上进行匹配。 您可以使用协议的名称或编号。 您可以在以下协议上进行匹配：
有关协议及其编号的完整列表，请参阅http://en.wikipedia.org/wiki/List_of_IP_protocol_numbers
规则中的ip_proto示例：
5. ID
使用id关键字，您可以匹配特定的IP ID值。 该ID标识由主机发送的每个分组，并且每个分组通常随着每个正在发送的分组而递增。 IP ID被用作片段识别号码。 每个数据包都有一个IP ID，当数据包变成碎片时，这个数据包的所有片段都有相同的ID。 这样，数据包的接收者知道哪些片段属于同一个数据包。 （IP ID不处理顺序，在这种情况下，使用偏移量，它明确了片段的顺序。）
id格式：
id:<number>;
在规则中的例子:
6.Geoip
geoip关键字使您（您）能够匹配网络流量的源地址，目标地址或源地址和目标IP地址，并查看其属于哪个国家/地区。 为了做到这一点，Suricata使用Maxmind的GeoIP API。
geoip 的语法：
关键字只支持IPv4。 由于它使用Maxmind的GeoIP API，libgeoip必须被编译进来。
7.Fragments
7.1 Fragbits
使用fragbits关键字，可以检查IP报头中是否设置了分片和保留位。 fragbits关键字应放置在规则的开头。 Fragbits用于修改碎片机制。 在将消息从一个互联网模块路由到另一个互联网模块的过程中，可能发生一个数据包大于网络可以处理的最大数据包大小。 在这种情况下，一个数据包可以分段发送。 数据包大小的这个最大值被称为最大传输单位（MTU）。
浙公网安备 33010602011771号