Snort规则内存结构和检测引擎流程

规则头和规则选项 snort将所有已知的攻击以规则的形式放在规则库中，规则库中的每条规则条目分为两个部分：规则头（RuleHeader）和规则选项（RuleOption）。 规则头包括:规则行为、协议、源/目的IP地址、子网掩码以及源/目的端口、数据流方向。 规则选项包含:报警信息和异常包的信息 (特征码) 这是Snort中一条事件定义：alert tcp $EXTERNAL_NET any->

>>阅读原文<<