2.1 Snort Include關鍵字

include關鍵字允許在snort命令行中指定的snort.conf中包含其他snort配置文件。它的工作方式很像C編程語言中的#include，讀取命名文件的內容，并將內容添加到文件中include語句出現的位置。

2.1.1 格式

  include <include file path/name>

注意：請注意，此行的末尾沒有分號。

包含的文件會將任何預定義的變量值替換為它們自己的變量引用。

2.1.2 變量

Snort中可以定義三種類型的變量：

• var
• Portvar
• ipvar

這些是用var，ipvar或 portvar關鍵字設置的簡單替換變量，如下所示：

    var RULES_PATH rules/
    portvar MY_PORTS [22,80,1024:1050]
    ipvar MY_NET [192.168.1.0/24,10.1.1.0/24]
    alert tcp any any -> $MY_NET $MY_PORTS (flags:S; msg:"SYN packet";)
    include $RULE_PATH/example.rule

2.1.2.1 IP變量和IP列表

IP可以在列表中單獨指定為CIDR塊，也可以三者任意組合。IP變量應使用“ ipvar”而不是“ var”來指定。仍允許將“ var”用于IP變量以實現向后兼容，但在以后的版本中將不建議使用。

IP變量名稱可以以字母數字字符[A-Za-z0-9]或’_’開頭，后跟字符和數字。只接受數字作為變量名。

IP，IP列表和CIDR塊可以用’！’取反。與Snort 2.7.x和更早版本相比，否定的處理方式有所不同。以前，列表中的每個元素都在邏輯上進行“或”運算。IP現在列出“或”非取反元素，并將其和“或”取反元素的結果進行相“與”。

以下示例列表將匹配IP 1.1.1.1和從2.2.2.0至2.2.2.255的IP，但IP 2.2.2.2和2.2.2.3除外。

 [1.1.1.1,2.2.2.0 / 24，！[2.2.2.2,2.2.2.3]] 

列表中元素的順序無關緊要。元素“ any”可用于匹配所有IP，但不允許使用“！any”。另外，不允許使用比非否定IP范圍更通用的否定IP范圍。

有關IP變量和IP列表的一些有效示例，請參見下文。

ipvar EXAMPLE [1.1.1.1,2.2.2.0/24,![2.2.2.2,2.2.2.3]] 
alert tcp $EXAMPLE any -> any any (msg:"Example"; sid:1;)
alert tcp [1.0.0.0/8,!1.1.1.0/24] any -> any any (msg:"Example";sid:2;)

以下示例說明了IP變量和IP列表的一些無效用法。

使用！any：

ipvar EXAMPLE any
alert tcp !$EXAMPLE any -> any any (msg:"Example";sid:3;)

！any的不同用法：

  ipvar EXAMPLE !any
  alert tcp $EXAMPLE any -> any any (msg:"Example";sid:3;)

邏輯矛盾：

 ipvar EXAMPLE [1.1.1.1，！1.1.1.1] 

荒謬的否定：

 ipvar EXAMPLE [1.1.1.0/24,!1.1.0.0/16] 

2.1.2.2 端口變量和端口列表

端口列表支持端口的聲明和查找以及端口列表和范圍的表示。變量，范圍或列表都可以用’！’取反。另外，“ any”將指定任何端口，但不允許使用“！any”。有效端口范圍是0到65535。

端口列表必須括在方括號中，并且端口范圍可以用’：’指定，例如：

[10：50,888：900]

端口變量應使用“ portvar”指定。在以后的版本中，將不建議使用’var’聲明端口變量。為了向后兼容，只要變量名以“ _PORT”結尾或以“ PORT_”開頭，仍然可以使用“ var”聲明端口變量。

以下示例演示了端口變量和端口列表的幾種有效用法。

   portvar EXAMPLE1 80

    var EXAMPLE2_PORT [80:90]

    var PORT_EXAMPLE2 [1]

    portvar EXAMPLE3 any

    portvar EXAMPLE4 [!70:90]

    portvar EXAMPLE5 [80,91:95,100:200]

    alert tcp any $EXAMPLE1 -> any $EXAMPLE2_PORT (msg:"Example"; sid:1;)

    alert tcp any $PORT_EXAMPLE2 -> any any (msg:"Example"; sid:2;)

    alert tcp any 90 -> any [100:1000,9999:20000] (msg:"Example"; sid:3;)

下面顯示了端口變量和端口列表的幾個無效示例：

使用！any：

      portvar EXAMPLE5！any var EXAMPLE5！any

邏輯矛盾：

  portvar EXAMPLE6 [80，！80]

端口超出范圍：

 portvar EXAMPLE7 [65536]

不正確的聲明和使用端口變量：

    var EXAMPLE8 80 
    alert tcp any $EXAMPLE8 -> any any (msg:"Example"; sid:4;)

用作IP的端口變量：

alert tcp $EXAMPLE1 any -> any any (msg:"Example"; sid:5;)

2.1.2.3 變量修飾符

規則變量名稱可以通過多種方式進行修改。您可以使用$運算符定義元變量。這些可以與變量修飾符運算符？ 和-一起使用，如下表所述：

這是實際使用高級變量的示例：

    ipvar MY_NET 192.168.1.0/24
    log tcp any any -> $(MY_NET:?MY_NET is undefined!) 23

2.1.2.4 局限性

嵌入變量時，不能混用類型。例如，可以使用其他端口變量來定義端口變量，但是不能將舊式變量（帶有’var’關鍵字）嵌入到’portvar’中。

有效的嵌入式變量：

 portvar pvar1 80 portvar pvar2 [$ pvar1,90]

無效的嵌入變量：

 var pvar1 80 portvar pvar2 [$ pvar1,90]

同樣，如果變量先前已定義為其他類型，則無法重新定義。應該將它們重命名：

無效的重新定義：

 var pvar 80 portvar pvar 90

2.1.3 配置

可以在配置文件中指定許多Snort的配置和命令行選項。

2.1.3.1 格式

 config <directive> [：<value>]