Table Of ContentSNORT(cid:13)R Users Manual
2.9.11
TheSnort Project
August31,2017
Copyright(cid:13)c1998-2003MartinRoesch
Copyright(cid:13)c2001-2003ChrisGreen
Copyright(cid:13)c2003-2013Sourcefire,Inc.
Copyright(cid:13)c2014-2017Ciscoand/oritsaffiliates. Allrightsreserved.
1
Contents
1 SnortOverview 9
1.1 GettingStarted . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
1.2 SnifferMode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
1.3 PacketLoggerMode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
1.4 NetworkIntrusionDetectionSystemMode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
1.4.1 NIDSModeOutputOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
1.4.2 UnderstandingStandardAlertOutput . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
1.4.3 HighPerformanceConfiguration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
1.4.4 ChangingAlertOrder . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
1.5 PacketAcquisition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
1.5.1 Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
1.5.2 pcap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
1.5.3 AFPACKET . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
1.5.4 NFQ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
1.5.5 IPQ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
1.5.6 IPFW . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
1.5.7 Dump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
1.5.8 StatisticsChanges . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.6 Readingpcapfiles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.6.1 Commandlinearguments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.6.2 Examples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.7 BasicOutput . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
1.7.1 TimingStatistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
1.7.2 PacketI/OTotals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
1.7.3 ProtocolStatistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
1.7.4 SnortMemoryStatistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
1.7.5 Actions,Limits,andVerdicts. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
1.8 TunnelingProtocolSupport. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
1.8.1 MultipleEncapsulations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
1.8.2 Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2
1.9 Miscellaneous . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
1.9.1 RunningSnortasaDaemon . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
1.9.2 RunninginRuleStubCreationMode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
1.9.3 ObfuscatingIPAddressPrintouts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
1.9.4 SpecifyingMultiple-InstanceIdentifiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
1.9.5 SnortModes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
1.10 Controlsocket . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
1.11 Configuresignalvalue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
1.12 MoreInformation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
2 ConfiguringSnort 28
2.1 Includes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.1.1 Format . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.1.2 Variables . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.1.3 Config. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
2.2 Preprocessors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
2.2.1 Frag3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
2.2.2 Session . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
2.2.3 Stream . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
2.2.4 sfPortscan . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
2.2.5 RPCDecode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
2.2.6 PerformanceMonitor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
2.2.7 HTTPInspect . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
2.2.8 SMTPPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
2.2.9 POPPreprocessor. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
2.2.10 IMAPPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
2.2.11 FTP/TelnetPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
2.2.12 SSH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
2.2.13 DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
2.2.14 SSL/TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
2.2.15 ARPSpoofPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
2.2.16 DCE/RPC2Preprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
2.2.17 SensitiveDataPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112
2.2.18 Normalizer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114
2.2.19 SIPPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
2.2.20 ReputationPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
2.2.21 GTPDecoderandPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
2.2.22 ModbusPreprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135
2.2.23 DNP3Preprocessor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138
3
2.2.24 AppIdPreprocessor. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
2.3 DecoderandPreprocessorRules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145
2.3.1 Configuring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145
2.3.2 Revertingtooriginalbehavior . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
2.4 EventProcessing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
2.4.1 RateFiltering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
2.4.2 EventFiltering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
2.4.3 EventSuppression . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
2.4.4 EventLogging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
2.4.5 EventTrace . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
2.5 PerformanceProfiling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
2.5.1 RuleProfiling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
2.5.2 PreprocessorProfiling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
2.5.3 PacketPerformanceMonitoring(PPM) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158
2.6 OutputModules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
2.6.1 alert syslog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
2.6.2 alert fast . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163
2.6.3 alert full . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163
2.6.4 alert unixsock. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
2.6.5 log tcpdump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
2.6.6 csv . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
2.6.7 unified2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 166
2.6.8 lognull . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
2.6.9 LogLimits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
2.7 HostAttributeTable. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
2.7.1 Ruleevaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
2.7.2 SnortConfiguration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
2.7.3 HostAttributeTableFileFormat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
2.7.4 AttributeTableExample . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
2.7.5 AttributeTableAffectonpreprocessors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172
2.8 DynamicModules. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
2.8.1 Format . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
2.8.2 Directives . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
2.9 ReloadingaSnortConfiguration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
2.9.1 Enablingsupport . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
2.9.2 Reloadingaconfiguration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
2.9.3 Non-reloadableconfigurationoptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
2.10 MultipleConfigurations. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176
2.10.1 CreatingMultipleConfigurations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176
4
2.10.2 ConfigurationSpecificElements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
2.10.3 HowConfigurationisapplied? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178
2.11 ActiveResponse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178
2.11.1 EnablingActiveResponse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
2.11.2 ConfigureSniping . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
2.11.3 Flexresp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
2.11.4 React . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
2.11.5 RuleActions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
3 WritingSnortRules 182
3.1 TheBasics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
3.2 RulesHeaders . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
3.2.1 RuleActions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
3.2.2 Protocols . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
3.2.3 IPAddresses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
3.2.4 PortNumbers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
3.2.5 TheDirectionOperator . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
3.2.6 Activate/DynamicRules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
3.3 RuleOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
3.4 GeneralRuleOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
3.4.1 msg . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
3.4.2 reference . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
3.4.3 gid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 187
3.4.4 sid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 187
3.4.5 rev . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
3.4.6 classtype . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
3.4.7 priority . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
3.4.8 metadata . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190
3.4.9 GeneralRuleQuickReference . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190
3.5 PayloadDetectionRuleOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
3.5.1 content . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
3.5.2 protected content . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 192
3.5.3 hash . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
3.5.4 length . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
3.5.5 nocase. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
3.5.6 rawbytes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
3.5.7 depth . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
3.5.8 offset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
3.5.9 distance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
5
3.5.10 within . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
3.5.11 http client body. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
3.5.12 http cookie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
3.5.13 http raw cookie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
3.5.14 http header . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
3.5.15 http raw header . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 198
3.5.16 http method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 198
3.5.17 http uri . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 198
3.5.18 http raw uri . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
3.5.19 http stat code . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
3.5.20 http stat msg . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200
3.5.21 http encode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200
3.5.22 fast pattern . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
3.5.23 uricontent . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
3.5.24 urilen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
3.5.25 isdataat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 204
3.5.26 pcre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
3.5.27 pkt data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
3.5.28 file data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207
3.5.29 base64 decode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207
3.5.30 base64 data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208
3.5.31 byte test. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208
3.5.32 byte jump . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210
3.5.33 byte extract . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212
3.5.34 byte math . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
3.5.35 ftpbounce . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
3.5.36 asn1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
3.5.37 cvs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216
3.5.38 dce iface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.39 dce opnum . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.40 dce stub data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.41 sip method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.42 sip stat code . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.43 sip header. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.44 sip body . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.45 gtp type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.46 gtp info . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.47 gtp version . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.48 ssl version . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
6
3.5.49 ssl state . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
3.5.50 PayloadDetectionQuickReference . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 218
3.6 Non-PayloadDetectionRuleOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 218
3.6.1 fragoffset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 218
3.6.2 ttl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
3.6.3 tos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
3.6.4 id . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
3.6.5 ipopts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
3.6.6 fragbits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
3.6.7 dsize . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
3.6.8 flags . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
3.6.9 flow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
3.6.10 flowbits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224
3.6.11 seq . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
3.6.12 ack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
3.6.13 window . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
3.6.14 itype . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
3.6.15 icode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 228
3.6.16 icmp id . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 228
3.6.17 icmp seq . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
3.6.18 rpc . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
3.6.19 ip proto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
3.6.20 sameip . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
3.6.21 stream reassemble . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
3.6.22 stream size . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
3.6.23 Non-PayloadDetectionQuickReference . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
3.7 Post-DetectionRuleOptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
3.7.1 logto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
3.7.2 session . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
3.7.3 resp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
3.7.4 react. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
3.7.5 tag. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
3.7.6 activates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
3.7.7 activated by . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
3.7.8 count . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
3.7.9 replace . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
3.7.10 detection filter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
3.7.11 Post-DetectionQuickReference . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
3.8 RuleThresholds . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
7
3.9 WritingGoodRules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
3.9.1 ContentMatching . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
3.9.2 CatchtheVulnerability,NottheExploit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
3.9.3 CatchtheOdditiesoftheProtocolintheRule . . . . . . . . . . . . . . . . . . . . . . . . . . 237
3.9.4 OptimizingRules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
3.9.5 TestingNumericalValues . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 240
4 DynamicModules 243
4.1 DataStructures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
4.1.1 DynamicPluginMeta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
4.1.2 DynamicPreprocessorData . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
4.1.3 DynamicEngineData . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
4.1.4 SFSnortPacket . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
4.1.5 DynamicRules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245
4.2 RequiredFunctions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
4.2.1 Preprocessors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252
4.2.2 DetectionEngine . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252
4.2.3 Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
4.3 Examples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
4.3.1 PreprocessorExample . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
4.3.2 Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
5 SnortDevelopment 259
5.1 SubmittingPatches . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
5.2 SnortDataFlow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
5.2.1 Preprocessors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
5.2.2 DetectionPlugins . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
5.2.3 OutputPlugins . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
5.3 Unified2FileFormat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
5.3.1 SerialUnified2Header . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
5.3.2 Unified2Packet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
5.3.3 Unified2IDSEvent. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
5.3.4 Unified2IDSEventIP6 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
5.3.5 Unified2IDSEvent(Version2) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
5.3.6 Unified2IDSEventIP6(Version2) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
5.3.7 Unified2ExtraData . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
5.3.8 DescriptionofFields . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
5.4 Bufferdumputility . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
5.4.1 ExampleBufferDumpoutput . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
5.5 TheSnortTeam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
8
Chapter 1
Snort Overview
ThismanualisbasedonWritingSnortRulesbyMartinRoeschandfurtherworkfromChrisGreen<[email protected]>.
ItwasthenmaintainedbyBrianCaswell<[email protected]>andnowismaintainedbytheSnortTeam. Ifyouhave
a better way to say something or find that something in the documentationis outdated, drop us a line and we will
updateit. Ifyouwouldliketosubmitpatchesforthisdocument,youcanfindthelatestversionofthedocumentation
inLATEXformatinthemostrecentsourcetarballunder/doc/snort_manual.tex. Smalldocumentationupdatesare
theeasiestwaytohelpouttheSnortProject.
1.1 Getting Started
Snortreallyisn’tveryhardtouse,buttherearealotofcommandlineoptionstoplaywith,andit’snotalwaysobvious
whichonesgotogetherwell. ThisfileaimstomakeusingSnorteasierfornewusers.
Beforeweproceed,thereareafewbasicconceptsyoushouldunderstandaboutSnort.Snortcanbeconfiguredtorun
inthreemodes:
• Sniffer mode, which simply reads the packets off of the network and displays them for you in a continuous
streamontheconsole(screen).
• PacketLoggermode,whichlogsthepacketstodisk.
• Network Intrusion Detection System (NIDS) mode, which performsdetection and analysis on network traffic.
Thisisthemostcomplexandconfigurablemode.
1.2 Sniffer Mode
First,let’sstartwiththebasics. IfyoujustwanttoprintouttheTCP/IPpacketheaderstothescreen(i.e.sniffermode),
trythis:
./snort -v
ThiscommandwillrunSnortandjustshowtheIPandTCP/UDP/ICMPheaders,nothingelse. Ifyouwanttoseethe
applicationdataintransit,trythefollowing:
./snort -vd
ThisinstructsSnorttodisplaythepacketdataaswellastheheaders. Ifyouwantanevenmoredescriptivedisplay,
showingthedatalinklayerheaders,dothis:
9
