snort的規則的目的

Question

所以，例如，爲什麼我需要scan.rules當有像sfportscan預處理器？是否因爲預處理器無法檢測到所有活動，因此使用具有衆所周知的網絡攻擊特徵的規則來檢測引擎，試圖找到匹配？但也有preproc規則，所以我現在有點困惑。所以預處理器使用他們自己的規則，然後有正常的規則，以防這些預處理規則中找不到匹配？

謝謝你的回答。

Answer 1

預處理器規則用於啓用或禁用（或更改）由預處理器觸發的事件。見snort manual。

scan.rules文件與sfportscan預處理器無關。這是一個容器文件，用於保存檢測可能的掃描事件的規則。這簡化了不需要整個規則集的用戶的排除/包含規則。