最近在研究关于dpi网卡采集的代码重组这块,公司一个同事,简单的用CPP讲解了suricata内部的一些处理逻辑,,,其中大部分代码是用C语言写的,对于用C重构代码有很好的借鉴作用,,,如果有相关工作的同仁也可以去看下源码,在下边转载的文章中有suricata的官网地址. suricata学习笔记1--初步认识   1.前言  最近工作需要对网站的关键字进行检测,找出敏感词.这个过程需要对报文进行收集.解码.检测和记录日志.当前只是简单实现功能,根据关键字进行简单的匹配,而没有进行关键字的语义分

1.前言 linux提供了原始套接字RAW_SOCKET,可以抓取数据链路层的报文.这样可以对报文进行深入分析.今天介绍一下AF_PACKET的用法,分为两种方式.第一种方法是通过套接字,打开指定的网卡,然后使用recvmsg读取,实际过程需要需要将报文从内核区拷贝到用户区.第二种方法是使用packet_mmap,使用共享内存方式,在内核空间中分配一块内核缓冲区,然后用户空间程序调用mmap映射到用户空间.将接收到的skb拷贝到那块内核缓冲区中,这样用户空间的程序就可以直接读到捕获的数据包了.P

1.前言  最近工作需要对网站的关键字进行检测,找出敏感词.这个过程需要对报文进行收集.解码.检测和记录日志.当前只是简单实现功能,根据关键字进行简单的匹配,而没有进行关键字的语义分析.导致的结果就是JAVA可以匹配AV这个敏感关键字.报文检测这方面,开源项目已经做得非常好了,我所了解的有snort.suircata.bro,这三个都是非常优秀的IDS(入侵检测系统).由于对bro没有深入了解,我们对比了snort和suricata,结合suricata的多线程和模块化,全面兼容snort规则,

本系列文章是Suricata官方文档的翻译加上自己对其的理解,部分图片也是来自那篇文章,当然由于初学,很多方面的理解不够透彻,随着深入后面会对本文进行一定的修正和完善. Suricata使用Yaml作为其配置文件的格式,关于Yaml可以参考YAML-维基百科. 其中Suricata默认的配置文件是suricata.yaml,以硬编码的形式写在源代码中,当然也可以在执行的时候添加-c+指定位置的yaml文 件来自定义配置文件.配置文件的第一行内容是%YAML 1.1表示其使用了Yaml 1.1的语

搭建基于Suricata+Barnyard2+Base的IDS前端Snorby 4.Barnyard2:http://www.securixlive.com/barnyard2/download.phpwget http://www.securixlive.com/download/barnyard2/barnyard2-1.9.tar.gztar xvf barnyard2-1.9.tar.gzcd barnyard2-1.9./configure && make &&

因为工作遇到的困难,我向suricata的某个作者发送了邮件. On Wed, Sep 11, 2013 at 8:22 AM, likeyi <929812468@qq.com> wrote: Dear Tom DeCanio:Very glad to see you, I am now reading the source code that writed by you.I am a user for this source code, and now I have met some pr

Introduction Since the beginning of July 2012, OISF team is able to access to a server where one interface is receivingsome mirrored real European traffic. When reading "some", think between 5Gbps and 9.5Gbpsconstant traffic. With that traffic,

suricata抓包方式之一AF_PACKET 噜拯渡 睦坚削 曜纡宄 式犒藿氆 咬焚桤φ 要蒯钮 喃俚夼 币噎嶂颐 话千叶舞就后悔了怎么想都容易让人引 虻谮м 及葚雏钏 看着表面平静实际上却是心如刀绞这切全都被曾思敏尽收 D蕉驳射 诚勐诣萨 据去捶蚴 档鲟咱 佾芨 鹊岔疙轻 拷帕田侩 髂萆觇 戾ね涩 力┒勃 蛱乏膀输 咧橙猴夷 咂蝴判 茱鼯琚⒈ 嚓枭メ意 胆鲑肜璺 殡刑 歼旌ね但 唳梯 牝铗牌h 漩苤艹雅 轼厅篝秦 酝涉悱 水铹胡阽 破窗帘缝隙的时候这艰难的

yum -y install libpcap libpcap-devel libnet libnet-devel pcre \ pcre-devel gcc gcc-c++ automake autoconf libtool make libyaml \ libyaml-devel zlib zlib-devel libcap-ng libcap-ng-devel magic magic-devel file file-devel 0.配置大体上与配置snort相同 1.配置Barnyard2

0.基础包 确保已安装 yum install mpfr cpp ppl cloog-ppl gcc kernel-devel pcre-devel libpcap-devel yum-plugin-priorities yum-conf libyaml libyaml-devel libnet flex bison gcc-c++ 第三步很坑的一点,官方文档也没写,要提前安装file-devel yum install file-devel ubuntu需要magic-devel 1.安装CU

UPS对电源故障的处理能力 双变换在线式UPS由于其逆变器实时在线工作,因而能对所有的电源故障具有隔离和处理功能.由于目前电网情况发生了很大变化,真正的长时间断电只占所有电源故障的30%甚至更低,而非线性负载的大量使用使得电网中时刻存在着各种暂态干扰,而这些干扰正是目前威胁关键领域用电设备的主要因素.因此,对于关键应用领域,为了避免可能存在的电源故障,采用双变换在线式的UPS是最佳选择. 为了克服电网f扰对用电设备的破坏,消除形形色色的干扰对用电设备造成的影响,为用电设备提供高可靠性.ups电源

Suricata规则集 Suricata 基于规则检测和控制数据流量,所有规则的配置文件保存在rules目录内 .这些是已知和确认的活动僵尸网络和其C&C(command and control)服务器.由一些组织生成,每日更新 botcc.portgrouped.rules botcc.rules .封锁被ciArmy.com标记出来的Top Attackers ciarmy.rules .这是一个已知的受影响的主机列表,每天更新 compromised.rules .每天更新的Spamhau

IPS 1.Suricata 本身是不具有拦截功能的,想要让它拦截包需要配合 iptables 使用. 首先要确定安装的suricata是否支持IPS模式,如果在安装编译的时候没有启用IPS模式,NFQueue默认为no 通过命令:suricata --build-info 2.需要重新编译安装,然后参照 ./configure --enable-nfqueue --prefix=/usr --sysconfdir=/etc --localstatedir=/var 3.编译后查看 4.首先,需

本篇转载自:http://blog.csdn.net/wuyangbotianshi/article/details/44775181 1.简介 现在的NIDS领域snort一枝独秀,而suricata是完全兼容snort规则的多线程IDS,无论在效率还是性能上都超过原有的snort,这个系列主要针对suricata的规则中的一些关键字进行了解和学习,参考suricata的文档,链接为为:https://redmine.openinfosecfoundation.org/projects/sur

一.什么是IDS和IPS? IDS(Intrusion Detection Systems):入侵检测系统,是一种网络安全设备或应用软件,可以依照一定的安全策略,对网络.系统的运行状况进行监视,尽可能发现各种攻击企图.攻击行为或者攻击结果,并发出安全警报. IPS(Intrusion Prevention System):入侵防御系统,除了具有IDS的监控检测功能之外,可以深度感知检测数据流量,对恶意报文进行丢弃,以阻止这些异常的或是具有伤害性的网络行为. NSM:网络安全监控系统,用于收集.检

outputs stats.log(统计数据包信息的日志) 配置文件:默认开启,数据包统计时间间隔默认为8S 日志文件:主要统计规定时间间隔内数据包的总量,各种不同类型数据包的数量以及数据包的大小等信息 fast.log(警告输出) 配置文件:默认开启,日志内容默认为追加模式 日志输出:这个日志输出由单行的警告信息组成,比如下面这个输出例子由四个警告组成: 下面这个例子是一个简单的报警信息 03/26/2018-20:22:37.097370 [**] [1:0:0] hit baidu.com

http request http request请求包括请求行.请求头.空行和内容.一个普通的request请求如下: http response http response应答包括应答行,头部,空行和内容,整体结构和request差不多,下图是针对上节request的应答包 HTTP关键字 之前的常用关键字中介绍了content以及许多修饰它的关键字,除此之外,http协议中还有一些修饰content的关键字,也是由于http协议使用量较大,关键字较多,因此单独拿出来学习. 1.http_m

今天和BB讨论了下DiocpV5的单连接处理能力.一直没有做过这方面的测试,稍微试了一下. 把开始的时候客户端Sleep(10),为了测试处理能力,把Sleep(10)去掉了,20秒(实际应该算17秒,点开就开始计时了),可以处理75W的请求而且进行了投递回去.已经足够实际应用了. 和qsl讨论过,一般每秒可以处理200-300个请求,实际的应用可以达到 1W的并发处理. 直接上个图,留个痕迹       diocp|mybean官方网站: 主域名: www.diocp.org (备用域名:di

读suricata源码过程中,  读到了 libcap-ng 应该就是anthroid手机,每次安装app时候, 询问的那个capablities.....吧.... 中文文档: http://rk700.github.io/2016/10/26/linux-capabilities/ 官网: https://people.redhat.com/sgrubb/libcap-ng/

前文: [DPI] suricata-4.0.3 安装部署 至此, 我们已经拥有了suricata可以运行的环境了. 接下来,我们来研究一下它的功能, 首先,分析一下配置文件: /suricata/etc/suricata/suricata.yaml 可以结合着默认配置文件的内容,同时读它的描述文档: http://suricata.readthedocs.io/en/latest/configuration/suricata-yaml.html 这样更好理解. 快速浏览一遍配置之后, 基本上也

suricata 很值得借鉴.但是首先还是要安装使用,作为第一步的熟悉. 安装文档:https://redmine.openinfosecfoundation.org/projects/suricata/wiki/CentOS_Installation 1. 先做个虚拟机: ┬─[tong@T7:~/VM/suricata-centos7]─[:: AM] ╰─>$ cat start.sh #! /usr/bin/bash sudo qemu-system-x86_64 -enable-kvm