每个 SNORT 规则只有一个警报

问题描述

我正在配置 SnorT 以提醒可能的 SYN DDoS 攻击。我添加了本地规则警报：alert tcp any any -> $HOME_NET 80 (flags: S; msg:"Possible SYN DDoS"; detection_filter: track by_src,count 70,seconds 10; sid:10000002; rev:002;)。@H_502_3@

它工作正常，但我收到了很多警报。@H_502_3@

我正在使用 hping3 MACHINE_IP --flood -p 80 -S 攻击我自己的机器，在前 70 条之后，我收到每条 SYN 消息的一个警报，这太多了，我无法区分 SYN DDoS 之间的其他警报。 @H_502_3@

我想知道是否有任何方法可以针对试图攻击我的机器的每个不同 ip 只收到一个警报。@H_502_3@

如果我使用 threshold: type both 而不是 detection_filter，我每 10 秒收到一个警报，女巫会好得多，但 threshold 似乎已被弃用。 我还想了解为什么使用已弃用的方式会减少警报。@H_502_3@

谢谢！@H_502_3@

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）