问题描述
我正在配置 SnorT 以提醒可能的 SYN DDoS 攻击。我添加了本地规则警报：alert tcp any any -> $HOME_NET 80 (flags: S; msg:"Possible SYN DDoS"; detection_filter: track by_src,count 70,seconds 10; sid:10000002; rev:002;)。
它工作正常，但我收到了很多警报。
我正在使用 hping3 MACHINE_IP --flood -p 80 -S 攻击我自己的机器，在前 70 条之后，我收到每条 SYN 消息的一个警报，这太多了，我无法区分 SYN DDoS 之间的其他警报。
我想知道是否有任何方法可以针对试图攻击我的机器的每个不同 ip 只收到一个警报。
如果我使用 threshold: type both 而不是 detection_filter，我每 10 秒收到一个警报，女巫会好得多，但 threshold 似乎已被弃用。 我还想了解为什么使用已弃用的方式会减少警报。
谢谢！
解决方法
暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！
如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。
小编邮箱:dio#foxmail.com (将#修改为@）