解釋snort日誌

Question

我是snort的新手，我通過.cap文件運行snort並獲取了我應該解釋的日誌。如果採取例如日誌塊像下面這樣：

[**] [1:2463:7] EXPLOIT IGMP IGAP message overflow attempt [**] 
[Classification: Attempted Administrator Privilege Gain] [Priority: 1] 
05/29-19:44:02.238185 249.94.153.251 -> 249.94.153.77 
IGMP TTL:255 TOS:0x0 ID:9744 IpLen:20 DgmLen:502 MF 
Frag Offset: 0x1FFF Frag Size: 0x01E2 
[Xref => http://cve.mitre.org/cgi-bin/cvename.cgi?name=2004-0367][Xref => http://cve.mitre.org/cgi-bin/cvename.cgi?name=2004-0176][Xref => http://www.securityfocus.com/bid/9952] 

我可以說，這是拒絕服務的嘗試警報，但什麼其他信息呢？請問你能幫幫我嗎。

Answer 1

那麼，讓我們先看看當snort規則匹配數據包時顯示的消息。然後分類也是該規則的一部分，它只是爲了更好的描述。優先級1高2中等3低。然後你有包描述時間，源IP，目的IP，協議，TTL等。最後的外部參照是來自包含已知漏洞的斜接數據庫的攻擊。所有這些參數都可以成爲snort規則的一部分。檢查snort手冊以編寫規則以便更好地理解。