Rules in Snort Syntax nicht richtig??

[Antonow B. (antonow)]

ich bin mal wieder blind. Kann mir jmd kurz auf die Sprünge helfen?


vim zeigt mir ein match zwischen den beiden Klammern an

[Antonow B. (antonow)]

niemand?

[Michael D. (nospam2000)]

ich kenne die Snort Syntax nicht, aber wenn beide Zeilen gleich aussehen 
und nur die zweite Zeile angemeckert wird, dann liegt der Fehler 
vielleicht in der ersten Zeile.

Fehlt vielleicht was in der ersten Zeile um die Rule abzuschließen?

[Antonow B. (antonow)]

Michael D. schrieb:
> ich kenne die Snort Syntax nicht, aber wenn beide Zeilen gleich
> aussehen
> und nur die zweite Zeile angemeckert wird, dann liegt der Fehler
> vielleicht in der ersten Zeile.
>
> Fehlt vielleicht was in der ersten Zeile um die Rule abzuschließen?

ja, war auch mein erster Gedankengang. Aber ich würde mi 99% Sicherheit 
sagen, dass dem nicht so ist. Im Gegenteil, jede Zeile steht für sich 
und um Zeilen zu verbinden, nutzt man backslash

es sei denn es gibt da eine Besonderheit von vim...

[Stefan F. (Gast)]

Beide Zeilen enden mit geschlossenen Klammern. Ich sehe keine geöffneten 
Klammern.

[Antonow B. (antonow)]

Stefan ⛄ F. schrieb:
> Beide Zeilen enden mit geschlossenen Klammern. Ich sehe keine
> geöffneten
> Klammern.

verstehe ich nicht. geöffnete Klammer ist am Beginn der Rule option. 
Oder was meinst du?

[Rolf M. (rmagnus)]

Ich kenne mich mit snort nicht aus, aber im Manual steht über Regeln 
das:

alert tcp any any -> 192.168.1.1 80 ( msg:"A ha!"; content:"attack"; sid:1; )

The structure is:

action proto source dir dest ( body )

Where:

action - tells Snort what to do when a rule "fires", ie when the signature matches. In this case Snort will log the event. It can also do thing like block the flow when running inline.

proto - tells Snort what protocol applies. This may be ip, icmp, tcp, udp, http, etc.

source - specifies the sending IP address and port, either of which can be the keyword any, which is a wildcard.

dir - must be either unidirectional as above or bidirectional indicated by <>.

dest - similar to source but indicates the receiving end.

body - detection and other information contained in parenthesis.

In deinen Regeln sehe ich keinen Ziel-Port. Liegt da vielleicht das 
Problem?

[Stefan F. (Gast)]

Antonow B. schrieb:
> geöffnete Klammer ist am Beginn der Rule option.

Oh, habe ich übersehen. Das Licht war ungünstig, oder so :-)

(Ich glaube ich kann bald nicht mehr an dem kleinem Laptop arbeiten. Alt 
werden ist nicht schön.)

[Antonow B. (antonow)]

Rolf M. schrieb:

> In deinen Regeln sehe ich keinen Ziel-Port. Liegt da vielleicht das
> Problem?

verdammt, du hast Recht, ist mir durch die Lappen gegangen