Contents

1 Snort概説
	1.1 さあ始めよう
	1.2 スニッファーモード
	1.3 パケットロガーモード
	1.4 ネットワーク不正侵入検知モード
		1.4.1 NIDSモード出力オプション
		1.4.2 高性能設定
		1.4.3 アラート順序の変更
	1.5 その他
	1.6 詳細情報
2 Snortルールを書く 正しいSnortルールの記述方法
	2.1 基本
		2.1.1 Include文
		2.1.2 変数
			2.1.2.1 書式
		2.1.3 設定
			2.1.3.1 書式
			2.1.3.2 ディレクティブ
	2.2 ルールヘッダ
		2.2.1 ルールアクション
		2.2.2 プロトコル
		2.2.3 IPアドレス
		2.2.4 ポート番号
		2.2.5 方向演算子
		2.2.6 Activate/Dynamicルール
	2.3 ルールオプション
			2.3.0.1 利用可能なキーワード
		2.3.1 Msg
			2.3.1.1 書式
		2.3.2 Logto
			2.3.2.1 書式
		2.3.3 TTL
			2.3.3.1 書式
		2.3.4 TOS
			2.3.4.1 書式
		2.3.5 ID
			2.3.5.1 書式
		2.3.6 Ipoption
			2.3.6.1 書式
		2.3.7 Fragbits
			2.3.7.1 書式
		2.3.8 Dsize
			2.3.8.1 書式
		2.3.9 Content
			2.3.9.1 書式
		2.3.10 Offset
			2.3.10.1 書式
		2.3.11 Depth
			2.3.11.1 書式
		2.3.12 Nocase
			2.3.12.1 書式
		2.3.13 Flags
			2.3.13.1 書式
		2.3.14 Seq
			2.3.14.1 書式
		2.3.15 Ack
			2.3.15.1 書式
		2.3.16 Window
			2.3.16.1 書式
		2.3.17 Itype
			2.3.17.1 書式
		2.3.18 Icode
			2.3.18.1 書式
		2.3.19 Session
			2.3.19.1 書式
		2.3.20 Icmp_id
			2.3.20.1 書式
		2.3.21 Icmp_seq
			2.3.21.1 書式
		2.3.22 RPC
			2.3.22.1 書式
		2.3.23 Resp
			2.3.23.1 書式
			2.3.23.2 注意
		2.3.24 Content-list
			2.3.24.1 書式
		2.3.25 React
			2.3.25.1 書式
		2.3.26 Reference
			2.3.26.1 書式
		2.3.27 Sid
			2.3.27.1 書式
		2.3.28 Rev
			2.3.28.1 書式
		2.3.29 Classtype
			2.3.29.1 書式
		2.3.30 Priority
			2.3.30.1 書式
		2.3.31 Uricontent
			2.3.31.1 書式
		2.3.32 Tag
			2.3.32.1 書式
		2.3.33 IP proto
			2.3.33.1 書式
		2.3.34 Same IP
			2.3.34.1 書式
		2.3.35 Regex
		2.3.36 Flow
			2.3.36.1 書式
		2.3.37 Fragoffset
			2.3.37.1 書式
		2.3.38 Rawbytes
			2.3.38.1 書式
		2.3.39 distance
			2.3.39.1 書式
		2.3.40 Within
			2.3.40.1 書式
		2.3.41 Byte_Test
			2.3.41.1 書式
		2.3.42 Byte_Jump
			2.3.42.1 書式
	2.4 プリプロセッサ
		2.4.1 HTTP デコード
			2.4.1.1 書式
		2.4.2 Portscan Detector
			2.4.2.1 Snort Portscan プリプロセッサの機能
			2.4.2.2 書式
		2.4.3 Portscan Ignorehosts
			2.4.3.1 書式
		2.4.4 Frag2
			2.4.4.1 書式
		2.4.5 Stream4
			2.4.5.1 Stream4形式
			2.4.5.2 Stream4_Reassemble形式
			2.4.5.3 注
		2.4.6 Conversation
		2.4.7 Portscan2
			2.4.7.1 書式
		2.4.8 Portscan2 Ignoreports
			2.4.8.1 書式
			2.4.8.2 例
		2.4.9 Telnet デコード
			2.4.9.1 書式
		2.4.10 RPC デコード
			2.4.10.1 書式
		2.4.11 Perf Monitor
		2.4.12 Http Flow
	2.5 出力モジュール
		2.5.1 Alert_syslog
			2.5.1.1 有効なキーワード
			2.5.1.2 書式
		2.5.2 Alert_fast
			2.5.2.1 書式
		2.5.3 Alert_full
			2.5.3.1 書式
		2.5.4 Alert_smb
			2.5.4.1 書式
		2.5.5 Alert_unixsock
			2.5.5.1 書式
		2.5.6 Log_tcpdump
			2.5.6.1 書式
		2.5.7 Database
			2.5.7.1 書式
		2.5.8 CSV
			2.5.8.1 書式
		2.5.9 Unified
			2.5.9.1 書式
		2.5.10 Log Null
			2.5.10.1 書式
	2.6 適切なルールの書き方
3 Snortの開発について
	3.1 パッチの提出
	3.2 Snortデータフロー
		3.2.1 プリプロセッサ
		3.2.2 検知プラグイン
		3.2.3 出力プラグイン