Snort で ping フラッド攻撃を検出しようとしています。ルールを入れました
(drop icmp any any -> any any (itype:8; threshold, track by_src, count 20, seconds; msg:"Ping flood attack detected"; sid:100121))
Snort の ddos.rule ファイル内。
コマンドで攻撃してる
hping3 -1 --fast
攻撃マシンのping統計は次のように述べています
100% パケットロス
ただし、Snort アクションの統計は、評決を次のように示しています。
ブロック ->0。
なぜこうなった？