suricata - Suricata 条件付きアラート

Question

Suricataについて質問です

条件付きアラートを作成する方法はありますか?

例 - リクエストに対するサーバーステータスが「成功」の場合の HTTP GET のアラート

ありがとう、エフラット

Answer 1

すべてのアラートは、ルールの条件によってトリガーされるため、条件付きです。

http のステータス メッセージに一致するルールは次のようになります。

アラート http any any -> any any (content:"success"; http_stat_msg; sid:12345;)

https://redmine.openinfosecfoundation.org/projects/suricata/wiki/HTTP-keywords#http_stat_msgを参照してください