如何解决每个 SNORT 规则只有一个警报
我正在配置 SnorT 以提醒可能的 SYN DDoS 攻击。我添加了本地规则警报:alert tcp any any -> $HOME_NET 80 (flags: S; msg:"Possible SYN DDoS"; detection_filter: track by_src,count 70,seconds 10; sid:10000002; rev:002;)
。
它工作正常,但我收到了很多警报。
我正在使用 hping3 MACHINE_IP --flood -p 80 -S
攻击我自己的机器,在前 70 条之后,我收到每条 SYN 消息的一个警报,这太多了,我无法区分 SYN DDoS 之间的其他警报。
我想知道是否有任何方法可以针对试图攻击我的机器的每个不同 ip 只收到一个警报。
如果我使用 threshold: type both
而不是 detection_filter
,我每 10 秒收到一个警报,女巫会好得多,但 threshold
似乎已被弃用。 我还想了解为什么使用已弃用的方式会减少警报。
谢谢!
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。