suricata-rules-basics
Core building blocks of Suricata signatures and multi-condition DPI logic
Installation
Pick a client and clone the repository into its skills directory.
Installation
About this skill
Core building blocks of Suricata signatures and multi-condition DPI logic
How to use
Zainstaluj skill suricata-rules-basics w swoim środowisku benchflow-ai, klonując repozytorium z gałęzi main i wskazując ścieżkę do katalogu skills.
Zapoznaj się z anatomią reguły alert: każda reguła zawiera identyfikator sid (unikalny numer), rewizję rev, oraz warunki logiczne w nawiasach. Zwróć uwagę na strukturę: protokół, adresy źródłowe/docelowe, porty, a następnie blok warunków.
Naucz się używać flow do ograniczenia kierunku ruchu — na przykład flow:established,to_server oznacza połączenie nawiązane, ruch w kierunku serwera. To zapobiega fałszywym alarmom na niezwiązanym ruchu.
Opanuj content matching dla stałych sekwencji bajtów oraz dodawaj modyfikatory/buffery zależne od protokołu. Dla HTTP używaj sticky bufferów takich jak http.method (metoda żądania), http.uri (ścieżka), http.header (nagłówki) lub http_client_body (treść żądania).
Zastosuj PCRE (wyrażenia regularne) gdy potrzebujesz wzorców bardziej złożonych, na przykład pcre:"/[0-9a-fA-F]{64}/" do dopasowania 64 znaków heksadecymalnych. Łącz PCRE z bufferami, aby zawęzić zakres wyszukiwania.
Podczas budowania reguł zacznij od ścisłych warunków (metoda, ścieżka, nagłówek), a następnie dodaj sprawdzenia treści. Unikaj zbyt ogólnych reguł, które mogą alertować na niezwiązany ruch — zachowaj msg konkretny i czytelny.