Linux-Systemadministration: Einrichtung, Verwaltung, by Jochen Hein

Show description

Offset: ""; Die nächste Erweiterung der content-Option stellt depth dar. Bei der offsetOption haben wir gesehen, dass Sie den Startpunkt verändern können, depth bietet Ihnen nun die Möglichkeit den vorzeitigen Endpunkt der Suche anzugeben. Dies erscheint besonders sinnvoll, wenn Sie ein Paket nach dem String »cgi-bin/phf« durchsuchen, da es bei einer solchen Suche nicht nötig ist selbige nach den ersten 20 Bytes fortzusetzen. Wieder werden wir diese Option anhand eines Beispiels illustriert sehen.

Icode: ; Die session-Option kann dazu benutzt werden, um vom User eingegebene Daten einer TCP-Verbindung (Telnet, FTP, rlogin oder Web) abzufangen und auszuwerten. Dabei kann man zwei Modi verwenden: printable und all. Beim ersten Modus (printable) werden nur die Daten aufgezeichnet, die der User auch wirklich eingeben oder sehen kann. Der all-Modus arbeitet anders. Er zeichnet alles auf, auch die Daten, die der User nicht sehen kann. Man sollte hierbei aber sehr vorsichtig sein, da dieser Modus sehr an der Performance nagt.

Direction Die Verwendung dieses Arguments ist nur sinnvoll im Zusammenhang mit dem host-tag. Benutzen Sie src und dst um festzulegen, welche IP-Adresse des Pakets das Anhängen des Alarms verursacht hat. Zum besseren Verständnis werfen Sie einen Blick auf die folgenden Beispiele. $HOME_NET any -> $HOME_NET 23 (flags: S; tag: session, 10, seconds; msg: "incoming telnet session";) Die ip_proto-Option erlaubt es, Pakete bezüglich ihres Protokolls zu überprüfen. Um eine vollständige Liste aller Protokolle zu bekommen, können Sie die Datei /etc/protocols zu Rate ziehen.