snort rule 설정 시 주의할 점

실습> snort rule 설정 시 주의점!!!

!!! 참고 !!!
룰을 작성할 때 여러 줄을 이용해서 작성한다면 반드시 \ 를 넣어서 만들어줘야 한다.

-T : 테스트 옵션
-c : 설정파일 옵션

1. 정상적으로 설정된 룰
e.g. 라인 끝에 \가 있기 때문에 룰 에러가 발생하지 않는다.
Victim2# cat rules/local.rules 
alert icmp any any -> 192.168.108.100 any ( \
           msg:"ICMP ping test"; \
           sid: 1000001;)

설정파일을 테스트하면 정상적이면 아래처럼 메세지가 나온다.
Victim2# snort -T -c /etc/snort/snort.conf 
  :
  :(생략)
Snort successfully validated the configuration!
Snort exiting

2. 잘못된 설정된 룰
e.g. 라인 끝에 \가 없기 때문에 룰 에러가 발생한다.
Victim2# cat rules/local.rules 
alert icmp any any -> 192.168.108.100 any ( 
           msg:"ICMP ping test"; 
           sid: 1000001;)

설정파일을 테스트하면 잘못된 설정이므로 아래처럼 메세지가 나온다.
Victim2# snort -q -T -c /etc/snort/snort.conf 
ERROR: /etc/snort/rules/local.rules(1) Rule options must be enclosed in '(' and ')'.
Fatal Error, Quitting..