IP 声誉关键字

IP信誉可以通过一个新的规则关键字“iprep”在规则中使用。

1.iprep

iprep指令匹配主机的IP信誉信息。

iprep:<side to check>,<category>,<operator>,<reputation score>

side to check: <any|src|dst|both>

category: 类别简称

operator: <, >, =

reputation score: 1-127

1.2 示例

alert ip $HOME_NET any -> any any (msg:"IPREP internal host talking to CnC server"; flow:to_server; iprep:dst,CnC,>,30; sid:1; rev:1;)

当$HOME_NET中的系统作为客户端与CnC类别中声誉得分设置为大于30的任何IP通信时，此规则将发出警报。

1.3  IP-only

“iprep”关键字与““IP-only”规则兼容。这意味着一个规则像:

alert ip any any -> any any (msg:"IPREP High Value CnC"; iprep:src,CnC,>,100; sid:1; rev:1;)

每个流向只检查一次。