SO rules are written using the C programming language. We give you the means to write your own function that gets called whenever your rule is checked. Ultimately, you would still do some computation and report "Match" or "No Match", but you can get really creative. We also give you functions to access the detection plugins, so you can check/set flowbits, use PCRE, etc.<br>
<br>I would highly suggest only writing SO rules if you cannot accomplish your goals with normal Snort rules. For a silly example, if you wanted to alert when the payload is a palindrome, it would be much simpler to write a palindrome-checking C function and put it in an SO rule.<br>
<br>For more information about the API, check out the "Dynamic Modules" section of the Snort manual:<br><a href="http://www.snort.org/docs/snort_htmanuals/htmanual_2832/node403.html">http://www.snort.org/docs/snort_htmanuals/htmanual_2832/node403.html</a><br>
<br>For a couple example rules, download the Snort source code and look in "src/dynamic-examples/dynamic-rule/".<br><br>If you hit any snags after reading up on this stuff, I'll be here.<br><br>--Ryan<br><br>
<div class="gmail_quote">On Tue, Mar 24, 2009 at 12:33 PM, Mnemonyss <span dir="ltr"><<a href="mailto:mnemonyss@...11827...">mnemonyss@...14540...27...</a>></span> wrote:<br><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
I just wanted to get a little more information on what exactly the SO<br>
format of the rules in 2.6 and later will do exactly.<br>
I keep reading that one can write more complex rules using it.<br>
<br>
Does this mean I can write a rule that instead of just looking for a<br>
keyword and alerting, it can do more?<br>
<br>
To keep it simple something like :<br>
For all traffic encountered matching A but not C and D and F then alert?<br>
<br>
I'm still trying to find more documentation on this and having a hard<br>
time. Please point me in the right direction.<br>
<br>
Thank you,<br>
<br>
Alicia<br>
<br>
------------------------------------------------------------------------------<br>
Apps built with the Adobe(R) Flex(R) framework and Flex Builder(TM) are<br>
powering Web 2.0 with engaging, cross-platform capabilities. Quickly and<br>
easily build your RIAs with Flex Builder, the Eclipse(TM)based development<br>
software that enables intelligent coding and step-through debugging.<br>
Download the free 60 day trial. <a href="http://p.sf.net/sfu/www-adobe-com" target="_blank">http://p.sf.net/sfu/www-adobe-com</a><br>
_______________________________________________<br>
Snort-users mailing list<br>
<a href="mailto:Snort-users@lists.sourceforge.net">Snort-users@...4626...ceforge.net</a><br>
Go to this URL to change user options or unsubscribe:<br>
<a href="https://lists.sourceforge.net/lists/listinfo/snort-users%0ASnort-users" target="_blank">https://lists.sourceforge.net/lists/listinfo/snort-users<br>
Snort-users</a> list archive:<br>
<a href="http://www.geocrawler.com/redir-sf.php3?list=snort-users" target="_blank">http://www.geocrawler.com/redir-sf.php3?list=snort-users</a><br>
</blockquote></div><br>