每个标准文本规则和共享对象规则都有一个包含参数的规则报头。下面说明规则报头的组成部分：

下表介绍了规则报头的上述各个部分。

注	与大多数入侵规则一样，以上示例使用默认变量。

构建标准文本规则时，可以包含说明规则在攻击尝试中检测到的漏洞的情景信息。也可以在其中纳入对漏洞数据库的外部参考，以及定义入侵事件在贵公司中具有的优先级。这样，如果分析师发现入侵事件，他们可随时获取有关优先级、漏洞和已知缓解措施的信息。

消息

可以指定规则触发时以消息形式显示的有意义的文本。这类消息使您可以即时了解规则检测的漏洞的性质。可以使用除花括号 ({}) 以外的所有可打印标准 ASCII 字符。系统将移除将消息完全引起来的引号。

提示	必须指定规则消息。此外，消息不能只包含空白字符、一个或多个引号、一个或多个撇号或者仅由空白字符、引号或撇号组成的任意组合。

要在入侵规则编辑器中定义事件消息，请在消息 (Message) 字段中输入事件消息。

分类

对于每个规则，可以指定事件数据包显示中出现的攻击分类。下表列出了每种分类的名称和编号。

自定义分类

如果您希望事件的数据包显示说明的更多自定义内容由您定义的规则生成，则可以创建自定义分类。

自定义优先级

默认情况下，规则的优先级来源于其事件分类。但是，可以通过向规则中添加 priority 关键字并选择高、中或低优先级来覆盖规则的分类优先级。例如，要为检测 Web 应用攻击的规则分配高优先级，请向该规则中添加 priority 关键字，并选择高 (high) 作为优先级。

自定义参考

可以使用 reference 关键字添加对外部网站以及对关于事件的其他信息的参考。添加参考使分析师可以随时获得所需的资源，从而帮助他们确定数据包触发规则的原因。下表列出了一些可提供关于已知漏洞和攻击的数据的外部系统。

bugtraq

8550

cve

2020-9607

mcafee

98574

url

www.example.com?exploit=14

msb

MS11-082

nessus

10039

secure-url

intranet/exploits/exploit=14

通过输入参考值指定参考，如下所示：

id_system,id

其中，id_system 是用作前缀的系统，id 是 CVE ID 编号、Arachnids ID 或 URL（不包含 http://）。

例如，要指定 CVE-2020-9607 中记录的 Adobe Acrobat 和 Reader 问题，请输入值：

cve,2020-9607

向规则添加参考时应注意以下几点：

• 逗号后不能有空格。

• 系统 ID 不能是大写字母。

过滤器可以包含特殊关键字及其参数、字符串和用引号引起来的文字字符串，多个过滤器条件之间用空格隔开。过滤器不能包含正则表达式、通配符或任何特殊运算符，例如取反字符 (!)、大于号 (>) 和小于号 (<) 等。

所有关键字、关键字参数和字符串都不区分大小写。除关键字 gid 和 sid 之外，所有参数和字符串都被视为部分字符串。gid 和 sid 的参数只会返回完全匹配项。

您可以在未经过滤的原始页面上展开某个文件夹，如果后续过滤器返回该文件夹中的匹配项，该文件夹将会保持展开。这对于在包含大量规则的文件夹中搜索规则可能有用。

不能使用后续过滤器限制任何过滤器。输入的任何过滤器都会搜索整个规则数据库并返回所有匹配的规则。当您在页面仍显示上一过滤器的结果时输入过滤器，页面将清空，转而返回新过滤器的结果。

您可以对已过滤或未过滤列表中的规则使用相同的功能。例如，可以编辑入侵规则编辑器页面上经过过滤或未经过滤的列表中的规则。您也可以使用该页面上下文菜单中的任何选项。

提示	如果所有子组中的总规则数量很大，过滤所需的时间可能大大增加，因为规则显示在多个类别中，即使唯一规则的总数少很多也是如此。

每个规则过滤器都可以包含一个或多个关键字，其格式如下：

keyword:argument

其中，关键字是下表中的其中一个关键字，参数是要在与该关键字相关的一个或多个指定字段中搜索的一个字母数字字符串，不区分大小写。

除 gid 和 sid 之外，所有关键字的参数都会被视为部分字符串。例如，参数 123 将返回 "12345"、"41235"、"45123” 等。gid 和 sid 的参数只会返回完全匹配项；例如，sid:3080 只会返回结果 SID 3080。

提示	使用一个或多个字符串来进行过滤可以搜索部分 SID。

下表介绍了可以用于过滤规则的特定过滤关键字和参数。

arachnids

arachnids:181

bugtraq

bugtraq:2120

cve

cve:2003-0109

gid

gid:3

mcafee

mcafee:10566

msg

msg:chat

nessus

nessus:10737

ref

ref:MS03-039

sid

sid:235

url

url:faqs.org

每个规则过滤器可以包含一个或多个字母数字字符串。字符串将搜索规则的消息字段、Snort ID (SID) 和生成器 ID (GID)。例如，字符串 123 会返回规则消息中的 "Lotus123"、"123mania" 等字符串，也会返回 SID 6123、SID 12375 等。

所有字符串都不区分大小写并被视为部分字符串。例如，字符串 ADMIN、admin 或 Admin 中的任意一个都会返回 "admin"、"CFADMIN"、"Administrator” 等等。

用引号将字符串引起来可以返回完全匹配项。例如，用引号引起来的原义字符串 "overflow attempt" 只会返回完全匹配的该字符串，而由 overflow 和 attempt 这两个字符串组成的未加引号的过滤器则会返回 "overflow attempt"、"overflow multipacket attempt"、"overflow with evasion attempt” 等结果。

输入关键字、字符串或这二者的任意组合并以空格分隔可以缩小过滤结果的范围。结果包括符合所有过滤条件的任意规则。

可以按照任意顺序输入多个过滤条件。例如，以下每个过滤器返回的规则相同：

• url:at login attempt cve:200

• login attempt cve:200 url:at

• login cve:200 attempt url:at

使用 content 关键字或 protected_content 关键字可以指定要在数据包中检测的内容。

大多数情况下，应始终在 content 或 protected_content 关键字后面加上修饰符，指示对内容进行搜索的位置、搜索是否区分大小写及其他选项。

请注意，要使规则触发事件，所有内容匹配必须为真，也就是说，每项内容匹配与其他匹配之间都存在 AND 关系。

另请注意，在内联部署中，可以将规则设置为匹配恶意内容并将其更换为您自定义的等长文本字符串。

content

当使用 content 关键字时，规则引擎在数据包负载或数据流中搜索该字符串。例如，如果输入 /bin/sh 作为其中一个 content 关键字的值，则规则引擎会在数据包负载中搜索字符串 /bin/sh。

可以使用 ASCII 字符串、十六进制内容（二进制字节代码）或这两者的组合来匹配内容。可以在关键字值中将十六进制内容放在两条竖线 (|) 之间。例如，可以混合使用十六进制内容和 ASCII 内容，例如，|90C8 C0FF FFFF|/bin/sh。

可以在一个规则中指定多项内容匹配。要这样做，请使用 content 关键字的其他实例。对于各项内容匹配，可以指明必须在数据包负载或数据流中发现内容匹配才可触发规则。

小心	如果创建的规则只包含一个 content 关键字，但没有为该关键字选择 Not 选项，可能会使入侵策略无效。

protected_content

protected_content 关键字使您可以在配置规则参数前对搜索内容字符串进行编码。原始规则作者在配置关键字前使用哈希函数（SHA-512、SHA-256 或 MD5）对字符串进行编码。

如果使用 protected_content 关键字而不使用 content 关键字，规则引擎在数据包负载或数据流中搜索字符串的方式并不会改变，且大多数关键字选项将起到预期作用。下表总结了 protected_content 关键字选项与 content 关键字选项存在差异的例外情况。

思科建议在包含 protected_content 关键字的规则中至少包含一个 content 关键字，以确保规则引擎使用快速模式匹配程序，从而加快处理速度和提高性能。在规则中，content 关键字应置于 protected_content 关键字之前。请注意，如果规则包含至少一个 content 关键字，无论您是否启用 content 关键字的“使用快速模式匹配程序”(Use Fast Pattern Matcher) 参数，规则引擎都会使用快速模式匹配程序。

小心	如果创建的规则只包含一个 protected_content 关键字，但没有为该关键字选择 Not 选项，可能会使入侵策略无效。

可以在内联部署中使用 replace 关键字替换指定内容或替换思科 SSL 设备检测到的 SSL 流量中的内容。

要使用 replace 关键字，请构建一个使用 content 关键字来查找特定字符串的自定义标准文本规则。然后使用 replace 关键字指定一个字符串，以替换该内容。替代值和内容值必须是相同长度的字符串。

注	不能使用 replace 关键字替换 protected_content 关键字中的散列内容。

或者，可以用引号将替代字符串引起来，以便向后兼容以前的 Firepower 系统 软件版本。如果不加引号，替代字符串将被自动添加到规则，以使规则在语法上正确。要将前引号或后引号纳入为替代文本的一部分，必须使用反斜杠对引号进行转义，如以下示例所示：

"replacement text plus \"quotation\" marks""

每个规则可包含多个 replace 关键字，但只能包含一个 content 关键字。仅替代规则发现的内容中的第一个实例。

下面介绍 replace 关键字的使用示例：

• 如果系统检测到传入数据包包含漏洞，您可以使用一个无害字符串来替换该恶意字符串。有时，这种方法比单纯地丢弃违规数据包更有效。在某些攻击场景中，攻击者只需重新发送被丢弃的数据包，直至该数据包绕过网络防御或对网络造成泛洪攻击。通过用一个字符串替换另一个字符串，而不是丢弃数据包，可以哄骗攻击者认为已发动针对不易受攻击的目标的攻击。

• 如果您担心侦测攻击试图了解您是否正在运行易受攻击的 Web 服务器版本（示例），可以检测传出的数据包，并将横幅替换为自己的文本。

注	请确保在要其中使用替换规则的内联入侵规则中将规则状态设置为“生成事件”(Generate Events)；如果将规则设置为“丢弃并生成事件”(Drop and Generate Events)，将会导致数据包被丢弃，进而造成无法替换内容。

在替换字符串的过程中，系统会自动更新数据包校验和，以便目标主机可准确收到该数据包。

请注意，不能将 replace 关键字与 HTTP 请求消息的 content 关键字选项结合使用。

byte_jump 关键字首先计算指定字节段中定义的字节数，然后在数据包中跳过该数量的字节 - 可以从指定字节段的末尾向前跳，也可以从数据包负载起点或末尾向前跳，还可以从与上一次内容匹配有关的点向前跳，具体取决于指定的选项。这对于具有如下特点的数据包很有用：数据包中的特定字节段说明数据包内变量数据包含的字节数。

下表介绍了 byte_jump 关键字所需的参数。

下表介绍了可用于定义系统如何解释您为必需参数指定的值的选项。

只能指定 DCE/RPC、Endian 或 Number Type。

如果要定义 byte_jump 关键字如何计算字节数，则可以选择下表中介绍的参数。如果未选择字节排序参数，规则引擎使用大端字节顺序。

使用下表所列的其中一个参数来定义系统如何查看数据包中的字符串。

例如，如果为 byte_jump 设置的值如下：

• Bytes = 4

• Offset = 12

• Relative 已启用

• Align 已启用

规则引擎将会计算自上一次成功内容匹配后显示的 13 个字节当中 4 个字节中描述的数量，并在数据包中向前跳过该数量的字节。例如，如果特定数据包中计算出的 4 个字节是 00 00 00 1F，规则引擎会将它转换为 31。由于指定了 Align（指示引擎移到下一个 32 位边界），因此，规则引擎将在数据包中向前跳过 32 个字节。

或者，如果为 byte_jump 设置的值如下：

• Bytes = 4

• Offset = 12

• From Beginning 已启用

• Multiplier = 2

规则引擎将会计算在数据包起点后显示的 13 个字节当中 4 个字节中描述的数值。然后，引擎会将该数值乘以 2，以获得将要跳过的字节总数。例如，如果特定数据包中计算出的 4 个字节是 00 00 00 1F，规则引擎会将它转换为 31，然后再乘以 2 得到 62。由于启用了 From Beginning，因此，规则引擎会跳过数据包中的前 63 个字节。

byte_test 关键字根据 Value 参数及其运算符测试指定的字节段。

下表介绍了 byte_test 关键字所需的参数。

可以用下表中所述的参数进一步定义系统如何使用 byte_test 参数。

只能指定 DCE/RPC、字节存储次序 (Endian) 或数字类型 (Number Type)。

要定义 byte_test 关键字如何计算其测试的字节，请从下表中选择参数。如果未选择字节排序参数，规则引擎使用大端字节顺序。

可以使用下表所列的其中一个参数来定义系统如何在数据包中查看字符串。

例如，如果如下指定 byte_test 的值：

• Bytes = 4

• Operator and Value > 128

• Offset = 8

• Relative 已启用

规则引擎计算距离（相对于）上一个成功的内容匹配项 9 个字节的 4 个字节中描述的数值，如果计算的数值大于 128 字节，则会触发规则。

可以使用 byte_extract 关键字将数据包中指定数量的字节读取到某个变量中。然后，可以在同一规则中使用该变量作为某些其他检测关键字中特定参数的值。

此参数很有用，例如，可用于从其中的特定字节段描述数据包数据所包含的字节数的数据包提取数据大小。例如，特定字节段可能指出后续数据是由 4 个字节组成；您可以提取 4 个字节的数据大小来作为变量值。

可以使用 byte_extract 在一条规则中同时创建多达两个独立变量。可以任意多次地重新定义 byte_extract 变量；如果输入变量名称相同但变量定义不同的新的 byte_extract 关键字，它将覆盖该变量的上一个定义。

下表介绍 byte_extract 关键字所需的参数。

要进一步定义系统如何查找要提取的数据，可以使用下表中所述的参数。

只能指定 DCE/RPC、Endian 或 Number Type。

要定义 byte_extract 关键字如何计算其测试的字节数，可以从下表中选择参数。如果未选择字节排序参数，规则引擎使用大端字节顺序。

可以指定数字类型来将数据读取为 ASCII 字符串。要定义系统如何在数据包中查看字符串，可选择下表中所述的其中一个参数。

例如，如果为 byte_extract 指定如下值：

• Bytes to Extract = 4

• Variable Name = var

• Offset = 8

• Relative = enabled

那么，规则引擎会将距离（相对于）上一次内容成功匹配 9 字节的四个字节中描述的数字读取到名为 var 的变量中（然后，您可以在规则中将该数字指定为某些关键字参数的值）。

下表列出了可以在其中指定 byte_extract 关键字中定义的变量的关键字参数。

byte_math 关键字对提取的值和指定值或现有变量执行数学运算，并将结果存储在生成的新变量中。然后，可以使用生成的变量作为其他关键字中的参数。

您可以在规则中使用多个 byte_math 关键字执行多个 byte_math 运算。

下表介绍 byte_math 关键字所需的参数。

下表介绍了可用于定义系统如何解释您为必需参数指定的值的选项。

只能指定 DCE/RPC、Endian 或 Number Type。

如果要定义 byte_math 关键字如何计算字节数，则可以选择下表中介绍的参数。如果未选择字节排序参数，规则引擎使用大端字节顺序。

使用下表所列的其中一个参数来定义系统如何查看数据包中的字符串。

例如，如果为 byte_math 设置的值如下：

• Bytes = 2

• Offset = 0

• Operator = *

• RValue = height

• Result Variable = area

规则引擎提取数据包中前两个字节中描述的数值，并将其乘以 RValue（使用现有变量 height）来创建新变量 area。

您可以使用 metadata 关键字向规则中添加自己的描述性信息。您还可以使用具有 service 参数的 metadata 关键字识别网络流量中的应用和端口。可以使用所添加的信息通过适合需求的方式组织或识别规则，并且可以搜索规则中所添加的信息和有关 service 参数的信息。

系统根据参数格式验证元数据：

key value

其中，key 和 value 提供以空格分隔的组合描述。这是Talos 情报小组 用于向思科提供的规则添加元数据的格式。

也可以使用其他格式：

key = value

例如，通过按如下方式使用类别和子类别，可以使用 key value 格式按作者和日期识别规则：

author SnortGuru_20050406

可以在规则中使用多个 metadata 关键字。还可以使用逗号分隔单个 metadata 关键字中的多个 key value 参数，如以下示例所示：

author SnortGuru_20050406, revised_by SnortUser1_20050707,

revised_by SnortUser2_20061003, 

revised_by SnortUser1_20070123

并非只能使用 key value 或 key =value 格式；但是，应了解根据这些格式进行验证产生的局限性。

要避免的受限字符

请注意以下字符限制：

• 请勿使用分号 (;) 或冒号 (:)。

• 系统将逗号解释为多个 key value 或 key =value 参数的分隔符。例如：

  key value ,key value ,key value

• 系统将等于 (=) 字符或空格字符解释为 key 和 value 之间的分隔符。例如：

  key value

  key =value

允许使用所有其他字。

要避免的保留元数据

请避免在 metadata 关键字中使用以下单词作为单个参数或作为 key value 参数中的 key ；这些单词保留供 Talos 使用：

application
engine
impact_flag
os
policy
rule-type
rule-flushing
soid

注	如需有关将受限元数据添加到可能不具有预期作用的本地规则方面的帮助，请联系支持部门。

影响级别 1

可以在 metadata 关键字中使用以下保留的 key value 参数：

impact_flag red

此 key value 参数针对导入的本地规则或使用入侵规则编辑器创建的自定义规则将影响标志设置为红色（级别 1）。

请注意，当 Talos 在思科提供的规则中包含 impact_flag red 参数时，Talos 已确定触发该规则的数据包指示源主机或目标主机可能受病毒、特洛伊木马或其他恶意软件的损害。

可以使用关键字来识别数据包 IP 报头中可能存在的攻击或安全策略违规。

fragbits

fragbits 关键字检查 IP 报头中的分片和保留位。可以检查每个数据包的 Reserved 位、More Fragments位和 Don't Fragment 位的任意组合。

为进一步改进使用 fragbits 关键字的规则，可以在规则的参数值后指定下表中所述的任何运算符。

例如，要生成有关设置了“保留”(Reserved) 位（还可能设置了任何其他位）的数据包的事件，请使用 R+ 作为 fragbits 值。

id

id 关键字根据您在此关键字的参数中指定的值测试 IP 报头分片标识字段。某些拒绝服务工具和扫描工具将此字段设置为容易检测的特定数字。例如，在 SID 630（检测 Synscan 端口扫描）中，id 设置为 39426，这是在扫描仪传输的数据包中用作 ID 号的静态值。

注	id 参数值必须为数字。

ipopts

使用 IPopts 关键字可在数据包中搜索指定的 IP 报头选项。下表列出了可用的参数值。

分析师最经常监视严格和松散源路由，因为这两个选项可能指出欺骗性源 IP 地址。

ip_proto

使用 ip_proto 关键字可识别使用指定为关键字值的 IP 协议的数据包。可以为 IP 协议指定 0 到 255 之间的数字。可以将这些协议号与以下运算符结合使用：<、> 或 !。例如，要检查使用非 ICMP 的任何协议的流量，请使用 !1 作为 ip_proto 关键字的值。也可以在一个规则中多次使用 ip_proto 关键字；但请注意，规则引擎会将此关键字的多个实例解释为具有布尔 AND 关系。例如，如果创建一个包含 ip_proto:!3; ip_proto:!6 的规则，该规则将忽略使用 GGP 协议和 TCP 协议的流量。

tos

有些网络使用服务类型 (ToS) 值设置在网络上传输的数据包的优先级。使用 tos 关键字可根据指定为该关键字的参数的值测试数据包的 IP 报头 ToS 值。对于其 ToS 已设置为指定值且符合规则中规定的其他条件的数据包，使用 tos 关键字的规则将会触发。

注	tos 参数值必须为数字。

ToS 字段已在 IP 报头协议中弃用，取而代之的是“差分服务代码点 (DSCP)”(Differentiated Services Code Point [DSCP]) 字段。

ttl

数据包的生存时间 (ttl) 值指明数据包在被丢弃之前可以跳多少次。可以使用 ttl 关键字根据指定为关键字参数的值或值范围测试数据包的 IP 报头 ttl 值。将 ttl 关键字参数设置为较小的值（例如 0 或 1）可能会有帮助，因为小的生存时间值有时表示跟踪路由或入侵逃避行为。（但请注意，此关键字的相应值取决于受管设备的位置和网络拓扑。）使用以下语法：

• 将 TTL 值设置为 0 到 255 之间的整数。也可以该值前面加上一个等号 (=)（例如，可以指定 5 或 =5）。

• 使用连字符 (-) 指定 TTL 值的范围（例如，0-2 指定 0 到 2 之间的所有值，-5 指定 0 到 5 之间的所有值，5- 指定 5 到 255 之间的所有值）。

• 使用大于号 (>) 指定 TTL 值大于一个特定值（例如，>3 指定大于 3 的所有值）。

• 使用大于或等于号 (>=) 指定 TTL 值大于或等于一个特定值（例如，>=3 指定大于或等于 3 的所有值）。

• 使用小于号 (<) 指定 TTL 值小于一个特定值（例如，<3 指定小于 3 的所有值）。

• 使用小于或等于号 (<=) 指定 TTL 值小于或等于一个特定值（例如，<=3 指定小于或等于 3 的所有值）。

Firepower 系统支持可用于识别 ICMP 数据包报头中的攻击和安全策略违规的关键字。但请注意，存在的预定义规则检测大多数 ICMP 类型和代码。可考虑启用现有规则或者根据现有规则创建本地规则；如果您从头开始构建 ICMP 规则，可能会更快找到符合您需求的规则。

icmp_id 和 icmp_seq

ICMP 识别号和序列号有助于将 ICMP 响应与 ICMP 请求关联起来。在正常流量中，这些值动态地分配给数据包。有些隐蔽通道和分布式拒绝服务 (DDoS) 程序使用静态 ICMP ID 和序列值。使用以下关键字可识别具有静态值的 ICMP 数据包。

itype

使用 itype 关键字可查找具有特定 ICMP 消息类型值的数据包。您可以指定有效的 ICMP 类型值或无效的 ICMP 类型值来测试不同类型的流量。例如，攻击者可以将 ICMP 类型值设置为超出范围，从而导致拒绝服务和泛洪攻击。

可以使用小于号 (<) 和大于号 (>) 指定 itype 参数值的范围。

例如：

• <35

• >36

• 3<>55

icode

ICMP 消息有时包含代码值，用于在目标不可达的情况下提供有关详细信息。

您可以使用 icode 关键字来识别具有特定 ICMP 代码值的数据包。可以指定有效的 ICMP 代码值或无效的 ICMP 代码值来测试不同类型的流量。

可以使用小于号 (<) 和大于号 (>) 指定 icode 参数值的范围。

例如：

• 要查找小于 35 的值，请指定 <35。

• 要查找大于 36 的值，请指定 >36。

• 要查找 3 到 55 之间的值，请指定 3<>55。

提示	可以同时使用 icode 和 itype 关键字来识别与这两者都匹配的流量。例如，要识别包含“ICMP 目标不可达”(ICMP Destination Unreachable) 代码类型和“ICMP 端口不可达”(ICMP Port Unreachable) 代码类型的 ICMP 流量，请指定 3 作为 itype 关键字的值（用于“目标不可达”[Destination Unreachable] 类型），并指定 3 作为 icode 关键字的值（用于“端口不可达”[Port Unreachable] 类型）。

Firepower 系统支持专门用于使用数据包 TCP 报头和 TCP 数据流大小来识别尝试的攻击的关键字。

ack

可以使用 ack 关键字将某个值与数据包的 TCP 确认号进行比较。如果数据包的 TCP 确认号与为 ack 关键字指定的值相匹配，则会触发规则。

ack 参数值必须为数字。

标志

可以使用 flags 关键字指定 TCP 标志的任意组合，如果在已检查的数据包中设置此关键字，将触发规则。

注	在使用 A+ 作为 flags 的值的一般情况下，应转为使用具有 established 值的 flow 关键字。通常，如果使用标志以确保标志的所有组合均已检测到，应使用具有 stateless 值的 flow 关键字。

可以检查或忽略下表中所述的 flag 关键字的值。

使用 flags 关键字时，可以使用运算符来指示系统如何匹配多个标志。下表介绍了这些运算符。

流

可以使用 flow 关键字选择由规则根据会话特征进行的检查的数据包。flow 关键字允许您指定规则应用的流量的方向，从而将规则应用于客户端流量或服务器流量。要指定 flow 关键字如何检查数据包，可以设置要分析的流量的方向、已检查的数据包的状态以及这些数据包是否是重建数据流的一部分。

数据包状态检测发生在规则处理之后。如果要使某个 TCP 规则忽略无状态流量（尚未建立会话情景的流量），必须将 flow 关键字添加到该规则，并为该关键字选择 Established 参数。如果要使某个 UDP 规则忽略无状态流量，必须将 flow 关键字添加到该规则，并选择 Established 参数和/或方向参数。这样，TCP 或 UDP 规则就会执行数据包状态检查。

如果添加方向参数，规则引擎将只检查具有已建立状态且流向与指定方向匹配的数据包。例如，如果将具有 established 参数和 From Client 参数的 flow 关键字添加到某个规则，且该规则会在检测到 TCP 或 UDP 连接的情况下触发，那么规则引擎将只检查从特定客户端发送的数据包。

提示	为了获得最佳性能，应始终在 TCP 规则或 UDP 会话规则中包含 flow 关键字。

下表介绍了可为 flow 关键字指定的数据流相关参数：

下表介绍了可为 flow 关键字指定的方向选项：

请注意，From Server 和 To Client 执行相同的功能，To Server 和 From Client 执行相同的功能。这些选项是为了是规则具有上下文和可读性。例如，如果要创建用于检测从服务器向客户端发起的木马攻击的规则，应使用 From Server。但是，如果要创建用于检测从客户端向服务器发出的木马攻击的规则，应使用 From Client。

下表介绍了可为 flow 关键字指定的数据流相关参数：

例如，可以使用 To Server, Established, Only Stream Traffic 作为 flow 关键字的值，这样将会检测在建立的会话中从客户端流向服务器并且由数据流预处理器重组的流量。

序列号

使用 seq 关键字可指定静态序列号值。序列号与指定参数相匹配的数据包将会触发包含此关键字的规则。虽然此关键字很少使用，但它有助于识别使用生成的具有静态序列号的数据包的攻击和网络扫描。

window

可以使用 window 关键字指定感兴趣的 TCP 窗口大小。包含此关键字的规则在遇到具有指定 TCP 窗口大小的数据包时，都会触发。虽然此关键字很少使用，但它有助于识别使用生成的具有静态 TCP 窗口大小的数据包的攻击和网络扫描。

stream_size

可以将 stream_size 关键字与数据流预处理器配合使用，以确定 TCP 数据流的大小（以字节为单位），具体格式如下：

direction,operator,bytes

其中，bytes 是字节数。必须以逗号 (,) 分隔参数中的每个选项。

下表介绍了可为 stream_size 关键字指定的不区分大小写的方向选项：

下表介绍了可与 stream_size 关键字配合使用的运算符：

例如，可以使用 client, >=, 5001216 作为 stream_size 关键字的参数，以检测从客户端发往服务器的且大于或等于 5001216 字节的 TCP 数据流。

如果单个连接上的已检测流量与规则条件相匹配，则可以使用 stream_reassemble 关键字为该连接启用或禁用 TCP 流重组。或者，可以在一个规则中多次使用此关键字。

可使用以下语法启用或禁用数据流重组：

enable|disable, server|client|both, option, option

下表介绍可与 stream_reassemble 关键字配合使用的可选参数。

例如，以下规则禁用 TCP 客户端数据流重组，而且不针对在 HTTP 响应中检测到 200 OK 状态代码的连接生成事件：

alert tcp any 80 -> any any (flow:to_client, established; content: “200 OK”; 
stream_reassemble:disable, client, noalert

可以使用 SSL 规则关键字调用安全套接字层 (SSL) 预处理器，并从加密会话中的数据包提取有关 SSL 版本和会话状态的信息。

客户机和服务器进行通信以使用 SSL 或安全传输层 (TLS) 建立加密会话时，它们之间会交换握手消息。虽然在会话中传输的数据是加密的，但握手消息没有加密。

SSL 预处理器从特定握手字段提取状态和版本信息。握手中的两个字段分别指明用于加密会话的 SSL 或 TLS 版本以及握手的阶段。

ssl_state

ssl_state 关键字可用于匹配加密会话的状态信息。要同时检查所用的两个或更多 SSL 版本，请在规则中使用多个 ssl_version 关键字。

如果规则使用 ssl_state 关键字，规则引擎将调用 SSL 预处理器来检查流量的 SSL 状态信息。

例如，要检测是否有攻击者试图通过发送具有超长长度和过量数据的 ClientHello 消息来造成服务器缓冲区溢出，可以使用带有 client_hello 参数的 ssl_state 关键字，然后检查异常大的数据包。

可使用逗号分隔列表为 SSL 状态指定多个参数。如果列出多个参数，系统将使用 OR 运算符对这些参数进行评估。例如，如果指定 client_hello 和 server_hello 作为参数，系统将会根据带有 client_hello 或 server_hello 的流量对规则进行评估。

还可以否定任何参数；例如：

!client_hello, !unknown

为确保连接已达到状态集中的每种状态，应使用具有 ssl_state 规则选项的多个规则。ssl_state 关键字将以下标识符作为参数：

ssl_version

ssl_version 关键字可用于匹配加密会话的版本信息。如果规则使用 ssl_version 关键字，规则引擎将调用 SSL 预处理器来检查流量的 SSL 版本信息。

例如，如果知道 SSL 2 版本中存在缓冲区溢出漏洞，可以使用带有 sslv2 参数的 ssl_version 关键字来识别使用该 SSL 版本的流量。

可使用逗号分隔列表为 SSL 版本指定多个参数。如果列出多个参数，系统将使用 OR 运算符对这些参数进行评估。例如，如果要识别任何未使用 SSLv2 的加密流量，可以向规则添加 ssl_version:ssl_v3,tls1.0,tls1.1,tls1.2。这样，规则将会评估任何使用 SSL 3 版本、TLS 1.0 版本、TLS 1.1 版本或 TLS 1.2 版本的流量。

ssl_version 关键字将以下 SSL/TLS 版本标识符作为参数：

可以使用 appid 关键字识别数据包中的应用协议、客户端应用或 Web 应用。例如，可以针对据知易受特定漏洞影响的特定应用。

在入侵规则的 appid 关键字中，点击配置 AppID (Configure AppID) 以选择一个或多个要检测的应用。

浏览可用应用

首次开始构建条件时，可用应用 (Available Applications) 列表不受限制，并且显示系统检测的每个应用（每页 100 个）：

• 要翻页浏览应用，请点击列表下方的箭头。

• 要打开弹出窗口，显示有关应用特性的摘要信息以及可点选的互联网搜索链接，请点击应用旁边的 信息（）。

使用应用过滤器

为帮助查找要匹配的应用，您可以通过以下方式限制 Available Applications 列表：

• 要搜索应用，请点击列表上方的 Search by name 提示，然后键入名称。列表会在您键入内容时进行更新，以显示匹配的应用。

• 要通过应用过滤器来限制应用，请使用应用过滤器 (Application Filters) 列表。Available Applications 列表在您应用过滤器时进行更新。为方便起见，系统使用解锁图标 来标记系统只能在解密流量中识别（在加密或未加密流量中无法识别）的应用。

注	如果您在 Application Filters 列表中选择一个或多个过滤器，并在这种状态下搜索 Available Applications 列表，系统会使用 AND 运算将您的选择与搜索过滤出的 Available Applications 列表进行组合。

选择应用

要选择单个应用，请选择该应用并点击添加到规则 (Add to Rule)。要选择当前受限制视图中的所有应用，请右键点击并选择全选 (Select All)。