用于为snort IDS创建规则的新数据集

Question

我目前正在开展一个项目＆＃34;为snort IDS创建网络入侵检测规则＆＃34;。 snort IDS使用网络数据包标头属性（例如，ttl，ip等）作为规则。我目前正在使用KDD 1999数据集进行规则创建。但是，我发现很难将KDD属性映射到tcp标头属性。是否有可用于创建snort规则的新数据集？

Answer 1

最好使用自己的流量跟踪。

wireshark或ms网络监视器。

这些工具可以帮助您收集应用程序的流量。

http://snorgen.korea.ac.kr/ 此网站可能会帮助您创建snort规则。

Answer 2

如果您提及44 kdd功能，请注意这些是聚合功能（大多数功能）。如果要在snort样式规则中对它们进行编码，则需要对特征集进行逆向工程（即从某种方式），即从特征值到接收到的数据包。 Snort具有时间样式规则（如果我记得的话），您可以通过它来定义跨数据包的规则。不过，我不确定它有多么简单/困难。