snort 的 rule 撰寫簡單說明

用個實例來說明：
我想要抓取 PostgreSQL 中的 SQL 語法

rule檔中可以寫下
alert tcp any any -> any 5432 (msg:"someone access PSQL command:SELECT"; content:"select"; nocase;)
意思是 從任何的 ip 的任何一 port 連接到 任一個ip 的 5432 port 的封包中，內容有 'select' 字元的就出現 alert

1. alert ：警示
   
2. any any：任何的 ip 的任何一 port
   
3. ->：到
   
4. any 5432：任一個ip 的 5432 port
   
5. msg：出現在 alert檔案中的訊息
   
6. content：比對封包內容的是否有content中的字元
   
7. nocase：不管 content 字元的大小寫
   

可以將自己撰寫的 rule 放在 local.rules 中，這樣以後就會把你寫的 rules 也列入比對的條件中

如果你不要放在 local.rules 中，而要自己寫個 rules檔名，要記得在 snort.conf 中要 include 進來
ex：新寫的 rules 檔名為 abc.rules
在 snort.conf 中要加入 include abc.rules 這些字