Xbits关键字

1. Xbits关键字

设置，取消设置，切换并检查每个主机或ip_pair存储的位数。

语法：

xbits:<set|unset|isset|toggle>,<name>,track<ip_src|ip_dst|ip_pair>;

xbits:<set|unset|isset|toggle>,<name>,track<ip_src|ip_dst|ip_pair>[,expire<seconds>];

xbits:<set|unset|isset|toggle>,<name>,track<ip_src|ip_dst|ip_pair>[,expire<seconds>];

备注：

（1）对于track ip_<src|dst> 使用hostbits和xbits没有区别。

（2）如果你使用track ip_dst设置一个客户端请求，如果你想匹配服务端的响应，你应该根据track ip_src检查isset。

（3）设置不要告警（alert），使用noalert;

（4）其他查看：
https://blog.inliniac.net/2014/12/21/crossing-the-streams-in-suricata/

http://www.cipherdyne.org/blog/2013/07/crossing-the-streams-in-ids-signature-languages.html

1.1  YAML设置

每个主机存储的位存储在Host表中。这意味着主机表设置会影响每个主机的hostsbits和xbits 。

每个IP对存储的位存储在IPPair 表中。这意味着ippair表设置，尤其是memcap，会影响每个ip_pair的xbits。

1.2 线程

由于线程之间的细微时序问题，集合和检查的顺序可能有些不可预测。

1.3 Unix套接字

可以通过unix套接字添加，删除和列出Hostbits 。

添加:

suricatasc -c "add-hostbit <ip> <bit name> <expire in seconds>"

suricatasc -c "add-hostbit 1.2.3.4 blacklist 3600"

如果为现有主机位添加了hostbit，则更新它的到期计时器。

删除：

suricatasc  -c "remove-hostbit <ip> <bit name>"

suricatasc -c  "remove-hostbit 1.2.3.4 blacklist"

列出：

suricatasc -c "list-hostbit <ip>"

suricatasc -c "list-hostbit 1.2.3.4"

这导致的结果

{

"message":

    {"count":1,

    "hostbits":

        [{"expire":89,"name":"blacklist"}]

    },

    "return":"OK"

}

1.4 示例

1.4.1 创建SSH黑名单

以下是传入SSH服务器的规则示例.

这两个规则匹配机器中经常使用的SSH软件版本。他们放弃流量并为源ip创建一个'xbit' 'badssh'。它会在一小时后到期：

drop ssh any any -> $MYSERVER 22 (msg:"DROP libssh incoming"; flow:to_server,established; ssh.softwareversion:"libssh";   xbits:set, badssh, track ip_src, expire 3600; sid:4000000005;)

drop ssh any any -> $MYSERVER 22 (msg:"DROP PUTTY incoming";  flow:to_server,established; ssh.softwareversion:"PUTTY"; xbits:set, badssh, track ip_src, expire 3600; sid:4000000007;)

然后，以下规则只会将任何传入流量丢弃到该“badssh”列表中的该服务器：

drop ssh any any -> $MYSERVER 22 (msg:"DROP BLACKLISTED";  xbits:isset, badssh, track ip_src; sid:4000000006;)