《入侵检测与防御原理及实践（微课版）》-习题 第6章 Snort的规则 习题.docx

一、选择题

Snort是一个基于什么的检测系统？

A.签名

B.特征

C.行为

D.流量

答案：B.特征

Snort规则库中的规则主要存放在什么文件中？

A..bin文件

B..rules文件

C..conf文件

D..lua文件

答案：B..rules文件

在Snort3中，规则文件的包含语句是什么？

A.include_rules

B.import_rules

C.include

D.require

答案：C.include

Snort3的规则中，哪个选项提供了有关规则的信息但在检测过程中没有影响？

A.Payload

B.General

C.non-payload

D.post-detection

答案：B.General

Snort规则中，用于定义规则唯一标识符的选项是？

A.gid

B.sid

C.cid

D.uid

答案：B.sid

在Snort3中，用于检测HTTP内容的协议关键字是什么？

A.TCP

B.UDP

C.HTTP

D.ICMP

答案：C.HTTP

Snort规则中，哪个选项用于查找数据包有效负载中的数据？

A.Payload

B.General

C.non-payload

D.http_inspect

答案：A.Payload

Snort3的规则中，用于记录日志到用户指定文件的选项是？

A.logto

B.alert

C.session

D.react

答案：A.logto

Snort3的规则中，用于定义一个会话并记录其应用层信息的选项是？

A.Payload

B.session

C.non-payload

D.post-detection

答案：B.session

Snort规则中，用于在规则触发后发出警告信息的选项是？

A.msg

B.sid

C.warn

D.react

答案：D.react（注意，这里更精确的说法是react选项中包含发出警告信息的动作，但选项中直接对应的是react）

二、填空题

Snort是一个基于______检测的轻量级网络入侵检测系统。

答案：特征

Snort规则文件中的规则通过______语句包含在配置文件中。

答案：include

Snort3中，规则的唯一标识符（SID）不允许为______，且小于100的SID保留给未来扩充时使用。

答案：0

Snort规则中，______选项提供了有关规则的信息，但在检测过程中没有任何影响。

答案：General

在Snort3中，用于检测HTTP内容的协议关键字是______。

答案：HTTP

Snort规则中，用于查找数据包有效负载中数据的选项是______。

答案：Payload

Snort规则可以通过______选项将日志记录到用户指定的文件。

答案：logto

Snort3中，______检查器用于对解码后的数据包进行错误检测和预处理。

答案：Inspector

Snort规则中，用于定义一个会话并记录其应用层信息的选项是______。

答案：session

在Snort规则中，如果希望规则触发后发出警告信息，可以使用______选项中的相关参数。

答案：react

三、判断题

Snort是一个基于特征检测的网络入侵检测系统。

答案：正确。

Snort规则库中的规则可以随意存放在任何位置，不需要分类存放。

答案：错误。规则需要分类存放在不同的规则文件中，且每个规则文件都是文本文件。

在Snort3中，规则文件必须以“.rules”为后缀。

答案：正确。但需要注意，这是规则文件的通常命名约定，并非绝对要求，关键是要在配置文件中正确引用。

Snort3的规则文件中，暂时不用的规则必须用“#”注释掉。

答案：错误。虽然可以用“#”注释掉暂时不用的规则，但这不是必须的操作。

Snort3中，sid选项的值可以为0。

答案：错误。Snort3规定，所有规则必须有sid选项，且sid不允许为0。

Snort3的规则中，metadata选项对检测过程有影响。

答案：错误。metadata选项提供了有关规则的信息，但在检测过程中没有任何影响。

Snort3中，可以使用“logto”选项将日志记录到标准输出文件以外的文件。

答案：正确。

Snort3的规则中，不能使用“react”选项来定义规则匹配后的动作。

答案：错误。可以使用“react”选项来定义规则匹配后的基本反应和附加修改器。

Snort3的规则中，协议关键字HTTP只能用于检测使用标准端口的HTTP流量。

答案：错误。Snort3中，无论HTTP是否使用标准端口，都可以使用HTTP关键字进行检测。

在Snort3中，规则文件必须用inc