A-A+

suricata 3.1 源码分析3

2017年08月01日 suricata 暂无评论

继续main函数下面的内容。

/* By default use IDS mode, but if nfq or ipfw
* are specified, IPS mode will overwrite this */

EngineModeSetIDS();

初始化引擎模式为IDS模式,字面上是这么理解。反正这个模式只有IPS和IDS两种,如果不清楚可以上网查。我这里就说一下主要区别。IPS会先将数据收下,进行分析后再传给后续设备或程序进行处理。而IDS模式是类似于旁路或将数据copy一份这样处理,它不会阻断数据传输。这只是我的理解,如果有不对的地方欢迎大家指出。

/* Initialize the configuration module. */

ConfInit();

初始化配置模块:

void ConfInit(void)
{
    if (root != NULL) {
        SCLogDebug("already initialized");
        return;
    }
    /*root是ConfNode类型的全局指针,将指向yaml配置文件的根节点*/
    root = ConfNodeNew();

    if (root == NULL) {
        SCLogError(SC_ERR_MEM_ALLOC,
            "ERROR: Failed to allocate memory for root configuration node, "
            "aborting.");
        exit(EXIT_FAILURE);
     }
    SCLogDebug("configuration module initialized");
}

if (ParseCommandLine(argc, argv, &suri) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
}

ConfNodeNew()如下:

ConfNode *ConfNodeNew(void)
{
   ConfNode *new;

    new = SCCalloc(1, sizeof(*new));        //申请ConfNode大小的内存
    if (unlikely(new == NULL)) {
        return NULL;
    }
    TAILQ_INIT(&new->head);     //将new的head置为NULL

    return new;
}

解析命令行参数。为suri结构的成员赋值。其中,与包捕获相关的选项(如“-i”)都会调用LiveRegisterDevice,以注册一个数据包捕获设备接口(如eth0)。全局的所有已注册的设备接口存储在变量live_devices中,类型为LiveDevice。注意,用多设备同时捕获数据包这个特性在Suricata中目前还只是实验性的。“-v”选项可多次使用,每个v都能将当前日志等级提升一级。

 if (FinalizeRunMode(&suri, argv) != TM_ECODE_OK) {
            exit(EXIT_FAILURE);
 }

根据运行模式完成相应设置,其中PCAP_FILE、ERF_FILE、ENGINE_ANALYSIS,不会通过网络抓包,所以将suri->offline置1。设置全局的run_mode变量。另外还对 daemon模式做了记log的相关操作。

switch (StartInternalRunMode(&suri, argc, argv)) {
      case TM_ECODE_DONE:
            exit(EXIT_SUCCESS);
      case TM_ECODE_FAILED:
            exit(EXIT_FAILURE);
}

若运行模式为内部模式,则进入该模式执行,完毕后退出程序。

标签:

给我留言

Copyright © 九毛的官方博客 保留所有权利.   Theme  Ality

用户登录