Suricata旁路关键字

Question

我没有找到任何使用‘旁路’关键字的例子。它在任何规则中都有效吗？是否使用“旁路”对性能有影响。

例如，这会绕过所有tcp流量吗？

alert tcp any any <> any any (msg:"Allow all TCP"; bypass; sid:9900001; rev:1;)

Answer 1

是否使用“旁路”对性能有影响。

由于保证不再对流中的数据包进行分析，因此具有明显的性能优势。有关一些令人印象深刻的数字，请参阅“Suricata旁路功能”一文。

它在任何规则中都有效吗？

因为它改变了流的未来行为，所以它只在匹配流的部分(通常是TCP和UDP )的规则中才有意义。

例如，这会绕过所有tcp流量吗？

它可能会，但它将不是最好的选择绕过所有TCP流量。最好(更快)让Suricata从一开始就忽略这个流量。请参阅文档中的忽视流量。