snort使用壹種簡單的規則描述語言,這種描述語言易於擴展，功能也比較強大。下面是壹些最基本的東西：
snort的每條規則必須在壹行中，它的規則解釋器無法對跨行的規則進行解析。註意：由於排版的原因本文的例子有的分為兩行。
snort的每條規則都可以分成邏輯上的兩個部分：規則頭和規則選項。規則頭包括：規則行為(rule's action)、協議(protocol)、源/目的IP地址、子網掩碼以及源/目的端口。規則選項包含報警信息和異常包的信息(特征碼,signature)，使用這些特征碼來決定是否采取規則規定的行動。
這是壹個例子：
alert tcp any any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";)
表1.壹條簡單的snort規則
從開頭到最左邊的括號屬於規則頭部分，括號內的部分屬於規則選項。規則選項中冒號前面的詞叫做選項關鍵詞(option keywords)。註意對於每條規則來說規則選項不是必需的，它們是為了更加詳細地定義應該收集或者報警的數據包。只有匹配所有選項的數據包，snort才會執行其規則行為。如果許多選項組合在壹起，它們之間是邏輯與的關系。讓我們從規則頭開始。
1.1 include
snort使用的規則文件在命令行中指定，include關鍵詞使這個規則文件可以包含其它規則文件中的規則，非常類似與C語言中的#include。snort會從被包含的文件讀出其內容，取代include關鍵詞。
格式：
include <文件路徑/文件名>
註意：行尾沒有分號。
1.2 varriables
在snort規則文件中可以定義變量。
格式：
var
例子：
var MY_NET 192.168.1.0/24,10.1.1.0/24] $MY_NET any (flags:S;msg:'SYNMETA packet";)
表2.變量的定義和使用
規則變量名可以使用多種方式來修改，妳可以使用$操作符來定義元變量(meta-variables)。這些修改方式可以結合變量修改操作符：?和-來使用。
$var：定義元變量
$(var)：以變量var的內容作為變量名
$(var:-default)：以變量var的內容作為變量名，如果var沒有定義就使用default作為變量名
$(var:?message)：使用變量var的內容作為變量名，如果不成功就打印錯誤信息message並退出。
例如：
var MY_NET $(MYU_NET:-192.168.1.0/24) tcp any any -> $(MY_NET:?MY_NET is undefined!) 23
表3.高級變量應用
2.規則頭(Rule Headers)
2.1 Rule Action
規則頭包含壹些信息，這些信息包括：哪些數據包、數據包的來源、什麽類型的數據包，以及對匹配的數據包如何處理。每條規則的第壹項就是規則行為(rule action)。規則行為告訴snort當發現匹配的數據包時，應該如何處理。在snort中，有五種默認的處理方式：alert、log、pass、activate和dynamic。
alert：使用選定的報警方法產生報警信息，並且記錄數據包
log：記錄數據包
pass：忽略數據包
activate：報警，接著打開其它的dynamic規則
dynamic：保持空閑狀態，直到被activete規則激活，作為壹條log規則
妳也可以定義自己的規則類型，把它們和壹個或者幾個輸出插件聯系在壹起。然後妳就可以在snort規則中使用這些規則類型了。
這個例子將建立壹個類型，它將只以tcpdump格式輸出日誌：
ruletype suspicious
{
type log
output log_tcpdump: suspocious.log
}
下面這個例子將建立壹個類型，把日誌發送到syslog和MySql數據庫：
ruletype redalert
{
type alert
output alert_syslog:LOG_AUTH LOG_ALERT
output database:log,user=snort dbname=snort host=localhost
}
2.2 協議
每條規則的第二項就是協議項。當前，snort能夠分析的協議是：TCP、UDP和ICMP。將來，可能提供對ARP、ICRP、GRE、OSPF、RIP、IPX等協議的支持。
2.3 IP地址
規則頭下面的部分就是IP地址和端口信息。關鍵詞any可以用來定義任意的IP地址。snort不支持對主機名的解析。所以地址只能使用數字/CIDR的形式。/24表示壹個C類網絡；/16表示壹個B類網絡；而/32表示壹臺特定的主機地址。例如：192.168.1.0/24表示從192.168.1.1到192.168.1.255的地址。
在規則中，可以使用使用否定操作符(negation operator)對IP地址進行操作。它告訴snort除了列出的IP地址外，匹配所有的IP地址。否定操作符使用!表示。例如，使用否定操作符可以很輕松地對表1的規則進行改寫，使其對從外部網絡向內的數據報警。
alert tcp !192.168.1.0/24 any -> 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"external mountd access";)
表4.使用IP地址否定操作符的規則
上面這條規則中的IP地址表示：所有IP源地址不是內部網絡的地址，而目的地址是內部網絡地址。
妳也可以定義壹個IP地址列表(IP list)。IP地址列表的格式如下：
[IP地址1/CIDR,IP地址/CIDR,....]
註意每個IP地址之間不能有空格。例如：
alert tcp ![192.168.1.0/24,10.1.1.1.0/24] any ->[192.168.1.0/24,10.1.1.0/24] 111 (content:"|00 01 86 a5|";msg:"external mountd access";)
2.4 端口號
在規則中，可以有幾種方式來指定端口號，包括：any、靜態端口號(static port)定義、端口範圍，以及使用非操作定義。any表示任意合法的端口號；靜態端口號表示單個的端口號，例如：111(portmapper)、23(telnet)、80(或者POP3對話。下面的規則表示對壹個telnet對話的雙向數據傳輸進行記錄：
log !192.168.1.0/24 any <> 192.168.1.0/24 23
表7.使用雙向操作符的snort規則
activate/dynamic規則
activate/dynamic規則對擴展了snort功能。使用activate/dynamic規則對，妳能夠使用壹條規則激活另壹條規則。當壹條特定的規則啟動，如果妳想要snort接著對符合條件的數據包進行記錄時，使用activate/dynamic規則對非常方便。除了壹個必需的選項activates外，激活規則(activate rule)非常類似於報警規則(alert rule)。動態規則(dynamic rule)和日誌規則(log rule)也很相似，不過它需要壹個選項：activated_by。動態規則還需要另壹個選項：count。當壹個激活規則啟動，它就打開由activate/activated_by選項之後的數字指示的動態規則，記錄count個數據包。
下面是壹條activate/dynamic規則對的規則：
activate tcp !$HOME_NET any -> $HOME_NET 143 (flags:PA;content:"|E8C0FFFFFF|in|;activates:1;
表8.activate/dynamic規則對
這個規則使snort在檢測到IMAP緩沖區溢出時發出報警，並且記錄後續的50個從$HOME_NET之外，發往$HOME_NET的143號端口的數據包。如果緩沖區溢出成功，那麽接下來50個發送到這個網絡同壹個服務端口(這個例子中是143號端口)的數據包中，會有很重要的數據，這些數據對以後的分析很有用處。
3.規則選項
規則選項構成了snort入侵檢測引擎的核心，它們非常容易使用，同時又很強大和容易擴展。在每條snort規則中，選項之間使用分號進行分割。規則選項關鍵詞和其參數之間使用冒號分割。截止到寫本文為止(snort 1.7版)，snort有23個規則選項關鍵詞：
msg：在報警和日誌中打印的消息
logto：把日誌記錄到壹個用戶指定的文件，而不是輸出到標準的輸出文件
ttl：測試IP包頭的TTL域的值
tos：測試IP包頭的TOS域的值
id：測試IP分組標誌符(fragment ID)域是否是壹個特定的值
ipoption：查看IP選項（IP option)域
fragbits：測試IP包頭的分片位(fragmentation bit)
dsize：測試數據包包數據段的大小
flags：測試TCP標誌(flag)是否是某個值
seq：測試TCP包的序列號是否是某個值
ack：測試TCP包的確認(acknowledgement)域是否為某個值
itype：測試ICMP數據包的類型(type)域
icode：測試ICMP數據包的編碼(code)域
icmp_id：測試ICMP回送包的標誌符(ICMP ECHO ID)是否為某個值
content：在數據包的數據段中搜索模式(pattern)
content-list：在數據包的數據段中搜索模式清單
offset：設置開始搜索的偏移量
depth：設置搜索最大深度
nocase：大小寫不敏感匹配內容字符串
session：剝離壹個對話的應用層信息
rpc：觀察RPC服務對特定應用程序的調用
resp：激活反應措施(斷開連接等)
react：激活反應措施(阻塞WEB站點)
3.1 msg
msg規則選項告訴日誌引擎在復制包時同時打印的信息，以及讓報警引擎輸出的警告消息。它只是壹個簡單的文本字符串，使用作為轉義符。
格式：
msg:"";
3.2 logto
logto選項告訴snort把觸發某條規則所有的數據包都記錄到指定的文件。使用這個選項，對處理來自nmap掃描、HTTP CGI掃描的數據非常方便。註意如果使用二進制日誌模式，這個選項會失效。
格式：
logto:"<文件名>";
3.3 ttl
這個選項設置要測試的生命周期(time-to-live)值。只有數據包的TTL和這個選項設置的值精確匹配，測試才會成功。這個選項主要用來檢測路由企圖。
格式：
ttl:"";
3.4 tos
妳可以使用tos關鍵詞檢查IP包頭的TOS(type of service)域是否是壹個特定的值。也是只有在被檢測包TOS域的值和給定的值精確匹配時，這個測試才會成功。
格式：
tos:"";
3.5 ID
這個選項關鍵詞用來測試IP分片包頭的ID域。壹些黑客工具為了不同的目的把這個域設置為特殊的值，例如：31337是在壹些黑客中比較流行的值。使用這個選項就可以阻止這種攻擊。
格式：
id: "";
3.6 lpoption
如果IP包中有選項域，可以使用這個規則選項搜索IP包頭的特定選項，例如源路由。這個規則選項可以使用的參數如下：
rr:路由記錄
eof:End of list
nop:無操作
ts:時間戳
sec:IP安全選項
lsrr:寬松源路由(loose source routing)
ssrr:嚴格源路由(strict source roution)
satid:流標識符
最常被註意的IP選項是loose&strict source routing，不過在Internet上廣泛使用的任何應用程序中都沒使用這兩個選項。每條規則中只能設定壹個IP規則。
格式：
ipopts: ;
3.7 fragbits
使用這個規則選項可以觀察IP包頭的分片位和保留位。它們在IP包頭的標識域，***有3位，分別是：保留為(reserved bit,RB)、還有分組片位(more fragments,MF)、不可分片(dont fragment,DF)。這些位可以以各種方式組合檢查，使用下面的值指定：
R：保留位
D：DF位
M：MF位
妳也可以使用修飾符號對特定的位進行邏輯組合：
+--ALL標誌，指定的位加上任何其它的位為真
*--ANY標誌，指定的任何位為真
!--NOT標誌，指定的位不為真
格式：
fragbits: ;
例子：
alert tcp !$HOME_NET any -> $HOME_NET any (fragbits:R+;msg:"Reserverd IP bit set!";)