suricata 3.1 源码分析7

末蓝、 2022-07-18 04:06 204阅读 0赞

DetectEngineCtx *de_ctx = NULL;
        if (!suri.disabled_detect) {     //detect设为启用
            SCClassConfInit();

解析Class相关正则

SCReferenceConfInit();

解析Refference相关正则

SetupDelayedDetect(&suri);

设置是否延迟检测。若delayed-detect为yes，则系统将在载入规则集之前就开始处理数据包，这样能够在IPS模式下减少系统的down time（宕机时间）。

int mt_enabled = 0;
            (void)ConfGetBool("multi-detect.enabled", &mt_enabled);
            int default_tenant = 0;
            if (mt_enabled)
                (void)ConfGetBool("multi-detect.default", &default_tenant);
            if (DetectEngineMultiTenantSetup() == -1) {
                SCLogError(SC_ERR_INITIALIZATION, "initializing multi-detect "
                        "detection engine contexts failed.");
                exit(EXIT_FAILURE);
            }

这块的功能不是很清楚，留着以后再看。

if ((suri.delayed_detect || (mt_enabled && !default_tenant)) &&
                    (suri.run_mode != RUNMODE_CONF_TEST)) {
                de_ctx = DetectEngineCtxInitMinimal();
            } else {
                de_ctx = DetectEngineCtxInit();

初始化Decect engine。若配置文件中未指定mpm(多模式匹配器)，则默认使用AC，即使用 mpm\_table中AC那一项。SRepInit函数（与前面的SCReputationInitCtx不同！）会初始化检测引擎中域 reputaion相关信息，即从配置文件中指定的文件中读取声望数据。其余配置比较复杂，暂不关注。

}
            if (de_ctx == NULL) {
                SCLogError(SC_ERR_INITIALIZATION, "initializing detection engine "
                        "context failed.");
                exit(EXIT_FAILURE);
            }
    
            if (!de_ctx->minimal) {
                if (LoadSignatures(de_ctx, &suri) != TM_ECODE_OK)
                    exit(EXIT_FAILURE);

个人认为这是加载信号的相关处理，不能确定。

if (suri.run_mode == RUNMODE_ENGINE_ANALYSIS) {
                    exit(EXIT_SUCCESS);
                }
            }
    
            DetectEngineAddToMaster(de_ctx);

字面理解是将detectEngine加到Master中，这里的master不清楚是什么。

} else {
            /* tell the app layer to consider only the log id */
            RegisterAppLayerGetActiveTxIdFunc(AppLayerTransactionGetActiveLogOnly);
        }