Snort Regeln

[roy]

Hallo,

ich möchte Angriffssignaturen für Snort nach folgendem Muster
erstellen

alert TCP SIP SP -> DIP DP (msg: "keine gültige Session";)

FALLS vorher keine Session zwischen SIP und DP auf diesen Ports
erstellt wurde.

Hintergrund: Erkennung von Verbindungsterminierungen durch nicht
autorisierte/beteiligte Benutzer (Spoofing mal außer 8 gelassen)

Mit dynamischen Regeln scheint das nicht zu funktionieren.. (if ->
then) Ich brauche eine Art

"if not an established connection AND say Bye -> then alert"

Vielleicht sehe ich den Wald vor lauter Bäumen nicht.... kann mir
jemand helfen?

Vielen Dank im Voraus,

Roy