tcp any any -> any any PCRE(/^POST.*Contentx2dLengthx2ax20evilstring)
1) 해당 Rule은 어떤 문제점을 가지고 있는가?
2) 해결방안은 무엇인가?
1) Rule에는 HTTP프로토콜에 대한 정규식(POST, Content-Length가 포함)이지만 모든 포트 any로 설정되어 있어 HTTP서비스가 아닌 불필요한 트랙픽에 대해서도 감시를 수행함. 시스템에 오버헤드 유발. 2) 목적지 주소와 포트를 웹서버주소, 80 포트로 설정하여 부하를 감소 tcp any any -> 웹서버IP 80