求助:有关snort中rules的编写问题

speedwolf

上周,一兄弟问我是否可以用snort,当别人用nessus扫描时报警.
(snort2.2,winpcap3.1.汗...我一开始用的都是最新的版本....结果snort就是出错...汗....)
我试了一下子local.rule:

alert tcp any any ->$HOME_NET  any (content:"nessus";msg:"nessus scan";)

结果用xscan扫描,并无任何报警信息.....

后来又加上这句:

alert tcp any any ->$HOME_NET  any (content:"|6E 65 73 75 75 73|";msg:"nessus scan";)
alert tcp any any ->$HOME_NET  any (content:"n e s s u s";msg:"nessus scan";)


也没有成功....想请教一下......是否我自己写的规则有问题?如是,请指教....如果是其他问题,请告之,谢谢
(2000pro snort -v -e -d -c-l  都能正常显示

speedwolf

汗.....自己顶一下.........

speedwolf

汗,再顶一下......