怎么来减少误报漏报.txt

规则的漏报
1.当我们选取的规则特征其中包含操作系统或其它于平台环境相关的数据时，则有可能出现漏报．
所以，我们在确认将特征作为这条规则的特征前，我们要尽可能的在多个平台，不同版本的操作系统上去测试，以降低漏报．
2.软件更新导致
3.还有客户实际环境的影响，比如可能通过代理等等情况
4.还有关于软件网络功能一定要分析完整，比如P2P流媒体存在不同的播放形式，有高清、点播、直播对应的协议不同，要多分析完整
反正漏洞一定要结合实际环境还有平台、版本等等的关系，多考虑


规则的误报
当我们开发的规则，与用户网络中某种正常的流量冲突的时候，就会产生误报了．
我们避免误报的方法，就是按照规则的几个特征，将规则细化．

譬如：
如果用户网络中某种协议的数据包只在某个特定的端口发出，那么我们可以加入端口判断来进行区别．
如果用户网络中的某种协议的数据包，包含除规则特征外的其它特征，则也可以加入判断进行区别．
我们的原则就是规则的特征必须是唯一的．
还有比如可以加入是会话的第几个回应包等等来使特征细化
还有就是有空的时候多进行逆向，可能能够发现意想不到的特征