История страницы

...

Блок кода
esr(config-if-gi)# service-ips inline

Настройка параметров кэширования записей контентной фильтрации

content-filter

Данной командой осуществляется переход в режим конфигурирования параметров кэширования записей контентной фильтрации.

Синтаксис

content-filter

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS

Пример

Блок кода
esr(config-ips)# content-filter

uri cache-size

Данная команда позволяет указать количество записей, которые будут храниться в памяти устройства.

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис

[no] uri cache-size <NUMBER>

Параметры

<NUMBER> – значение размера кэша контент-фильтра в количестве записей. Принимает значение в диапазоне [1; 32768]. Значение по умолчанию – 32768.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CONTENT-FILTER

Пример

Блок кода
esr(config-ips-content-filter)# uri cache-size 940

uri reachable-interval

Данная команда позволяет настроить среднее время, в течение которого запись URI всё ещё действительна.

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис

[no] uri reachable-interval <DAYS>

Параметры

<DAYS> – количество дней, в течение которых запись URI всё ещё действительна. Принимает значения [1; 365]. Значение по умолчанию – 7.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CONTENT-FILTER

Пример

Блок кода
esr(config-ips-content-filter)# uri reachable-interval 30

Настройка автообновления правил IPS/IDS, распространяемых по коммерческой лицензии

...

Данной командой осуществляется переход в режим конфигурирования источника обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис

content-provider

Необходимый уровень привилегий

15

Командный режим

CONFIG

Пример

Блок кода
esr(config)# content-provider

...

Данной командой задаётся адрес сервера обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис

host address { <ADDR> | <IPV6-ADDR> | <WORD> }

Параметры

<ADDR> – IP-адрес сервера, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

...

<WORD> – DNS-имя сервера, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# host address edm.eltex-co.ru

...

Использование отрицательной формы команды (no) удаляет номер TCP-порта сервера обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис

host port <PORT> 
no host port

Параметры

<PORT> – номер TCP-порта, принимает значения [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# host port 8098

...

Примечание
Данный параметр можно увидеть в разделе Информация об устройстве web-интерфейса EDM-Issue или выводе команд show интерфейса командной строки EDM-Issue.

Синтаксис

location <WORD>
no location

Параметры

<WORD> – описание, задаётся строкой до 255 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# location "Server room in Novokuznetsk office"

...

При наличии функциональной лицензии IPS/IDS перезагрузки не происходит.

Синтаксис

reboot { immediately | time <TIME> }

Параметры

immediately – перезагружаться сразу после получения лицензии;

...

<TIME> – время перезагрузки в формате HH:MM:SS.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# reboot time 05:00:00

...

Использование отрицательной формы команды (no) останавливает сохранение правил.

Синтаксис

storage-path { usb://<USB-NAME>:/ | mmc://<MMC-NAME>:/ }

no storage-device

Параметры

<USB-NAME> – имя подключенного USB-носителя. Имя можно узнать в выводе команды show storage-devices usb;

...

Необходимый уровень привилегий config-ips-upgrade-user-server

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# storage-device usb://DATA/IPS

...

Примечание
Данный параметр можно увидеть в разделе Информация об устройстве web-интерфейса EDM-Issue или выводе команд show интерфейса командной строки EDM-Issue.

Синтаксис

system-name <WORD>
no system-name

Параметры

<WORD> – имя, задаётся строкой до 253 символа.

...

По умолчанию значение system-name совпадает с hostname.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# system-name main-office

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис

upgrade interval <HOURS>

no upgrade interval

Параметры

<HOURS> – интервал обновлений в часах, от 1 до 240.

Значение по умолчанию

24

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример

Блок кода
esr(config-content-provider)# upgrade interval 36

...

Данной командой осуществляется переход в режим конфигурирования источников обновлений правил для сервиса.

Синтаксис

auto-upgrade

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS

Пример

Блок кода
esr(config-ips)# auto-upgrade

...

Использование отрицательной формы команды (no) останавливает сохранение правил.

Синтаксис

storage-path { usb://<USB-NAME>:/ | mmc://<MMC-NAME>:/ }

no storage-device

Параметры

<USB-NAME> – имя подключенного USB-носителя. Имя можно узнать в выводе команды show storage-devices usb;

...

Необходимый уровень привилегий config-ips-upgrade-user-server

15

Командный режим

CONFIG-IPS

Пример

Блок кода
esr(config-ips)# storage-device usb://DATA/

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис

upgrade interval <HOURS>

no upgrade interval

Параметры

<HOURS> – интервал обновлений в часах, от 1 до 240.

Значение по умолчанию

24

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-UPGRADE-USER-SERVER

Пример

Блок кода
esr(config-ips-upgrade-user-server)# upgrade interval 36

...

Использование отрицательной формы команды (no) удаляет ссылку из конфигурации источника обновлений правил IPS/IDS.

Синтаксис

url <URL>

no url

Параметры

<URL> – текстовое поле, содержащее URL-ссылку длиной от 8 до 255 символов.

...

файл правил с расширение .rule,
файл классификатора правил с именем classification.config,
каталог на сервере, содержащий файлы правил и/или файл классификатора правил.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-UPGRADE-USER-SERVER

Пример

Блок кода
esr(config-ips-upgrade-user-server)# url https://rules.emergingthreats.net/open/suricata-4.0/rules/

...

Использование отрицательной формы команды (no) удаляет пользовательский сервер обновлений правил IPS/IDS и все правила, полученные с этого сервера.

Синтаксис

user-server <WORD>

no user-server { <WORD> | all }

Параметры

<WORD> – имя сервера, задается строкой от 1 до 64 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-AUTO-UPGRADE

Пример

Блок кода
esr(config-ips-auto-upgrade)# user-server ET-Open

...

Использование отрицательной формы команды (no) удаляет назначенное действие.

Синтаксис

action { alert | reject | pass | drop }

no action

Параметры

alert – прохождение трафика разрешается, и сервис IPS/IDS генерирует сообщение;
reject – прохождение трафика запрещается. Если это TCP-трафик, отправителю и получателю посылается пакет TCP-RESET, для остального типа трафика посылается пакет ICMP-ERROR. Cервис IPS/IDS генерирует сообщение;
pass – прохождение трафика разрешается;
drop – прохождение трафика запрещается, и сервис IPS/IDS генерирует сообщение.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# action reject

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

destination-address { ip <ADDR> | ip-prefix <ADDR/LEN> | object-group <OBJ_GR_NAME> | policy-object-group { protect | external } | any }

no destination-address

Параметры

<ADDR> – IP-адрес получателя, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

...

При указании значения «any» правило будет срабатывать для любого IP-адреса получателя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# destination-address ip 10.10.10.1

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

destination-port { any | <PORT> | object-group <OBJ-GR-NAME> }

no destination-port

Scroll Pagebreak

Параметры

<PORT> – номер TCP/UDP-порта получателя, принимает значения [1..65535];

...

При указании значения «any» правило будет срабатывать для любого TCP/UDP-порта получателя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# destination-port 22

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

direction { one-way | round-trip }

no direction

Параметры

one-way – трафик передаётся в одну сторону;
round-trip – трафик передаётся в обе стороны.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# direction one-way

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip dscp <DSCP>

[no] ip dscp

Параметры

<DSCP> – значение кода DSCP, принимает значения [0..63].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip dscp 8

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip ftp command <COMMAND>

[no] ip ftp command

Параметры

<COMMAND> – может принимать следующие значения:

<retr> – скачать файл;
<stor> – залить файл;
<mkd> – создать директорию;
<rmd> – удалить директорию;
<appe> – добавить в конец файла (с созданием);
<dele> – удалить файл.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# protocol ftp esr(config-ips-category-rule)# ip ftp command allo

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip ftp-data command <COMMAND>

[no] ip ftp-data command

Параметры

<COMMAND> – может принимать следующие значения:

<retr> – скачать файл;
<stor> – залить файл;
<appe> – добавить в конец файла (с созданием).

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# protocol ftp-data esr(config-ips-category-rule)# ip ftp-data command stor

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip http <COMMAND>

[no] ip http

Параметры

<COMMAND> – может принимать следующие значения:

...

Значения и применение ключевых слов протокола HTTP подробно описаны в документации SNORT 2.X/Suricata 4.X.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload content "HTTP/1.0" esr(config-ips-category-rule)# ip http protocol

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip http content-filter <NAME>

[no] ip http content-filter

Параметры

<NAME> – имя профиля контентной фильтрации, задаётся строкой до 31 символа.

any – правило будет срабатывать для http-сайтов любой категории.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip http content-filter Black-List

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip http method <COMMAND>

[no] ip http method

Параметры

<COMMAND> – может принимать следующие значения:

<GET> – запрашивает представление ресурса. Запросы с использованием этого метода могут только извлекать данные;
<HEAD> – запрашивает ресурс так же, как и метод GET, но без тела ответа;
<POST> – используется для отправки сущностей к определённому ресурсу;
<PUT> – заменяет все текущие представления ресурса данными запроса;
<DELETE> – удаляет указанный ресурс;
<CONNECT> – устанавливает «туннель» к серверу, определённому по ресурсу;
<OPTIONS> – используется для описания параметров соединения с ресурсом;
<TRACE> – выполняет вызов возвращаемого тестового сообщения с ресурса;
<PATCH> – используется для частичного изменения ресурса.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip http method get

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip icmp code <CODE>

[no] ip icmp code

Параметры

<CODE> – значение CODE протокола ICMP, принимает значение в диапазоне [0..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp code 5

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис

ip icmp code comparison-operator { greater-than | less-than }

[no] ip icmp code comparison-operator

Параметры

greater-than – больше чем;
less-than – меньше чем.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp code 5 esr(config-ips-category-rule)# ip icmp code comparison-operator less-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip icmp id <ID>

[no] ip icmp id

Параметры

<ID> – значение ID протокола ICMP, принимает значение в диапазоне [0..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp id 65000

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip icmp sequence-id <SEQ-ID>

[no] ip icmp sequence-id

Параметры

<SEQ-ID> – значение Sequence-ID протокола ICMP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp sequence-id 8388608

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip icmp type <TYPE>

[no] ip icmp type

Параметры

<TYPE> – значение TYPE протокола ICMP, принимает значение в диапазоне [0..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp type 12

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис

ip icmp type comparison-operator { greater-than | less-than }

[no] ip icmp type comparison-operator

Параметры

greater-than – больше чем;
less-than – меньше чем.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip icmp type 14 esr(config-ips-category-rule)# ip icmp code comparison-operator greater-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip protocol-id <ID>

[no] ip protocol-id

Параметры

<ID> – идентификационный номер IP-протокола [1..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip protocol-id 250

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip tcp acknowledgment-number <ACK-NUM>

[no] ip tcp acknowledgment-number

Параметры

<ACK-NUM> – значение Acknowledgment-Number протокола TCP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip tcp acknowledgment-number 32

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip tcp sequence-id <SEQ-ID>

[no] ip tcp sequence-id

Параметры

<SEQ-ID> – значение Sequence-ID протокола TCP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip tcp sequence-id 2542

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip tcp window-size <SIZE>

[no] ip tcp window-size

Параметры

<SIZE> – значение Window-Size протокола TCP, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip tcp window-size 50

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip tls content-filter <NAME>

[no] ip tls content-filter

Параметры

<NAME> – имя профиля контентной фильтрации, задаётся строкой до 31 символа.

any – правило будет срабатывать для http-сайтов любой категории.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip tls content-filter Black-List

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

ip ttl <TTL>

[no] ip ttl

Параметры

<TTL> – время жизни IP-пакета, принимает значения [1..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip ttl 8

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис

ip ttl comparison-operator { greater-than | less-than }

[no] ip ttl comparison-operator

Параметры

greater-than – больше чем;
less-than – меньше чем.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# ip ttl 5 esr(config-ips-category-rule)# ip ttl comparison-operator less-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

meta classification-type { not-suspicious | unknown | bad-unknown | attempted-recon | successful-recon-limited | successful-recon-largescale | attempted-dos | successful-dos | attempted-user | unsuccessful-user | successful-user | attempted-admin | successful-admin | rpc-portmap-decode | shellcode-detect | string-detect | suspicious-filename-detect | suspicious-login | system-call-detect | tcp-connection | trojan-activity | unusual-client-port-connection | network-scan | denial-of-service | non-standard-protocol | protocol-command-decode | web-application-activity | web-application-attack | misc-activity | misc-attack | icmp-event | inappropriate-content | policy-violation | default-login-attempt }

[no] meta classification-type

Параметры

not-suspicious – неподозрительный трафик;
unknown – неизвестный трафик;
bad-unknown – потенциально плохой трафик;
attempted-recon – попытка утечки информации;
successful-recon-limited – утечка информации;
successful-recon-largescale – масштабная утечка информации;
attempted-dos – попытка отказа в обслуживании;
successful-dos – отказ в обслуживании;
attempted-user – попытка получения привилегий пользователя;
unsuccessful-user – безуспешная попытка получения привилегий пользователя;
successful-user – успешная попытка получения привилегий пользователя;
attempted-admin – попытка получения привилегий администратора;
successful-admin – успешная попытка получения привилегий администратора;
rpc-portmap-decode – декодирование запроса RPC;
shellcode-detect – обнаружен исполняемый код;
string-detect – обнаружена подозрительная строка;
suspicious-filename-detect – было обнаружено подозрительное имя файла;
suspicious-login – была обнаружена попытка входа с использованием подозрительного имени пользователя;
system-call-detect – обнаружен системный вызов;
tcp-connection – обнаружено TCP-соединение;
trojan-activity – был обнаружен сетевой троян;
unusual-client-port-connection – клиент использовал необычный порт;
network-scan – обнаружение сетевого сканирования;
denial-of-service – обнаружение атаки отказа в обслуживании;
non-standard-protocol – обнаружение нестандартного протокола или события;
protocol-command-decode – обнаружена попытка шифрования;
web-application-activity – доступ к потенциально уязвимому веб-приложению;
web-application-attack – атака на веб-приложение;
misc-activity – прочая активность;
misc-attack – прочие атаки;
icmp-event – общее событие ICMP;
inappropriate-content – обнаружено неприемлемое содержание;
policy-violation – потенциальное нарушение корпоративной конфиденциальности;
default-login-attempt – попытка входа с помощью стандартного логина/пароля.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# meta classification-type misc-attack

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

meta log-message <MESSAGE>

[no] mera log-message

Параметры

<MESSAGE> – текстовое сообщение, задаётся строкой до 128 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# meta log-message "Possible SlowLorys attack"

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

payload content <CONTENT>

[no] payload content <CONTENT>

Параметры

<CONTENT> – текстовое сообщение, задаётся строкой до 1024 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload content "virus"

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

payload data-size <SIZE>

[no] payload data-size

Параметры

<SIZE> – размер содержимого пакетов, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload data-size 1024

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис

payload data-size comparison-operator { greater-than | less-than }

[no] payload data-size comparison-operator

Параметры

greater-than – больше чем;
less-than – меньше чем.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload data-size 1024 esr(config-ips-category-rule)# payload data-size comparison-operator less-than

...

Использование отрицательной формы команды (no) означает что будет проверяться все содержимое пакета на точное соответствие.

Синтаксис

payload depth <DEPTH>

[no] payload content depth

Параметры

<DEPTH> – число байт с начала содержимого пакета, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload content "abc" esr(config-ips-category-rule)# payload depth 3

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

payload no-case

[no] payload content no-case

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload content "virus" esr(config-ips-category-rule)# payload no-case

...

Использование отрицательной формы команды (no) означает что будет проверяться все содержимое пакета на точное соответствие.

Синтаксис

payload offset <OFFSET>

[no] payload content offset

Параметры

<OFFSET> – число байт смещения от начала содержимого пакета, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# payload content "abc" esr(config-ips-category-rule)# payload depth 6 esr(config-ips-category-rule)# payload offset 3

...

Данной командой устанавливается имя IP-протокола, для которого должно срабатывать правило. Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

protocol { any | ip | icmp | http | tcp | tls | udp }

[no] protocol

Параметры

any – правило будет срабатывать для любых протоколов;
ip – правило сработает для протокола ip. В правиле можно настроить дополнительную фильтрацию командой ip protocol-id;
icmp – правило сработает для протокола icmp. При выборе этого параметра значения source-port и destination-port должны быть any. В правиле можно настроить дополнительную фильтрацию командами ip icmp;
http – правило сработает для протокола http. В правиле можно настроить дополнительную фильтрацию командами ip http;
tсp – правило сработает для протокола tсp. В правиле можно настроить дополнительную фильтрацию командами ip tсp;
tls – правило сработает для протокола https. В правиле можно настроить дополнительную фильтрацию командами ip tls;
udp – правило сработает для протокола tсp. В правиле можно настроить дополнительную фильтрацию командами ip udp;
ftp – правило сработает для протокола ftp. В правиле можно настроить дополнительную фильтрацию командами ip ftp;
ftp-data – правило сработает для поля data протокола ftp. В правиле можно настроить дополнительную фильтрацию командами ip ftp-data.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# protocol udp

...

Использование отрицательной формы команды (no) удаляет указанное правило.

Синтаксис

[no] rule <ORDER>

Параметры

<ORDER> – номер правила, принимает значения [1..512].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY

Пример

Блок кода
esr(config-ips-category)# rule 10 esr(config-ips-category-rule)#

...

Использование отрицательной формы команды (no) удаляет сконфигурированную политику настроек сервиса IPS.

Синтаксис

[no] security ips-category user-defined <CATEGORY_NAME>

Параметры

<CATEGORY_NAME> – имя набора пользовательских правил сервиса IPS/IDS, задаётся строкой до 31 символов.

Примечание
В текущей версии использование символа «_» (нижнее подчёркивание) в <CATEGORY_NAME> недопустимо.

Необходимый уровень привилегий

15

Командный режим

CONFIG

Пример

Блок кода
esr(config)# security ips-category user-defined PROTOCOL esr(config-ips-category)#

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

source-address {ip <ADDR> | ip-prefix <ADDR/LEN> | object-group <OBJ_GR_NAME> | policy-object-group { protect | external } | any }

no source-address

Параметры

<ADDR> – IP-адрес отправителя, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

...

При указании значения «any» правило будет срабатывать для любого IP-адреса отправителя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# source-address ip-prefix 192.168.0.0/16

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

source-port { any | <PORT> | object-group <OBJ-GR-NAME> }

no source-port

Параметры

<PORT> – номер TCP/UDP-порта отправителя, принимает значения [1..65535];

...

При указании значения «any» правило будет срабатывать для любого TCP/UDP-порта отправителя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# source-port 22

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

threshold count <COUNT>

[no] threshold count

Параметры

<COUNT> – число пакетов, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# threshold count 1024

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

threshold second <SECOND>

[no] threshold second

Параметры

<SECOND> – интервал времени в секундах, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# threshold second 1

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

threshold track { by_src | by_dst }

[no] threshold track

Параметры

by_src – считать пороговое значение для пакетов с одинаковым IP отправителя;
by_dst – считать пороговое значение для пакетов с одинаковым IP получателя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода
esr(config-ips-category-rule)# threshold track by-src

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис

threshold type { treshhold | limit | both }

[no] threshold type

Параметры

threshold – выдавать сообщение каждый раз по достижении порога;
limit – выдавать сообщение не чаще <COUNT> раз за интервал времени <SECOND>;
both – комбинация threshold и limit. Сообщение будет генерироваться, если в течение интервала времени <SECOND> было <COUNT> или более пакетов, подходящих под условия правила, и сообщение будет отправлено только один раз в течении интервала времени.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример

Блок кода

esr(config-ips-category-rule)# threshold count 1024
esr(config-ips-category-rule)# threshold second 1
esr(config-ips-category-rule)# threshold track by-src
esr(config-ips-category-rule)# threshold type treshold

...

Использование отрицательной формы команды (no) удаляет указанное правило.

Синтаксис

[no] rule-advanced <ORDER>

Параметры

<ORDER> – номер правила, принимает значения [1..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE-ADVANCED

Пример

Блок кода
esr(config-ips-category)# rule-advanced 10 esr(config-ips-category-rule-advanced)#

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис

rule-text <LINE>

[no] rule-text

Scroll Pagebreak

Параметры

<LINE> – текстовое сообщение в формате SNORT 2.X/Suricata 4.X, задаётся строкой до 1024 символов.

При написании правил в тексте правила необходимо использовать только двойные кавычки (символ "), а само правило необходимо заключать в одинарные кавычки (символ ').

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE-ADVANCED

Пример

Блок кода

esr(config-ips-category-rule-advanced)# rule-text 'alert tcp any any -> $HOME_NET any (msg: "ATTACK [PTsecurity] Attempt to crash named using malformed RNDC packet"; flow: established, to_server; content:"_auth"; depth: 20; fast_pattern; content: !"|02 00 00 00|"; within: 4; content: "_ctrl"; content: "_ser"; content: "_tim"; content: "_exp"; reference: cve, 2016-1285; classtype: attempted-dos; reference: url, github.com/ptresearch/AttackDetection; metadata: Open Ptsecurity.com ruleset; sid: 10000005; rev: 3; )'

...

Дерево страниц

История страницы

Сравнение версий

Старая версия 7

Новая версия 8

Ключ

Настройка параметров кэширования записей контентной фильтрации

content-filter

Синтаксис

Необходимый уровень привилегий

Командный режим

Пример

uri cache-size

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

uri reachable-interval

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Настройка автообновления правил IPS/IDS, распространяемых по коммерческой лицензии

Синтаксис

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий config-ips-upgrade-user-server

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Значение по умолчанию

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Необходимый уровень привилегий

Командный режим

Пример

Синтаксис

Параметры

Необходимый уровень привилегий config-ips-upgrade-user-server

Командный режим

Пример

Синтаксис

Параметры

Значение по умолчанию

Необходимый уровень привилегий

Командный режим

Пример