ESR-series Documentation 1.24
Дерево страниц

Сравнение версий

Старая версия 12

changes.mady.by.user Сервисный центр Ethernet

Сохранено

по сравнению с

Новая версия Текущий

changes.mady.by.user Отдел Документации

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Блок кода
esr(config-ips)# queue-limit 2048

default-packet-size follow-mtu

Данной командой включается вычисление максимального MTU среди интерфейсов, участвующих в работе IPS. При включении опции, значение default-packet-size становится равно вычисленному MTU + размер Ethernet-заголовка.

Использование отрицательной формы команды (no) сбрасывает значение MTU в конфигурации IPS/IDS на стандартное 1514 (размер MTU 1500 + заголовок ethernet 14).

Синтаксис
default-packet-size follow-mtu
[no] default-packet-size
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS

Пример
Блок кода
esr(config-ips)# default-packet-size follow-mtu

security ips

Команда используется для создания профиля сервиса IPS/IDS и перехода в режим его конфигурирования.

Синтаксис
security ips
Необходимый уровень привилегий

15

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ips

...

Использование отрицательной формы команды (no) выключает сервис IPS/IDS на сетевом интерфейсе.

Синтаксис
service-ips { inline | monitor }
[no] service-ips

...

monitor – режим работы сервиса IPS/IDS, когда устройство подключается к SPAN/RSPAN-порту. В этом режиме возможно только детектировать трафик, т. е. сервис работает в режиме IDS.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IF-GI

CONFIG-IF-TE

CONFIG-IF-TWE

CONFIG-IF-FO

CONFIG-IF-HU

CONFIG-IF-SUB

CONFIG-IF-QINQ

CONFIG-IF-PORT-CHANNEL

CONFIG-BRIDGE

Пример
Блок кода
esr(config-if-gi)# service-ips inline

...

Данной командой осуществляется переход в режим конфигурирования параметров кэширования записей контентной фильтрации.

Синтаксис
content-filter
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS

Пример
Блок кода
esr(config-ips)# content-filter

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
[no] uri cache-size <NUMBER>

...

<NUMBER> – значение размера кэша контент-фильтра в количестве записей. Принимает значение в диапазоне [1; 32768]. Значение по умолчанию – 32768.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CONTENT-FILTER

Пример
Блок кода
esr(config-ips-content-filter)# uri cache-size 940

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
[no] uri reachable-interval <DAYS>

...

<DAYS> – количество дней, в течение которых запись URI всё ещё действительна. Принимает значения [1; 365]. Значение по умолчанию – 7.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CONTENT-FILTER

Пример
Блок кода
esr(config-ips-content-filter)# uri reachable-interval 30

...

Данной командой осуществляется переход в режим конфигурирования источника обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис
content-provider
Необходимый уровень привилегий

15

Командный режим

CONFIG

Пример
Блок кода
esr(config)# content-provider

...

Данной командой задаётся адрес сервера обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис
host address { <ADDR> | <IPV6-ADDR> | <WORD> }

...

<WORD> – DNS-имя сервера, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# host address edm.eltex-co.ru

...

Использование отрицательной формы команды (no) удаляет номер TCP-порта сервера обновлений правил, распространяемых по коммерческой лицензии.

Синтаксис
host port <PORT> 
no host port

...

<PORT> – номер TCP-порта, принимает значения [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# host port 8098

...

Примечание

Данный параметр можно увидеть в разделе Информация об устройстве web-интерфейса EDM-Issue или выводе команд show интерфейса командной строки EDM-Issue.

Синтаксис
location <WORD>
no location

...

<WORD> – описание, задаётся строкой до 255 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# location "Server room in Novokuznetsk office"

...

При наличии функциональной лицензии IPS/IDS перезагрузки не происходит.

Синтаксис
reboot { immediately | time <TIME> }

...

<TIME> – время перезагрузки в формате HH:MM:SS.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# reboot time 05:00:00

...

Использование отрицательной формы команды (no) останавливает сохранение правил.

Синтаксис
storage-path { usb://<USB-NAME>:/ | mmc://<MMC-NAME>:/ }

...

Необходимый уровень привилегий config-ips-upgrade-user-server

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# storage-device usb://DATA/IPS

...

Примечание

Данный параметр можно увидеть в разделе Информация об устройстве web-интерфейса EDM-Issue или выводе команд show интерфейса командной строки EDM-Issue.

Синтаксис
system-name <WORD>
no system-name

...

По умолчанию значение system-name совпадает с hostname.

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# system-name main-office

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
upgrade interval <HOURS>
no upgrade interval

...

<HOURS> – интервал обновлений в часах, от 1 до 240.

Значение по умолчанию

24

Необходимый уровень привилегий

15

Командный режим

CONFIG-CONTENT-PROVIDER

Пример
Блок кода
esr(config-content-provider)# upgrade interval 36

...

Данной командой осуществляется переход в режим конфигурирования источников обновлений правил для сервиса.

Синтаксис
auto-upgrade
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS

Пример
Блок кода
esr(config-ips)# auto-upgrade

...

Использование отрицательной формы команды (no) останавливает сохранение правил.

Синтаксис
storage-path { usb://<USB-NAME>:/ | mmc://<MMC-NAME>:/ }

...

Необходимый уровень привилегий config-ips-upgrade-user-server

15

Командный режим

CONFIG-IPS

Пример
Блок кода
esr(config-ips)# storage-device usb://DATA/

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
upgrade interval <HOURS>
no upgrade interval

...

<HOURS> – интервал обновлений в часах, от 1 до 240.

Значение по умолчанию

24

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-UPGRADE-USER-SERVER

Пример
Блок кода
esr(config-ips-upgrade-user-server)# upgrade interval 36

...

Использование отрицательной формы команды (no) удаляет ссылку из конфигурации источника обновлений правил IPS/IDS.

Синтаксис
url <URL>
no url
Параметры

<URL> – текстовое поле, содержащее URL-ссылку длиной от 8 до 255 символов.

...

  • файл правил с расширение .rule,
  • файл классификатора правил с именем classification.config,
  • каталог на сервере, содержащий файлы правил и/или файл классификатора правил.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-UPGRADE-USER-SERVER

Пример
Блок кода
esr(config-ips-upgrade-user-server)# url https://rules.emergingthreats.net/open/suricata-4.0/rules/

...

Использование отрицательной формы команды (no) удаляет пользовательский сервер обновлений правил IPS/IDS и все правила, полученные с этого сервера.

Синтаксис
user-server <WORD>
no user-server { <WORD> | all }

...

<WORD> – имя сервера, задается строкой от 1 до 64 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-AUTO-UPGRADE

Пример
Блок кода
esr(config-ips-auto-upgrade)# user-server ET-Open

...

Использование отрицательной формы команды (no) удаляет назначенное действие.

Синтаксис
action { alert | reject | pass | drop }

...

  • alert – прохождение трафика разрешается, и сервис IPS/IDS генерирует сообщение;
  • reject – прохождение трафика запрещается. Если это TCP-трафик, отправителю и получателю посылается пакет TCP-RESET, для остального типа трафика посылается пакет ICMP-ERROR. Cервис IPS/IDS генерирует сообщение;
  • pass – прохождение трафика разрешается;
  • drop – прохождение трафика запрещается, и сервис IPS/IDS генерирует сообщение.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# action reject

Scroll Pagebreak

destination-address

Данной командой устанавливаются IP-адреса получателя, для которых должно срабатывать правило.

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
destination-address { ip <ADDR> | ip-prefix <ADDR/LEN> | object-group <OBJ_GR_NAME> | policy-object-group { protect | external } | any }

...

При указании значения «any» правило будет срабатывать для любого IP-адреса получателя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# destination-address ip 10.10.10.1

...

Использование отрицательной формы команды (no) удаляет назначение.

Scroll Pagebreak

Синтаксис
destination-port { any | <PORT> | object-group <OBJ-GR-NAME> }
no destination-port

Scroll Pagebreak

Параметры

<PORT> – номер TCP/UDP-порта получателя, принимает значения [1..65535];

...

При указании значения «any» правило будет срабатывать для любого TCP/UDP-порта получателя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# destination-port 22

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
direction { one-way | round-trip }

...

  • one-way – трафик передаётся в одну сторону;
  • round-trip – трафик передаётся в обе стороны.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# direction one-way

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip dscp <DSCP>
[no] ip dscp

...

<DSCP> – значение кода DSCP, принимает значения [0..63].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip dscp 8

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip ftp command <COMMAND>
[no] ip ftp command

...

  • <retr> – скачать файл;
  • <stor> – залить файл;
  • <mkd> – создать директорию;
  • <rmd> – удалить директорию;
  • <appe> – добавить в конец файла (с созданием);
  • <dele> – удалить файл.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# protocol ftp
esr(config-ips-category-rule)# ip ftp command allo

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip ftp-data command <COMMAND>

...

  • <retr> – скачать файл;
  • <stor> – залить файл;
  • <appe> – добавить в конец файла (с созданием).
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# protocol ftp-data
esr(config-ips-category-rule)# ip ftp-data command stor

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip http <COMMAND>
[no] ip http

...

Значения и применение ключевых слов протокола HTTP подробно описаны в документации SNORT 2.X/Suricata 4.X.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload content "HTTP/1.0"
esr(config-ips-category-rule)# ip http protocol

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip http content-filter <NAME>

...

any – правило будет срабатывать для http-сайтов любой категории.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip http content-filter Black-List

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip http method <COMMAND>
[no] ip http method

...

  • <GET> – запрашивает представление ресурса. Запросы с использованием этого метода могут только извлекать данные;
  • <HEAD> – запрашивает ресурс так же, как и метод GET, но без тела ответа;
  • <POST> – используется для отправки сущностей к определённому ресурсу;
  • <PUT> – заменяет все текущие представления ресурса данными запроса;
  • <DELETE> – удаляет указанный ресурс;
  • <CONNECT> – устанавливает «туннель» к серверу, определённому по ресурсу;
  • <OPTIONS> – используется для описания параметров соединения с ресурсом;
  • <TRACE> – выполняет вызов возвращаемого тестового сообщения с ресурса;
  • <PATCH> – используется для частичного изменения ресурса.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip http method get

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip icmp code <CODE>
[no] ip icmp code

...

<CODE> – значение CODE протокола ICMP, принимает значение в диапазоне [0..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp code 5

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис
ip icmp code comparison-operator { greater-than | less-than }

...

  • greater-than – больше чем;
  • less-than – меньше чем.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp code 5
esr(config-ips-category-rule)# ip icmp code comparison-operator less-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip icmp id <ID>
[no] ip icmp id

...

<ID> – значение ID протокола ICMP, принимает значение в диапазоне [0..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp id 65000

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip icmp sequence-id <SEQ-ID>

...

<SEQ-ID> – значение Sequence-ID протокола ICMP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp sequence-id 8388608

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip icmp type <TYPE>
[no] ip icmp type

...

<TYPE> – значение TYPE протокола ICMP, принимает значение в диапазоне [0..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp type 12

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис
ip icmp type comparison-operator { greater-than | less-than }

...

  • greater-than – больше чем;
  • less-than – меньше чем.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip icmp type 14
esr(config-ips-category-rule)# ip icmp code comparison-operator greater-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip protocol-id <ID>
[no] ip protocol-id

...

<ID> – идентификационный номер IP-протокола [1..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip protocol-id 250

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip tcp acknowledgment-number <ACK-NUM>

...

<ACK-NUM> – значение Acknowledgment-Number протокола TCP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip tcp acknowledgment-number 32

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip tcp sequence-id <SEQ-ID>

...

<SEQ-ID> – значение Sequence-ID протокола TCP, принимает значение в диапазоне [0..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip tcp sequence-id 2542

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip tcp window-size <SIZE>

...

<SIZE> – значение Window-Size протокола TCP, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip tcp window-size 50

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip tls content-filter <NAME>

...

any – правило будет срабатывать для http-сайтов любой категории.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip tls content-filter Black-List

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
ip ttl <TTL>
[no] ip ttl
Параметры

<TTL> – время жизни IP-пакета, принимает значения [1..255].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip ttl 8

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис
ip ttl comparison-operator { greater-than | less-than }

...

  • greater-than – больше чем;
  • less-than – меньше чем.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# ip ttl 5
esr(config-ips-category-rule)# ip ttl comparison-operator less-than

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
meta classification-type { not-suspicious | unknown | bad-unknown | attempted-recon | successful-recon-limited | successful-recon-largescale | attempted-dos | successful-dos | attempted-user | unsuccessful-user | successful-user | attempted-admin | successful-admin | rpc-portmap-decode | shellcode-detect | string-detect | suspicious-filename-detect | suspicious-login | system-call-detect | tcp-connection | trojan-activity | unusual-client-port-connection | network-scan | denial-of-service | non-standard-protocol | protocol-command-decode | web-application-activity | web-application-attack | misc-activity | misc-attack | icmp-event | inappropriate-content | policy-violation | default-login-attempt }

...

  • not-suspicious – неподозрительный трафик;
  • unknown – неизвестный трафик;
  • bad-unknown – потенциально плохой трафик;
  • attempted-recon – попытка утечки информации;
  • successful-recon-limited – утечка информации;
  • successful-recon-largescale – масштабная утечка информации;
  • attempted-dos – попытка отказа в обслуживании;
  • successful-dos – отказ в обслуживании;
  • attempted-user – попытка получения привилегий пользователя;
  • unsuccessful-user – безуспешная попытка получения привилегий пользователя;
  • successful-user – успешная попытка получения привилегий пользователя;
  • attempted-admin – попытка получения привилегий администратора;
  • successful-admin – успешная попытка получения привилегий администратора;
  • rpc-portmap-decode – декодирование запроса RPC;
  • shellcode-detect – обнаружен исполняемый код;
  • string-detect – обнаружена подозрительная строка;
  • suspicious-filename-detect – было обнаружено подозрительное имя файла;
  • suspicious-login – была обнаружена попытка входа с использованием подозрительного имени пользователя;
  • system-call-detect – обнаружен системный вызов;
  • tcp-connection – обнаружено TCP-соединение;
  • trojan-activity – был обнаружен сетевой троян;
  • unusual-client-port-connection – клиент использовал необычный порт;
  • network-scan – обнаружение сетевого сканирования;
  • denial-of-service – обнаружение атаки отказа в обслуживании;
  • non-standard-protocol – обнаружение нестандартного протокола или события;
  • protocol-command-decode – обнаружена попытка шифрования;
  • web-application-activity – доступ к потенциально уязвимому веб-приложению;
  • web-application-attack – атака на веб-приложение;
  • misc-activity – прочая активность;
  • misc-attack – прочие атаки;
  • icmp-event – общее событие ICMP;
  • inappropriate-content – обнаружено неприемлемое содержание;
  • policy-violation – потенциальное нарушение корпоративной конфиденциальности;
  • default-login-attempt – попытка входа с помощью стандартного логина/пароля.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# meta classification-type misc-attack

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
meta log-message <MESSAGE>

...

<MESSAGE> – текстовое сообщение, задаётся строкой до 128 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# meta log-message "Possible SlowLorys attack"

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
payload content <CONTENT>

...

<CONTENT> – текстовое сообщение, задаётся строкой до 1024 символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload content "virus"

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
payload data-size <SIZE>
[no] payload data-size

...

<SIZE> – размер содержимого пакетов, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload data-size 1024

...

Использование отрицательной формы команды (no) отменяет сравнение.

Синтаксис
payload data-size comparison-operator { greater-than | less-than }

...

  • greater-than – больше чем;
  • less-than – меньше чем.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload data-size 1024
esr(config-ips-category-rule)# payload data-size comparison-operator less-than

...

Использование отрицательной формы команды (no) означает что будет проверяться все содержимое пакета на точное соответствие.

Синтаксис
payload depth <DEPTH>
[no] payload content depth

...

<DEPTH> – число байт с начала содержимого пакета, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload content "abc"
esr(config-ips-category-rule)# payload depth 3

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
payload no-case
[no] payload content no-case
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload content "virus"
esr(config-ips-category-rule)# payload no-case

...

Использование отрицательной формы команды (no) означает что будет проверяться все содержимое пакета на точное соответствие.

Синтаксис
payload offset <OFFSET>
[no] payload content offset

...

<OFFSET> – число байт смещения от начала содержимого пакета, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# payload content "abc"
esr(config-ips-category-rule)# payload depth 6
esr(config-ips-category-rule)# payload offset 3

...

Данной командой устанавливается имя IP-протокола, для которого должно срабатывать правило. Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
protocol { any | ip | icmp | http | tcp | tls | udp }

...

  • any – правило будет срабатывать для любых протоколов;
  • ip – правило сработает для протокола ip. В правиле можно настроить дополнительную фильтрацию командой ip protocol-id;
  • icmp – правило сработает для протокола icmp. При выборе этого параметра значения source-port и destination-port должны быть any. В правиле можно настроить дополнительную фильтрацию командами ip icmp;
  • http – правило сработает для протокола http. В правиле можно настроить дополнительную фильтрацию командами ip http;
  • tсp – правило сработает для протокола tсp. В правиле можно настроить дополнительную фильтрацию командами ip tсp;
  • tls – правило сработает для протокола https. В правиле можно настроить дополнительную фильтрацию командами ip tls;
  • udp – правило сработает для протокола tсp. В правиле можно настроить дополнительную фильтрацию командами ip udp;
  • ftp – правило сработает для протокола ftp. В правиле можно настроить дополнительную фильтрацию командами ip ftp;
  • ftp-data – правило сработает для поля data протокола ftp. В правиле можно настроить дополнительную фильтрацию командами ip ftp-data.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# protocol udp

...

Использование отрицательной формы команды (no) удаляет указанное правило.

Синтаксис
[no] rule <ORDER>
Параметры

<ORDER> – номер правила, принимает значения [1..512].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY

Пример
Блок кода
esr(config-ips-category)# rule 10
esr(config-ips-category-rule)#

...

Использование отрицательной формы команды (no) удаляет сконфигурированную политику настроек сервиса IPS.

Синтаксис
[no] security ips-category user-defined <CATEGORY_NAME>

...

Примечание

В текущей версии использование символа «_» (нижнее подчёркивание) в <CATEGORY_NAME> недопустимо.

Необходимый уровень привилегий

15

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ips-category user-defined PROTOCOL
esr(config-ips-category)#

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
source-address {ip <ADDR> | ip-prefix <ADDR/LEN> | object-group <OBJ_GR_NAME> | policy-object-group { protect | external } | any }

...

При указании значения «any» правило будет срабатывать для любого IP-адреса отправителя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# source-address ip-prefix 192.168.0.0/16

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
source-port { any | <PORT> | object-group <OBJ-GR-NAME> }

...

При указании значения «any» правило будет срабатывать для любого TCP/UDP-порта отправителя.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# source-port 22

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
threshold count <COUNT>
[no] threshold count

...

<COUNT> – число пакетов, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# threshold count 1024

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
threshold second <SECOND>

...

<SECOND> – интервал времени в секундах, принимает значение в диапазоне [1..65535].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# threshold second 1

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
threshold track { by_src | by_dst }

...

  • by_src – считать пороговое значение для пакетов с одинаковым IP отправителя;
  • by_dst – считать пороговое значение для пакетов с одинаковым IP получателя.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# threshold track by-src

...

Использование отрицательной формы команды (no) удаляет назначение.

Синтаксис
threshold type { treshhold | limit | both }

...

  • threshold – выдавать сообщение каждый раз по достижении порога;
  • limit – выдавать сообщение не чаще <COUNT> раз за интервал времени <SECOND>;
  • both – комбинация threshold и limit. Сообщение будет генерироваться, если в течение интервала времени <SECOND> было <COUNT> или более пакетов, подходящих под условия правила, и сообщение будет отправлено только один раз в течении интервала времени.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE

Пример
Блок кода
esr(config-ips-category-rule)# threshold count 1024
esr(config-ips-category-rule)# threshold second 1
esr(config-ips-category-rule)# threshold track by-src
esr(config-ips-category-rule)# threshold type treshold

...

Использование отрицательной формы команды (no) удаляет указанное правило.

Синтаксис
[no] rule-advanced <ORDER>

...

<ORDER> – номер правила, принимает значения [1..4294967295].

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE-ADVANCED

Пример
Блок кода
esr(config-ips-category)# rule-advanced 10
esr(config-ips-category-rule-advanced)#

...

Использование отрицательной формы команды (no) отменяет назначение.

Синтаксис
rule-text <LINE>
[no] rule-text

Scroll Pagebreak

Параметры

<LINE> – текстовое сообщение в формате SNORT 2.X/Suricata 4.X, задаётся строкой до 1024 символов.

При написании правил в тексте правила необходимо использовать только двойные кавычки (символ "), а само правило необходимо заключать в одинарные кавычки (символ ').

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPS-CATEGORY-RULE-ADVANCED

Пример
Блок кода
esr(config-ips-category-rule-advanced)# rule-text 'alert tcp any any -> $HOME_NET any (msg: "ATTACK [PTsecurity] Attempt to crash named using malformed RNDC packet"; flow: established, to_server; content:"_auth"; depth: 20; fast_pattern; content: !"|02 00 00 00|"; within: 4; content: "_ctrl"; content: "_ser"; content: "_tim"; content: "_exp"; reference: cve, 2016-1285; classtype: attempted-dos; reference: url, github.com/ptresearch/AttackDetection; metadata: Open Ptsecurity.com ruleset; sid: 10000005; rev: 3; )'

Scroll Pagebreak