Erstellen von IPS-Signaturen

Bezeichnung

Geben Sie eine eindeutige Zeichenfolge aus alphanumerischen Zeichen, Doppelpunkten, Punkten, Bindestrichen und Unterstrichen ein. Es sind keine Leerzeichen zulässig und die maximale Länge beträgt 63 Zeichen.

Beschreibung

Geben Sie eine Beschreibung für die IPS-Signatur ein. Die maximale Länge beträgt 1024 Zeichen.

Kategorie

Geben Sie eine vordefinierte oder eine neue Kategorie ein. Verwenden Sie diese Kategorie, um die Angriffsobjekte zu gruppieren. Innerhalb jeder Kategorie werden Angriffsobjekte nach Schweregrad gruppiert. Zum Beispiel: FTP, TROJANER, SNMP.

Aktion

Wählen Sie eine Aktion aus, die die IPS-Signatur ausführen soll, wenn der überwachte Datenverkehr mit den in den Regeln angegebenen Angriffsobjekten übereinstimmt:

• Keine: Es wird keine Aktion ausgeführt. Verwenden Sie diese Aktion, um nur Protokolle für einen bestimmten Datenverkehr zu generieren.

• Client und Server schließen: Schließt die Verbindung und sendet ein RST-Paket an den Client und den Server.

• Close Client: Schließt die Verbindung und sendet ein RST-Paket an den Client, aber nicht an den Server.

• Server schließen: Schließt die Verbindung und sendet ein RST-Paket an den Server, aber nicht an den Client.

• Ignorieren: Beendet die Überprüfung des Datenverkehrs für den Rest der Verbindung, wenn eine Angriffsübereinstimmung gefunden wird. IPS deaktiviert die Regelbasis für die jeweilige Verbindung.

• Drop: Verwirft alle mit der Verbindung verknüpften Pakete und verhindert, dass der Datenverkehr für die Verbindung ihr Ziel erreicht. Verwenden Sie diese Aktion, um Verbindungen für Datenverkehr zu trennen, der nicht anfällig für Spoofing ist.

• Paket verwerfen: Verwirft ein passendes Paket, bevor es sein Ziel erreichen kann, schließt die Verbindung jedoch nicht. Verwenden Sie diese Aktion, um Pakete für Angriffe in Datenverkehr zu verwerfen, der zu Spoofing neigt, wie z. B. UDP-Datenverkehr. Das Trennen einer Verbindung für solchen Datenverkehr kann zu einem Denial-of-Service führen, der Sie daran hindert, Datenverkehr von einer legitimen Quell-IP-Adresse zu empfangen.

Schlüsselbegriffe

Geben Sie eindeutige Bezeichner ein, die zum Suchen und Sortieren von Protokolldatensätzen verwendet werden können. Schlüsselwörter sollten sich auf den Angriff und das Angriffsobjekt beziehen. Zum Beispiel Amanda Amindexd Remote Overflow.

Schweregrad

Wählen Sie einen Schweregrad für den Angriff aus, den die Signatur melden soll:

• Kritisch: Enthält Angriffsobjekte, die mit Exploits übereinstimmen, die versuchen, die Erkennung zu umgehen, ein Netzwerkgerät zum Absturz zu bringen oder Berechtigungen auf Systemebene zu erlangen.

• Info: Enthält Angriffsobjekte, die mit normalem, harmlosem Datenverkehr übereinstimmen, der URLs, DNS-Lookup-Fehler, SNMP-Public-Community-Strings und Peer-to-Peer-Parameter (P2P) enthält. Sie können informative Angriffsobjekte verwenden, um Informationen über Ihr Netzwerk zu erhalten.

• Major: Enthält Angriffsobjekte, die mit Exploits übereinstimmen, die versuchen, einen Service zu unterbrechen, Zugriff auf ein Netzwerkgerät auf Benutzerebene zu erlangen oder einen Trojaner zu aktivieren, der zuvor auf einem Gerät geladen wurde.

• Geringfügig: Enthält Angriffsobjekte, die mit Exploits übereinstimmen, die Aufklärungsversuche erkennen, die versuchen, durch Directory Traversal oder Informationslecks auf wichtige Informationen zuzugreifen.

• Warnung: Enthält Angriffsobjekte, die mit Exploits übereinstimmen, die versuchen, an unkritische Informationen zu gelangen oder ein Netzwerk mit einem Scan-Tool zu scannen.

Die gefährlichste Stufe ist kritisch, die versucht, Ihren Server zum Absturz zu bringen oder die Kontrolle über Ihr Netzwerk zu erlangen. Information ist die am wenigsten gefährliche Ebene und wird von Netzwerkadministratoren verwendet, um Lücken in ihren Sicherheitssystemen zu entdecken.

Details zur Signatur

Bindung

Wählen Sie eine Option aus, um den Dienst oder das Protokoll zu erkennen, mit dem der Angriff in Ihr Netzwerk eindringt:

• IP: Ermöglicht es IPS, die Signatur für einen bestimmten IP-Protokolltyp abzugleichen.

• ICMP: Ermöglicht es IPS, die Signatur für eine angegebene ICMP-ID abzugleichen.

• TCP: Ermöglicht es IPS, die Signatur für bestimmte TCP-Ports abzugleichen.

• UDP: Ermöglicht es IPS, die Signatur für bestimmte UDP-Ports abzugleichen.

• RPC: Ermöglicht es IPS, die Signatur für eine angegebene RPC-Programmnummer (Remote Procedure Call) abzugleichen. Das RPC-Protokoll wird von verteilten Verarbeitungsanwendungen verwendet, um die Interaktion zwischen Prozessen remote zu handhaben.

• Service: Ermöglicht es IPS, die Signatur für einen bestimmten Service abzugleichen.

• IPv6 oder ICMPv6: Gibt die Header-Übereinstimmungsinformationen für den Signaturangriff an. Sie können festlegen, dass IPS ein Paket nach einer Musterübereinstimmung für IPv6- und ICMPv6-Header-Informationen durchsuchen soll.

Protokoll

Geben Sie den Namen des Netzwerkprotokolls ein. Zum Beispiel: IGMP, IP-IP.

Nächster Header

Geben Sie den IP-Protokolltyp für den Header ein, der unmittelbar auf den IPv6-Header folgt.

Wenn das Gerät beispielsweise IPsec für ausgetauschte Pakete ausführt, ist der Next Header-Wert wahrscheinlich 50 (ESP-Erweiterungsheader) oder 51 (AH-Erweiterungsheader).

Portbereich(e)

Geben Sie die Portbereiche für TCP- und UDP-Protokolltypen ein.

Programmnummer

Geben Sie die Programm-ID für das RPC-Protokoll ein.

Dienstleistung

Geben Sie den Service an, über den der Angriff in Ihr Netzwerk gelangt. Sie können den spezifischen Dienst, der zum Ausführen des Angriffs verwendet wurde, als Dienstbindung auswählen.

Angenommen, Sie wählen den DISCARD-Dienst aus. Das Discard-Protokoll ist ein Protokoll auf Anwendungsebene, bei dem TCP/9, UDP/9 den Prozess zum Verwerfen von TCP- oder UDP-Daten beschreibt, die an Port 9 gesendet werden.

Zeitlicher Umfang

Wählen Sie den Bereich aus, innerhalb dessen die Anzahl eines Angriffs erfolgt:

• Quell-IP: Erkennt Angriffe von der Quelladresse für die angegebene Häufigkeit, unabhängig von der Zieladresse.

• Dest IP: Erkennt Angriffe, die unabhängig von der Quelladresse für die angegebene Anzahl von Angriffen an die Zieladresse gesendet werden.

• Peer: Erkennt Angriffe zwischen Quell- und Ziel-IP-Adressen der Sitzungen für die angegebene Häufigkeit.

Anzahl der Zeit-

Geben Sie an, wie oft das Angriffsobjekt einen Angriff innerhalb des angegebenen Bereichs erkennen muss, bevor das Gerät das Angriffsobjekt als dem Angriff entsprechend betrachtet.

Die Spanne reicht von 0 bis 4.294.967.295.

Match Assurance

Geben Sie diesen Filter an, um Angriffsobjekte basierend auf der Häufigkeit zu verfolgen, mit der der Angriff in Ihrem Netzwerk zu einem Fehlalarm führt.

Wählen Sie eine Option aus:

• Hoch: Bietet Informationen zu den häufig nachverfolgten Fehlalarmen.

• Mittel: Bietet Informationen zu den gelegentlich nachverfolgten Fehlalarmen.

• Niedrig: Stellt Informationen zu den selten nachverfolgten Fehlalarmen bereit.

Auswirkungen auf die Performance

Geben Sie diesen Filter an, um Angriffsobjekte mit langsamer Leistung herauszufiltern. Sie können diesen Filter verwenden, um nur die entsprechenden Angriffe basierend auf den Auswirkungen auf die Leistung auszuwählen.

Wählen Sie eine Option aus:

• Hoch: Fügen Sie ein Angriffsobjekt mit hohen Auswirkungen auf die Leistung hinzu, das für einen Angriff anfällig ist. Die Auswirkungen von Signaturen auf die Leistung sind hoch7 bis hoch9, wobei die Anwendungsidentifizierung langsam ist.

• Mittel: Fügen Sie ein Angriffsobjekt mit mittleren Auswirkungen auf die Leistung hinzu, das für einen Angriff anfällig ist. Die Auswirkungen von Signaturen auf die Leistung sind mittel4 bis mittel6, wobei die Anwendungsidentifizierung normal ist.

• Niedrig: Fügen Sie ein Angriffsobjekt mit geringen Auswirkungen auf die Leistung hinzu, das für einen Angriff anfällig ist. Die Auswirkungen von Signaturen auf die Leistung sind gering1 bis niedrig3, wobei die Anwendungsidentifizierung schneller ist.

• Unbekannt: Standardmäßig werden alle Angriffsobjekte auf unbekannt gesetzt. Bei der Feinabstimmung von IPS auf Ihren Netzwerkverkehr können Sie diese Einstellung ändern, um die Auswirkungen auf die Leistung zu verfolgen. Die Auswirkungen von Signaturen auf die Leistung sind 0 = unbekannt, wobei die Anwendungsidentifizierung ebenfalls unbekannt ist.

Ausdruck

Geben Sie einen booleschen Ausdruck von Angriffsmitgliedern ein, der verwendet wird, um die Art und Weise zu identifizieren, wie Angriffsmitglieder abgeglichen werden sollen.

Zum Beispiel: m01 UND m02, wobei m01, m02 die Angriffsmitglieder sind.

Umfang

Geben Sie an, ob der Angriff innerhalb einer Sitzung oder über Transaktionen in einer Sitzung hinweg abgeglichen wird:

• session: Ermöglicht mehrere Übereinstimmungen für das Objekt innerhalb derselben Sitzung.

• transaction: Stimmt das Objekt über mehrere Transaktionen in derselben Sitzung ab.

Zurücksetzen

Aktivieren Sie diese Option, um jedes Mal ein neues Protokoll zu erstellen, wenn ein Angriff innerhalb derselben Sitzung erkannt wird. Wenn diese Option nicht ausgewählt ist, wird der Angriff nur einmal pro Sitzung protokolliert.

Bestellt

Aktivieren Sie diese Option, um ein zusammengesetztes Angriffsobjekt zu erstellen, das mit jeder Mitgliedssignatur oder Protokollanomalie in der von Ihnen angegebenen Reihenfolge übereinstimmen muss. Wenn Sie keine Reihenfolge angeben, muss das zusammengesetzte Angriffsobjekt weiterhin mit allen Mitgliedern übereinstimmen, aber das Muster oder die Protokollanomalien können im Angriff in beliebiger Reihenfolge auftreten.

Ein zusammengesetztes Angriffsobjekt erkennt Angriffe, die mehrere Methoden verwenden, um eine Schwachstelle auszunutzen.

Signatur hinzufügen

Kontext

Wählen Sie eine Option aus, um den Speicherort der Signatur zu definieren.

Wenn Sie den Dienst und den spezifischen Dienstkontext kennen, geben Sie diesen Dienst und dann die entsprechenden Dienstkontexte an.

Wenn Sie den Dienst kennen, sich aber über den spezifischen Dienstkontext nicht sicher sind, geben Sie einen der allgemeinen Kontexte an.

Beispiel: line: Geben Sie diesen Kontext an, um eine Musterübereinstimmung innerhalb einer bestimmten Zeile im Netzwerkdatenverkehr zu erkennen.

Richtung

Geben Sie die Verbindungsrichtung des Angriffs an:

• Client zu Server: Erkennt den Angriff nur im Client-zu-Server-Datenverkehr.

• Server zu Client: Erkennt den Angriff nur im Server-zu-Client-Datenverkehr.

• Beliebig: Erkennt den Angriff in beide Richtungen.

Die Verwendung einer einzigen Richtung (anstelle von Beliebig) verbessert die Leistung, reduziert Fehlalarme und erhöht die Erkennungsgenauigkeit.

Muster

Geben Sie ein Signaturmuster des Angriffs ein, den Sie erkennen möchten. Eine Signatur ist ein Muster, das innerhalb eines Angriffs immer existiert. Wenn der Angriff vorhanden ist, ist auch die Signatur vorhanden.

Um das Angriffsmuster zu erstellen, müssen Sie zuerst den Angriff analysieren, um ein Muster zu erkennen (z. B. ein Codesegment, eine URL oder einen Wert in einem Paketheader), und dann einen syntaktischen Ausdruck erstellen, der dieses Muster darstellt.

Zum Beispiel: Verwenden Sie \[<character-set>\] für Übereinstimmungen, bei denen die Groß-/Kleinschreibung nicht beachtet wird.

Regex

Geben Sie einen regulären Ausdruck ein, um Regeln zu definieren, die böswilligem oder unerwünschtem Verhalten über das Netzwerk entsprechen.

Beispiel: Für die Syntax \[hello\] ist das erwartete Muster hello, bei dem die Groß-/Kleinschreibung beachtet wird.

Die Beispielübereinstimmungen können sein: hElLo, HEllO und heLLO.

Verneint

Wählen Sie diese Option aus, um das angegebene Muster von der Übereinstimmung auszuschließen.

Das Negieren eines Musters bedeutet, dass der Angriff als abgeglichen gilt, wenn das im Angriff definierte Muster nicht mit dem angegebenen Muster übereinstimmt.

Anomalie hinzufügen

Anomalie

Wählen Sie eine Option aus, um anormale oder mehrdeutige Nachrichten innerhalb einer Verbindung gemäß dem Regelwerk für das jeweils verwendete Protokoll zu erkennen.

Die Erkennung von Protokollanomalien findet Abweichungen von Protokollstandards, die meist durch RFCs und allgemeine RFC-Erweiterungen definiert sind.

Richtung

Geben Sie die Verbindungsrichtung des Angriffs an:

• Client zu Server: Erkennt den Angriff nur im Client-zu-Server-Datenverkehr.

• Server zu Client: Erkennt den Angriff nur im Server-zu-Client-Datenverkehr.

• Beliebig: Erkennt den Angriff in beide Richtungen.

Die Verwendung einer einzigen Richtung (anstelle von Beliebig) verbessert die Leistung, reduziert Fehlalarme und erhöht die Erkennungsgenauigkeit.

Unterstützte Detektoren

Klicken Sie auf den Link Unterstützte Detektoren , um eine Tabelle mit den Geräteplattformen und der Versionsnummer des derzeit auf dem Gerät ausgeführten IPS-Protokolldetektors anzuzeigen.

Zum Beispiel:

• Plattform – SRX550

• Melder Version - 9.1.140080400