カスタム IPS シグネチャの作成

全般

カスタム攻撃オブジェクトの名前を入力します。最大 250 文字。

カスタム攻撃オブジェクトの説明を入力します。

デバイスが攻撃を検出したときに実行するアクションをリストから選択します。

• [なし(None)]:アクションは実行されません。このアクションは、一部のトラフィックのログのみを生成する場合に使用します。

• [閉じる(Close)]:クライアントとサーバをリセットします。

• [クライアントを閉じる(Close client)]:接続を閉じ、RST パケットをクライアントに送信しますが、サーバには送信しません。

• [サーバを閉じる(Close server)]:接続を閉じ、RST パケットをサーバに送信しますが、クライアントには送信しません。

• [ドロップ(Drop)]:接続に関連付けられているすべてのパケットをドロップし、接続のトラフィックが宛先に到達するのを防ぎます。このアクションは、スプーフィングが発生しにくいトラフィックの接続を切断する場合に使用します。

• パケットのドロップ—一致するパケットが宛先に到達する前にドロップしますが、接続は閉じません。このアクションは、UDP トラフィックなど、スプーフィングが発生しやすいトラフィックに対する攻撃のパケットをドロップする場合に使用します。このようなトラフィックの接続を切断すると、サービス拒否が発生し、正当な送信元 IP アドレスからのトラフィックを受信できなくなる可能性があります。

• [無視(Ignore)]:攻撃の一致が見つかった場合、残りの接続のトラフィックのスキャンを停止します。IPS は、特定の接続のルールベースを無効にします。

リストから、ネットワーク上の攻撃オブジェクトの重大度と一致する重大度を選択します。

• 重大—検出を回避したり、ネットワーク デバイスをクラッシュさせたり、システムレベルの権限を取得したりしようとするエクスプロイトに一致する攻撃オブジェクトが含まれます。

• 情報—以下のパラメータに一致する攻撃オブジェクトが含まれます。

  • URLを含む正常で無害なトラフィック

  • DNS ルックアップの失敗

  • SNMP パブリック コミュニティ文字列

  • ピアツーピア(P2P)

• メジャー—以下を試みるエクスプロイトに一致する攻撃オブジェクトが含まれます。

  • サービスを中断する。

  • ネットワークデバイスへのユーザーレベルのアクセス権を取得します。

  • デバイスに以前にロードされたトロイの木馬をアクティブ化します。

• マイナー—ディレクトリトラバーサルまたは情報漏洩を通じて重要な情報にアクセスしようとする偵察活動を検出するエクスプロイトと一致する攻撃オブジェクトが含まれます。

• 警告—重要でない情報を取得したり、スキャン ツールでネットワークをスキャンしたりしようとするエクスプロイトに一致する攻撃オブジェクトが含まれます。

検出フィルター

指定した範囲内で攻撃オブジェクトが攻撃を検出する回数を設定します。この検出は、攻撃オブジェクトが攻撃と一致するかどうかをデバイスが判断する前に行われます。

範囲: 0 から 4,294,967,295

リストから、カウントが発生するスコープを選択します。

• [なし(None)]:アクションは実行されません。このオプションは、一部のトラフィックのログのみを生成する場合に使用します。

• 宛先—送信元 IP アドレスに関係なく、指定された回数、IP アドレスからのトラフィック内のシグネチャを検出します。

• セッション—指定された回数、セッションの送信元IPアドレスと宛先IPアドレス間のトラフィックの署名を検出します。

• 送信元—IP アドレスに関係なく、指定された回数、送信元 IP アドレスからのトラフィック内の署名を検出します。

時間拘束カスタム攻撃の任意の 2 つのインスタンス間の最大時間間隔を入力します。

対応フォーマットはMMm-SSです。

範囲: 0 分 0 秒から 60 分 0 秒。

署名

シグネチャ:IPS はステートフル シグネチャを使用して攻撃を検出します。IPSは、ステートフルシグネチャを使用して、攻撃の実行に使用された特定のプロトコルまたはサービスを探します。

IPS が特定のアプリケーション層プロトコルで攻撃を検索するシグネチャの場所を定義するリストから攻撃コンテキストを選択します。

攻撃がネットワークに侵入するために使用するプロトコルをリストから選択します。

攻撃が一致する必要があるアプリケーションをリストから選択します。

IPSが攻撃をそれに一致させることを可能にするトランスポート層プロトコル番号を設定します。

範囲: 0 から 139

攻撃を照合できるリモートプロシージャコール(RPC)プログラム番号を設定します。

ポート範囲の最小ポートを設定します。

範囲: 0 から 65,535

ポート範囲の最大ポートを設定します。

範囲: 0 から 65,535

攻撃が検出されたリストからトラフィックの方向を選択します。

• [クライアントからサーバーへ(Client to Server)]:クライアントからサーバーへのトラフィックでのみ攻撃を検出します。

• [サーバーからクライアントへ(Server to Client)]:サーバーからクライアントへのトラフィックでのみ攻撃を検出します。

• [任意の方向(Any Direction)]:どちらの方向からの攻撃も検知します。

コンテンツ

シグネチャパターンを決定論的有限自動化(DFA)形式で入力します。

例えば：

構文 \[hello\] を使用する場合、pattern は hello で、大文字と小文字は区別されません。

構文の一致例は、hElLo、HEllO、heLLO です。

標準の Perl 互換正規表現(PCRE)形式でシグネチャパターンを入力します。

構文の例: Sea[ln]、pattern は Seal で、大文字と小文字は区別されません。

構文の一致例は、Seal、Seam、Sean です

特定のパターンを検索するためのパケットの深さを指定できます。深さは相対的なものではありません。たとえば、深さの値を 100 に指定できます。

深度変数名を入力します。

使用する深度値を設定します。

範囲: 1 から 65535

パケット内のパターンの検索を開始する位置を指定できます。オフセットは相対的ではありません。たとえば、深さの値を 100 に指定できます。

オフセット変数名を入力します。

使用するオフセット値を設定します。

範囲: 1 から 65535

このオプションを有効にすると、ペイロードに指定した場所にデータがあることを確認できます。

このオプションを有効にすると、Is data atの結果が否定されます。

このオプションを有効にすると、最後のパターン一致を基準にしたオフセットが使用されます。

パケット内のパターンの検索を開始する位置を指定できます。オフセットは相対的ではありません。たとえば、深さの値を 100 に指定できます。

オフセット変数名を入力します。

異常—プロトコル異常攻撃オブジェクトは、プロトコルの一連のルールを使用して、接続内の異常またはあいまいなメッセージを検出します。

リストからサービスを選択します。サービスは、攻撃で異常が定義されているプロトコルです。例:IP、TCP、ICMP。

チェックするリストからプロトコル異常のテスト条件を選択します。

チェーン:チェーン攻撃オブジェクトは、複数のシグニチャやプロトコル異常を単一のオブジェクトに組み合わせます。トラフィックは、連鎖攻撃オブジェクトに一致するために、組み合わされたシグネチャおよび/またはプロトコル異常のすべてに一致する必要があります。

攻撃がネットワークに侵入するために使用するプロトコルをリストから選択します。

攻撃が一致する必要があるアプリケーションを選択します。

IPSが攻撃をそれに一致させることを可能にするトランスポート層プロトコル番号を設定します。

範囲: 0 から 139

攻撃を照合できるリモートプロシージャコール(RPC)プログラム番号を設定します。

ポート範囲の最小ポートを設定します。

範囲: 0 から 65,535

ポート範囲の最大ポートを設定します。

範囲: 0 から 65,535

チェーン攻撃がヒットするかどうかを決定するチェーン攻撃の個々のメンバーの条件を定義するブール式を選択します。

• AND - 両方のメンバー名パターンが一致する場合、式は一致します。メンバーの順番は関係ありません。

• OR - メンバー名パターンのいずれかが一致する場合、式は一致します。

• OAND - 両方のメンバー名パターンが一致し、ブール式と同じ順序で表示される場合、式は一致します。

このオプションを有効にすると、各メンバーのシグニチャまたはプロトコル異常に指定した順序で一致する必要がある複合攻撃オブジェクトが作成されます。順序指定しない場合、複合攻撃オブジェクトはすべてのメンバーに一致する必要がありますが、攻撃やプロトコル異常はランダムな順序で表示される可能性があります。

複合攻撃が 1 つのセッションまたはトランザクション内で複数回一致する必要がある場合は、このオプションを有効にします。

次のいずれかのスコープを選択します。

• セッション—同じセッション内でオブジェクトに対して複数の一致を許可します。

• transaction:同じセッション内で発生する複数のトランザクション間でオブジェクトを照合します。

署名を追加する

編集する既存の署名を選択します。編集(鉛筆)アイコンをクリックし、必要な変更を行って、「 OK」をクリックします。

削除する既存の署名を選択します。削除(ごみ箱)アイコンをクリックし、「 はい」をクリックします。

「 + 」をクリックして、ステートフル攻撃シグニチャ(アタックの特定のセクション内に常に存在するパターン)を使用して既知のアタックを検出する 1 つ以上のシグニチャ攻撃オブジェクトを追加します。

システムによって生成されたシグニチャ番号を表示します。このフィールドは変更できません。

IPS が特定のアプリケーション層プロトコルで攻撃を検索するシグネチャの場所を定義するリストから攻撃コンテキストを選択します。

攻撃が検出されたリストからトラフィックの方向を選択します。

• [任意の方向(Any Direction)]:どちらの方向からの攻撃も検知します。

• [クライアントからサーバーへ(Client to Server)]:クライアントからサーバーへのトラフィックでのみ攻撃を検出します。

• [サーバーからクライアントへ(Server to Client)]:サーバーからクライアントへのトラフィックでのみ攻撃を検出します。

コンテンツ

シグネチャパターンを決定論的有限自動化(DFA)形式で入力します。

構文例: \[hello\]、pattern は hello で、大文字と小文字は区別されません。

構文の一致例は、hElLo、HEllO、heLLO です。

標準の Perl 互換正規表現(PCRE)形式でシグネチャパターンを入力します。

構文例: Sea[ln]、pattern は Seal で、Unicode は区別されません。

構文 Seal、Seam、および Sean に一致する例

特定のパターンを検索するためのパケットの深さを指定できます。深さは相対的なものではありません。たとえば、深さの値を 100 に指定できます。

深度変数名を入力します。

使用する深度値を設定します。

範囲: 1 から 65535

前のパターン一致の末尾を基準にして、指定されたパターンの検索を開始する前に、IPS エンジンが無視するパケット データの量を指定できます。

距離変数名を入力します。

使用する一致値を設定します。これは常に前の一致を基準にしています。

パケット内のパターンの検索を開始する位置を指定できます。オフセットは相対的ではありません。たとえば、深さの値を 100 に指定できます。

オフセット変数名を入力します。

使用するオフセット値を設定します。

範囲: 1 から 65535

このオプションを有効にすると、ペイロードに指定した場所にデータがあることを確認できます。

このオプションを有効にすると、Is data atの結果が否定されます。

このオプションを有効にすると、最後のパターン一致を基準にしたオフセットが使用されます。

パケット内のパターンの検索を開始する位置を指定できます。オフセットは相対的ではありません。たとえば、深さの値を 100 に指定できます。

オフセット変数名を入力します。

使用するオフセット値を設定します。

範囲: 1 から 65535

パターンマッチ間に最大Nバイトを指定することができます。

一致変数名を入力します。

使用する一致値を設定します。これは常に前の一致を基準にしています。

異常を追加

編集する既存の異常を選択します。編集(鉛筆)アイコンをクリックし、必要な変更を行って、「 OK」をクリックします。

削除する既存の異常を選択します。削除(ごみ箱)アイコンをクリックし、「 はい」をクリックします。

[ + ] をクリックして 1 つ以上のプロトコル異常攻撃オブジェクトを追加し、使用されている特定のプロトコルの一連のルールに従って、接続内の異常またはあいまいなメッセージを検出します。

システムによって生成された異常値を表示します。このフィールドは変更できません。

チェックするプロトコル異常のテスト条件を選択します。