Objetos y grupos de objetos de ataque para políticas de desplazados internos

Nombre

Nombre que se muestra en la interfaz de usuario.

Descripción

(Opcional) Información sobre el ataque. Aunque una descripción es opcional cuando se crea un nuevo objeto de ataque, puede ayudarle a recordar información importante sobre el ataque. Por ejemplo, vea las descripciones de ataques predefinidos.

Severidad

Información, Advertencia, Menor, Mayor o Crítico. Los ataques críticos son intentos de bloquear su servidor u obtener el control de su red.

• Crítico: contiene objetos de ataque que coinciden con vulnerabilidades de seguridad que intentan evadir la detección, provocar el bloqueo de un dispositivo de red u obtener privilegios a nivel del sistema.

• Información: contiene objetos de ataque que coinciden con tráfico normal e inofensivo que contiene URL, errores de búsqueda DNS, cadenas de comunidad pública SNMP y parámetros punto a punto (P2P). Puede utilizar objetos de ataque informativos para obtener información acerca de la red.

• Principal: contiene objetos de ataque que coinciden con ataques que intentan interrumpir un servicio, obtener acceso a nivel de usuario a un dispositivo de red o activar un caballo de Troya previamente cargado en un dispositivo.

• Menor: contiene objetos de ataque que coinciden con vulnerabilidades de seguridad que detectan esfuerzos de reconocimiento que intentan acceder a información vital a través de un recorrido de directorios o fugas de información.

• Advertencia: contiene objetos de ataque que coinciden con vulnerabilidades de seguridad que intentan obtener información no crítica o analizar una red con una herramienta de análisis.

Los ataques informativos son los menos peligrosos y, por lo general, son utilizados por los administradores de red para descubrir agujeros en su propio sistema de seguridad.

Categoría

Una categoría predefinida o nueva. Utilice esta categoría para agrupar los objetos de ataque. Dentro de cada categoría, los objetos de ataque se agrupan por gravedad. Por ejemplo: FTP, TROYANO, SNMP.

Palabras clave

Identificadores únicos que se pueden usar para buscar y ordenar registros de registro. Las palabras clave deben estar relacionadas con el ataque y el objeto de ataque.

Recomendado

Indica que este objeto de ataque se encuentra entre el conjunto de objetos de ataque de mayor riesgo. Más adelante, cuando agregue este objeto de ataque a grupos dinámicos, puede especificar si desea incluir solo los objetos de ataque recomendados.

• Sí: agrega ataques predefinidos recomendados por Juniper Networks al grupo dinámico.

• No: especifica objetos de ataque no recomendados en el grupo de ataques dinámicos.

Rendimiento de detección

Especifique este filtro para filtrar los objetos de ataque de rendimiento lento. Puede usar este filtro solo para seleccionar los ataques adecuados en función de los impactos en el rendimiento.

Seleccione una opción:

• Alto: agrega un objeto de ataque de impacto de alto rendimiento que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es alto7 a alto9, donde la identificación de la aplicación es lenta.

• Medio: agrega un objeto de ataque de impacto de rendimiento medio que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es medio4 a medio6, donde la identificación de la aplicación es normal.

• Bajo: agrega un objeto de ataque de impacto de bajo rendimiento que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es de bajo1 a bajo3, donde la identificación de la aplicación es más rápida.

• Desconocido: establezca todos los objetos de ataque en desconocido de forma predeterminada. A medida que ajusta IPS al tráfico de su red, puede cambiar esta configuración para ayudarle a realizar un seguimiento del impacto en el rendimiento. El impacto de las firmas en el rendimiento es 0 = desconocido, donde también se desconoce la identificación de la aplicación.

Firma

Usa una firma de ataque con estado (un patrón que siempre existe dentro de una sección específica del ataque) para detectar ataques conocidos.

Los objetos de ataque de firma de estado también incluyen el protocolo o servicio utilizado para perpetrar el ataque y el contexto en el que se produce el ataque.

Si conoce la firma exacta del ataque, el protocolo y el contexto de ataque utilizado para un ataque conocido, seleccione esta opción.

Ataque compuesto

Detecta ataques que utilizan varios métodos para aprovechar una vulnerabilidad. Este objeto combina varias firmas o anomalías de protocolo en un único objeto de ataque, lo que obliga al tráfico a coincidir con todas las firmas o anomalías combinadas dentro del objeto de ataque compuesto antes de que el tráfico se identifique como un ataque.

Al combinar e incluso especificar el orden en que deben coincidir las firmas o anomalías, puede ser muy específico acerca de los eventos que deben ocurrir antes de que el motor IDP identifique el tráfico como un ataque.

Si necesita detectar un ataque que utiliza varias actividades benignas para atacar su red, o si desea exigir que se produzca una secuencia específica de eventos antes de que el ataque se considere malicioso, seleccione esta opción.

Encuadernación

Servicio: si pudo determinar el servicio a través de su investigación, seleccione Servicio. Más adelante en el asistente, puede especificar un contexto de servicio.

IP: si no está seguro del servicio pero conoce los detalles de IP, seleccione IP y especifique un número de tipo de protocolo.

TCP, UDP o ICMP: si no conoce el contexto del servicio pero conoce los detalles del protocolo, seleccione el protocolo.

Para los tipos de protocolo TCP y UDP, especifique los intervalos de puertos.

RPC: si detecta amenazas a través del protocolo de llamada a procedimiento remoto (RPC), seleccione esta opción y especifique el ID del programa.

Las aplicaciones de procesamiento distribuido utilizan RPC para manejar la interacción entre procesos de forma remota. Cuando un cliente realiza una llamada a procedimiento remoto a un servidor RPC, el servidor responde con un programa remoto. Cada programa remoto utiliza un número de programa diferente.

Habilitar

Los atributos de enlace de tiempo rastrean cuántas veces se repite una firma. Al configurar el alcance y el recuento de un ataque, puede detectar una secuencia de los mismos ataques durante un período de tiempo (un minuto) en todas las sesiones. Este método es útil para detectar ataques de fuerza bruta que intentan adivinar las credenciales de autenticación o abruman la capacidad del sistema para manejar datos.

Servicio

Especifique el servicio que utiliza el ataque para entrar en su red. Puede seleccionar el servicio específico utilizado para perpetrar el ataque como enlace de servicio.

Por ejemplo, supongamos que selecciona el servicio DESCARTAR. El protocolo de descarte es un protocolo de capa de aplicación en el que TCP/9, UDP/9 describe el proceso para descartar datos TCP o UDP enviados al puerto 9.

Alcance del tiempo

Seleccione el ámbito en el que se produce el recuento:

• IP de origen: detecta la firma en el tráfico desde la dirección IP de origen durante el número especificado de veces, independientemente de la dirección IP de destino.

• IP de destino: detecta la firma en el tráfico desde la dirección IP de destino durante el número de veces especificado, independientemente de la dirección IP de origen.

• Par: detecta la firma en el tráfico entre las direcciones IP de origen y destino de las sesiones durante el número especificado de veces.

Conteo de tiempo

Especifique el número de veces que el objeto de ataque debe detectar un ataque dentro del ámbito especificado antes de que el dispositivo considere que el objeto de ataque coincide con el ataque.

El rango es de 0 a 4,294,967,295.

Garantía de coincidencia

Especifique este filtro para realizar un seguimiento de los objetos de ataque en función de la frecuencia con la que el ataque produce un falso positivo en la red.

Seleccione una opción:

• Alto: proporciona información sobre los falsos positivos de los que se realiza un seguimiento frecuente.

• Medio: proporciona información sobre los falsos positivos rastreados ocasionalmente.

• Bajo: proporciona información sobre los que rara vez se rastrean los falsos positivos.

Impacto en el rendimiento

Especifique este filtro para filtrar los objetos de ataque de rendimiento lento. Puede usar este filtro solo para seleccionar los ataques adecuados en función de los impactos en el rendimiento.

Seleccione una opción:

• Alto: agrega un objeto de ataque de impacto de alto rendimiento que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es alto7 a alto9, donde la identificación de la aplicación es lenta.

• Medio: agrega un objeto de ataque de impacto de rendimiento medio que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es medio4 a medio6, donde la identificación de la aplicación es normal.

• Bajo: agrega un objeto de ataque de impacto de bajo rendimiento que sea vulnerable a un ataque. El impacto de las firmas en el rendimiento es de bajo1 a bajo3, donde la identificación de la aplicación es más rápida.

• Desconocido: establezca todos los objetos de ataque en desconocido de forma predeterminada. A medida que ajusta IPS al tráfico de su red, puede cambiar esta configuración para ayudarle a realizar un seguimiento del impacto en el rendimiento. El impacto de las firmas en el rendimiento es 0 = desconocido, donde también se desconoce la identificación de la aplicación.

Alcance

Especifique si el ataque coincide dentro de una sesión o entre transacciones en una sesión:

• session: permite varias coincidencias para el objeto dentro de la misma sesión.

• transaction: hace coincidir el objeto con varias transacciones que se producen dentro de la misma sesión.

Patrón

Una expresión DFA. Las siguientes filas resumen las convenciones de sintaxis de DFA. Para obtener información detallada, consulte una fuente estándar sobre programación con expresiones regulares.

\B.0.1.. 00\B

Coincidencia a nivel de bits para protocolos binarios. La longitud de la máscara de bits debe estar en múltiplos de 8.

El primer \B indica el inicio de la máscara de bits. El último \B indica el final de la máscara de bits.

El decimal (.) indica que el bit puede ser 0 o 1.

Un 0 o 1 indica que el bit en esa posición debe ser 0 o debe ser 1.

\0 <octal_number>

Para una coincidencia binaria directa.

\X<número hexadecimal>\X

Para una coincidencia binaria directa.

\[<juego de caracteres>\]

Para coincidencias que no distinguen entre mayúsculas y minúsculas.

.

Para que coincida con cualquier símbolo.

*

Para hacer coincidir 0 o más símbolos.

+

Para que coincida con 1 o más símbolos.

?

Para que coincida con el símbolo 0 o 1.

()

Agrupación de expresiones.

|

Alternancia. Normalmente se utiliza con ().

Ejemplo: La siguiente expresión coincide con perro o gato: (perro | gato).

[]

Clase de carácter. Cualquier valor explícito dentro del corchete en la posición coincide.

Ejemplo: [Dd]ay coincide día y día.

[<inicio>-<fin>]

Rango de caracteres. Cualquier valor dentro del rango (indicado con un guión). Puede mezclar clase de carácter y un rango hexadecimal.

Ejemplo: [AaBbCcDdEeFf0-9].

[^<inicio>-<fin>]

Negación del rango de caracteres.

Ejemplo: [^Dd]ay coincide con Hay y ray, pero no Día o día.

\u<string>\u

Coincidencias insensibles a Unicode.

\s

Espacios.

\

Utilice una barra diagonal inversa para escapar de caracteres especiales de modo que coincidan y no se procesen como operadores de expresión regular.

*

\*

(

\(

)

\)

.

\.

+

\+

\

\\

[

\0133

]

\0135

Negar

Niega el patrón de ataque.

Regex

Escriba una expresión regular para definir reglas que coincidan con el comportamiento malintencionado o no deseado en la red.

Por ejemplo: Para la sintaxis \[hola\], el patrón esperado es hola, que distingue entre mayúsculas y minúsculas.

Los ejemplos de coincidencias pueden ser: hElLo, HEllO y heLLO.

Contexto

Enlaza la coincidencia de patrones a un contexto.

Para servicios conocidos, como HTTP, seleccione el servicio en el primer cuadro y seleccione el contexto HTTP que descubrió con scio ccap, como HTTP POST Parsed Param, en el segundo cuadro.

Si no pudo detectar el contexto, seleccione Otro en el primer cuadro y seleccione uno de los siguientes contextos en el segundo cuadro:

• Paquete: detecta el patrón en cualquier paquete.

• Primer paquete: inspecciona sólo el primer paquete de una secuencia. Cuando la dirección del flujo se establece en cualquiera, el motor detector comprueba el primer paquete de los flujos de servidor a cliente (STC) y de cliente a servidor (CTS). Menos procesamiento significa un mayor rendimiento. Si sabe que el patrón aparece en el primer paquete de una sesión, seleccione Primer paquete.

• Primer paquete de datos: la inspección finaliza después del primer paquete de una secuencia. Seleccione esta opción para detectar el ataque solo en el primer paquete de datos de una secuencia. Si sabe que el patrón aparece en el primer paquete de datos de una secuencia, seleccione Primer paquete de datos.

• Stream 256: vuelve a ensamblar paquetes y busca una coincidencia de patrón dentro de los primeros 256 bytes de un flujo de tráfico. Stream 256 suele ser la mejor opción para ataques que no son UDP. Cuando la dirección del flujo se establece en any, el motor detector comprueba los primeros 256 bytes de los flujos STC y CTS. Si sabe que el patrón aparecerá en los primeros 256 bytes de una sesión, seleccione Stream 256.

• Stream 8K: similar a Stream 256, excepto que vuelve a ensamblar paquetes y busca una coincidencia de patrón dentro de los primeros 8192 bytes de un flujo de tráfico.

• Stream 1K–Like Stream 256 excepto que vuelve a ensamblar paquetes y busca una coincidencia de patrón dentro de los primeros 1024 bytes de un flujo de tráfico.

• Línea: detecta un patrón dentro de una línea específica. Utilice este contexto para aplicaciones o protocolos orientados a líneas (como FTP).

• Stream: vuelve a ensamblar paquetes y extrae los datos para buscar una coincidencia de patrones. Sin embargo, el motor IDP no reconoce los límites de paquetes para los contextos de flujo, por lo que se combinan los datos de varios paquetes. Seleccione esta opción sólo cuando ninguna otra opción de contexto contenga el ataque.

Dirección

Seleccione la dirección en la que desea detectar el patrón:

• Cliente a servidor: detecta el patrón solo en el tráfico de cliente a servidor.

• De servidor a cliente: detecta el patrón solo en el tráfico de servidor a cliente.

• Cualquiera: detecta el patrón en cualquier dirección.

El iniciador de sesión se considera el cliente, incluso si esa IP de origen es un servidor.

Agregar anomalía

Anomalía

Seleccione una opción para detectar mensajes anormales o ambiguos dentro de una conexión de acuerdo con el conjunto de reglas para el protocolo particular que se está utilizando.

La detección de anomalías de protocolo funciona al encontrar desviaciones de los estándares de protocolo, definidas con mayor frecuencia por RFC y extensiones RFC comunes.

Dirección

Especifique la dirección de conexión del ataque:

• Cliente a servidor: detecta el ataque solo en el tráfico de cliente a servidor.

• De servidor a cliente: detecta el ataque solo en el tráfico de servidor a cliente.

• Cualquiera: detecta el ataque en cualquier dirección.

El uso de una sola dirección (en lugar de Cualquiera) mejora el rendimiento, reduce los falsos positivos y aumenta la precisión de la detección.

Validar suma de comprobación

Valide el campo de suma de comprobación con la suma de comprobación calculada.

Tipo de servicio

Tipo de servicio. Los tipos de servicio comunes son:

• 0000 Predeterminado

• 0001 Minimizar costos

• 0002 Maximice la confiabilidad

• 0003 Maximizar el rendimiento

• 0004 Minimizar el retraso

• 0005 Maximice la seguridad

Indicadores IP

Bits de indicador IP.

DIH

Longitud del encabezado de Internet en palabras.

Longitud total

Longitud total del datagrama IP.

IDENTIFICACIÓN

Valor único utilizado por el sistema de destino para volver a ensamblar un paquete fragmentado.

Tiempo de vida

Valor de tiempo de vida (TTL) del paquete. Este valor representa el número de enrutadores por los que puede pasar el paquete. Cada enrutador que procesa el paquete disminuye el TTL en 1; cuando el TTL llega a 0, el paquete se descarta.

Protocolo

Protocolo utilizado en el ataque.

Fuente

Dirección IP del dispositivo atacante.

Destino

Dirección IP del objetivo del ataque.

Destino

Dirección IP del objetivo del ataque.

Encabezado de extensión

Defina el encabezado de extensión IPv6 para el servicio de detección de intrusiones (IDS).

Etiqueta de flujo

Habilite las etiquetas de flujo de paquetes IPv6.

Límite de salto

Especifica el número máximo de saltos que el enrutador puede usar en los anuncios del enrutador y en todos los paquetes IPv6.

Siguiente encabezado

Identifica el tipo de protocolo de Internet para el encabezado que sigue inmediatamente al encabezado IPv6.

Longitud de la carga útil

Especifica la longitud de la carga o contenido del paquete IPv6 expresada en octetos.

Fuente

Identifica el dispositivo host, o la interfaz en un nodo, que generó el paquete IPv6.

Clase de tráfico

Permite a los nodos o enrutadores de origen identificar diferentes clases (o prioridades de calidad de servicio) para paquetes IPv6. (Este campo reemplaza al campo Tipo de servicio IPv4.)

Puerto de origen

Número de puerto en el dispositivo atacante.

Puerto de destino

Número de puerto del objetivo del ataque.

Número de secuencia

Número de secuencia del paquete. Este número identifica la ubicación de los datos en relación con toda la secuencia de datos.

Número ACK

Número ACK del paquete. Este número identifica el siguiente número de secuencia; el indicador ACK debe estar configurado para activar este campo.

Longitud del encabezado

Número de bytes en el encabezado TCP.

Tamaño de la ventana

Número de bytes en el tamaño de ventana TCP.

Longitud de los datos

Número de bytes en la carga de datos. Para los paquetes SYN, ACK y FIN, este campo debe estar vacío.

Puntero urgente

Los datos en el paquete son urgentes; el indicador URG debe estar configurado para activar este campo.

MSS

Habilite y especifique el tamaño máximo de segmento TCP.

Reservado

Especifique los tres bits reservados en el campo Encabezado TCP.

Indicadores TCP

Indicadores de encabezado TCP. Especifique que IDP busca una coincidencia de patrón independientemente de si se establece o no el indicador TCP.

Escala de ventana

Especifique el factor de escala que utilizará la sesión del ataque.

Validar suma de comprobación

Valide el campo de suma de comprobación con la suma de comprobación calculada.

Puerto de origen

Número de puerto en el dispositivo atacante.

Puerto de destino

Número de puerto del objetivo del ataque.

Longitud de los datos

Número de bytes en la carga de datos.

Validar suma de comprobación

Valide el campo de suma de comprobación con la suma de comprobación calculada.

Tipo de ICMP

Código principal que identifica la función de la solicitud o respuesta.

Código ICMP

Código secundario que identifica la función de la solicitud o respuesta dentro de un tipo determinado.

Número de secuencia

Número de secuencia del paquete. Este número identifica la ubicación de la solicitud/respuesta en relación con toda la secuencia.

ICMP ID

Número de identificación, que es un valor único utilizado por el sistema de destino para asociar solicitudes y respuestas.

Longitud de los datos

Número de bytes en la carga de datos.

Límite de tiempo

Las mismas directrices que para los objetos de ataque de firma.

Alcance

Especifique si el ataque coincide dentro de una sesión o entre transacciones en una sesión. Seleccione una de las siguientes opciones:

• Sesión: permite varias coincidencias para el objeto dentro de la misma sesión.

• Transacción: hace coincidir el objeto con varias transacciones que se producen dentro de la misma sesión.

Restablecimiento

Active esta opción para generar un nuevo registro cada vez que se detecte un ataque dentro de la misma sesión. Si esta opción no está seleccionada, el ataque se registra solo una vez por sesión.

Expresión booleana

Introduzca una expresión booleana de los miembros del ataque que se utiliza para identificar la forma en que deben coincidir los miembros del ataque. Escriba una expresión booleana con los siguientes operadores booleanos:

• O: si alguno de los patrones de nombre de miembro coincide, la expresión coincide.

• Y: si ambos patrones de nombre de miembro coinciden, la expresión coincide. No importa en qué orden aparezcan los miembros.

• OAND: si ambos patrones de nombre de miembro coinciden y aparecen en el mismo orden que en la expresión booleana, la expresión coincide.

Por ejemplo, la expresión booleana (s1 OAND s2) OR (s1 OAND s3)) AND (s4 AND s5) coincidiría con un ataque que contenga s1 seguido de s2 o s3, y que también contenga s4 y s5 en cualquier ubicación.

Agregar miembro

Haga clic en el icono +, seleccione Anomalía de firma o protocolo y complete los detalles de configuración.

Para los miembros de firma, especifique la misma información contextual que para un objeto de ataque de firma.

Para los miembros de anomalías de protocolo, seleccione de una lista de anomalías de protocolo predefinidas.

Orden

Active esta opción para crear un objeto de ataque compuesto que debe coincidir con cada firma de miembro o anomalía de protocolo en el orden especificado. Si no especifica una orden, el objeto de ataque compuesto aún debe coincidir con todos los miembros, pero las anomalías de patrón o protocolo pueden aparecer en el ataque en cualquier orden.

Un objeto de ataque compuesto detecta ataques que utilizan varios métodos para aprovechar una vulnerabilidad.

Vinculación de protocolos

Enlace de protocolo sobre qué ataque se detectará.