Decoder : Parsers Snort

Document created by RSA Information Design and Development

on Apr 28, 2019

Version 1Show Document

Like • Show 0 Likes0
Comment • 0
View in full screen mode

Les règles et la parsers/snort configuration Snort® sont ajoutées au répertoire pour la procédure d'enquête et le Decoder. Le Decoder prend en charge les capacités de détection de charge utile des règles Snort. Les fichiers de règles doivent avoir l'extension .rules et les fichiers de configuration doivent avoir l'extension .conf. L'implémentation par le Decoder des règles Snort est centrée sur l'utilisation des chaînes de contenu définies dans une règle Snort en tant que token. Une fois qu'un token est associé, l'en-tête de règle et les options de règle supplémentaires peuvent être évalués. Actuellement, les règles qui ne définissent pas de contenu (via les options de règle content ou uricontent) ne sont pas prises en charge.

Configuration

Les fichiers de configuration sont chargés avant les règles de chargement.

Options de configuration	Description
Définitions de variable	Description
ipvar	Le langage complet de définition des variables d'adresse IP est pris en charge, y compris les listes, CIDR et la négation.
portvar	Le langage complet de définition des variables d'adresse IP est pris en charge, y compris les listes, les plages et la négation.
var	Non supporté ; utiliser ipvar ou portvar.
Définitions d’action	Description
ruletype	La définition de ruletypes supplémentaire est prise en charge. Toutefois, seules les règles qui ont un type de règle de base alert sont prises en charge.
Configuration générale	Description
nopcre	Cette option de configuration désactive toutes les règles avec pcre.

Règles

Les règles Snort sont analysées et chargées lorsque PCS est chargé (toute importation ou capture dans I'Enquêteur, début de capture initiale et recharge du parser dans Decoder).

Toute règle qui n'est pas correctement analysée est ignorée.
Toute règle Snort valide doit effectuer des analyses réussies ; toutefois, il existe des options de règle, qui ne sont pas prises en charge par Decoder, qui ne sont pas entièrement analysées.

Section	Description
En-tête	Les conditions d'en-tête sont évaluées lorsqu'une règle reçoit le premier rappel de token pour un flux. L'en-tête est évalué une fois par flux et empêche toute prise en compte d'une règle par rapport à un flux spécifique si les conditions ne sont pas remplies.
Actions	L'action spécifiée ou une règle doit être définie (soit l'une des actions Snort natives, soit définie dans la configuration à l'aide de l'instruction ruletype) pour que la règle soit considérée comme valide. Decoder utilise uniquement des règles avec des actions d'alerte.
Protocoles	Decoder prend en charge les mots clés du protocole Snort actuel (tcp, udp, icmp, ip).
Adresses IP	Le langage complet de définition des adresses IP est pris en charge, y compris les listes, CIDR et la négation.
Numéros de port	Le langage complet pour la définition des numéros de port est pris en charge, y compris les listes, les plages et la négation.
Opérateur directionnel	L'opérateur directionnel prend en charge les valeurs from-to ('->') et bidirectionnelles (‘<>’). La valeur to-from ('<-') n'est pas valide et entraînera un échec du chargement de la règle.

Options générales

Decoder utilise les options de règle générales Snort suivantes :

Option	Description
msg	Si la règle correspond, la valeur msg est ajoutée en tant que métadonnée risk.info, risk.warning ou risk.suspicious, selon la priorité de la règle.
sid	Si la règle correspond, la valeur sid est ajoutée en tant que métadonnée.
classtype	Si la règle correspond, le nom classtype est ajouté en tant que métadonnée threat.cat.
priority	Si la règle correspond et qu'elle a une option priority, elle est utilisée pour déterminer le type de métadonnée à risque associé à la valeur msg.

Options de charge utile

Decoder prend en charge les options de règle de charge utile suivantes.

Option	Description
content	L'option content crée un token pour faire correspondre Decoder. Seuls les tokens de trois octets ou plus sont acceptés. Il est également important de noter que Decoder diffère de Snort en ce que les règles sont évaluées par rapport à la charge utile du flux reconstruit et non pas seulement d’un seul paquet. Cela peut entraîner des différences dans les correspondances de règles entre Snort et Decoder, en particulier lors de l'examen des options de position.
nocase	Actuellement non pris en charge. Cette option est ignorée et la sensibilité à la casse est utilisée.
depth	Cette option est appliquée à la distance du token depuis le début du flux. Si la position du token est supérieure à cette valeur, il ne s’agit pas d’une correspondance.
offset	Cette option est appliquée à la distance du token depuis le début du flux. Si la position du token est inférieure à cette valeur, il ne s’agit pas d’une correspondance.
distance	Cette option est appliquée à la distance du token depuis la fin de la correspondance de token précédente. Si la position de token relative est inférieure à cette valeur, il ne s’agit pas d’une correspondance.
within	Cette option est appliquée à la distance du token depuis la fin de la correspondance de token précédente. Si la position de token relative est supérieure à cette valeur, il ne s’agit pas d’une correspondance.
http_uri	Tout token qui se démarque est vérifié afin qu’il s’inscrive dans les limites de http_uri, comme indiqué par le parser HTTP. Aucune normalisation d'URI n'est appliquée.
uricontent	Aucune normalisation d'URI n'est appliquée. Sinon, cela équivaut à l'option de contenu avec le modificateur http_uri.
pcre	Actuellement, les PCREs ne sont appliqués qu'aux URI et doivent spécifier l'option U.

Options non liées à la charge utile

Option	Description
flow	Vérifie que la règle est appliquée uniquement au flux de client ou de serveur.
to_client	Limite la règle à la correspondance uniquement sur un flux défini par Decoder comme étant un flux serveur.
from_server	Synonyme de to_client.
from_client	Limite la règle à la correspondance uniquement sur un flux défini par Decoder comme étant un flux client.
flowbits	Maintient un état de session et sont réinitialisés à la fin de chaque session.
set	Lorsque la règle correspond, le flowbit spécifié est défini.
unset	Lorsque la règle correspond, le flowbit spécifié est effacé.
toggle	Lorsque la règle correspond, le flowbit spécifié est inversé.
isset	Lorsque la règle est évaluée, l'état du flowbit spécifié doit être défini pour que la règle corresponde.
isnotset	Lorsque la règle est évaluée, l'état du flowbit spécifié ne doit pas être défini pour que la règle corresponde.
noalert	Empêche la règle de générer des métadonnées si elle correspond.

Previous Topic:Parsers Lua

Next Topic:Parser Search

You are here

Table of Contents > Références de feed et d’analyseur > Parsers Snort

Decoder : Parsers Snort

Configuration

Règles

Options générales

Options de charge utile

Options non liées à la charge utile

Attachments

Outcomes

Related Content

Recommended Content

Incoming Links