В данном разделе будут рассмотрены поля протоколов ICMP, TCP, UDP, HTTP.

Т.к. для одной сигнатуры можно задать только один протокол, то использование ниже представленных параметров автоматически определяет его, т.е равносильно использованию параметра .protocol.

ICMP

Для проверки свойств заголовка ICMP доступно использование следующих параметров:

Примеры:

UASL(.name="Ping Death"; .protocol=icmp; .data_size>32000)
UASL(.name="Ping Death"; .icmp.data_size>32000)

TCP

Для проверки свойств заголовка TCP доступно использование следующих параметров:

UDP

Для проверки свойств заголовка UDP доступно использование следующих параметров:

HTTP

Для проверки свойств заголовка HTTP доступно использование следующих параметров:

.no_case

Модификатор no_case позволяет осуществлять поиск, заданный параметром .pattern, без учета регистра символов.

Пример:

UASL(.id=XXX; .name="XXX"; .pattern="Host: "; .pattern="google.com";)

.where

Модификатор .where используется для указания области поиска сигнатуры:

.where=<MODE>;

где <MODE> может принимать следующие значения:

.service

Данный модификатор области поиска предназначен для выбора диссектора:

.service=<MODE>;

где <MODE> может принимать следующие значения:

Пример:

UASL(.name="block.google"; .protocol=tcp; .service=http; .host="google.com";)

.distance, .within, .at, .startin

Данные модификаторы позволяют:

В следующей таблице представлены опциональные параметры:

Например, запись:

.distance=10,match; .within=5,match

задаёт поиск в диапазоне с 10-го по 15-й байт от последнего найденного шаблона.

Примеры:

UASL(.name="sock5.proxy.detect"; .protocol=tcp; .flow=from_client; .seq=1,relative; .pattern="|05 01 00|"; .within=1;)
UASL(.name="block.google"; .protocol=tcp; .service=http;.pattern="google.com"; .within=512;)

.protocol

Данный модификатор позволяет указать протокол транспортного уровня, к которому будет применена сигнатура:

.protocol=<MODE>;

где <MODE> может принимать следующие значения:

• icmp: анализ трафика протокола ICMP.

• udp: анализ трафика протокола UDP.

• tcp: анализ трафика протокола TCP.

Пример:

UASL(.name="block.google"; .protocol=tcp; .pattern="google.com";)

Для задания проверки TCP/UDP-портов используйте параметры:

• .src_port — для проверки портов источника:

• .dst_port — для проверки портов назначения:

Доступно использование следующих выражений:

Примеры:

.src_port=1000:;  # '>= 1000'
.dst_port=5060;
.dst_port=1000:;
.dst_port=2000:8000;  # '>= 2000 and <= 8000'
.dst_port!=2000:8000;  # '< 2000 and > 8000' 

Данные параметры позволяют настроить проверку заданных IP-адресов:

.src_addr[!]=<IP_address/subnet>;

.dst_addr[!]=<IP_address/subnet>;

Допустимы следующие форматы указания IP-адресов:

• A.B.C.D;

• A.B.C.D/E;

• A.B.C.D:E.

При задании IP-адреса указание маски подсети необязательно; чтобы задать несколько IP-адресов используйте квадратные скобки, например:

.src_addr=[<IP_address1>, <IP_address2>];

Примеры:

.src_addr!=10.10.10.1;
.src_addr=10.10.10.0/24;
.src_addr=[10.10.10.0/24, 10.10.20.0/24, 10.10.30.0/24];

В данном разделе приведены примеры, написанные с использования UASL.

Пример 1

UASL(
    .id = 1;
    .pattern = "ABC"; .startin = 1;
    .pattern = "XYZ"; .at = 3, match;
)

В данном примере выполняется последовательный поиск 2-х шаблонов:

• поиск начала шаблона ABC в заданном диапазоне, т.е. первый байт заданного шаблона обязательно должен находится в диапазоне. Значение модификатора .startin равно 1 (диапазон = 1, поиск шаблона с начала сессии, т.к. первый модификатор по умолчанию — start) — байт, входящий в этот диапазон должен быть равен началу шаблона ABC;

• поиск шаблона XYZ начиная с позиции 4 (.at=3;) от последнего найденного шаблона ABC.

Пример 2

UASL(
    .id = 2;
    .pattern = "ABC"; .at = 0;
    .pattern = "XYZ"; .distance = 3, match; .startin = 1, match;
)

Выполняется последовательный поиск 2-х шаблонов:

• поиск начала шаблона ABC с начала пакета (.at=0;);

• пропустив 3 байта от последнего найденного шаблона ABC (.distance=3,match;) производится поиск начала шаблона XYZ; для срабатывания начало шаблона XYZ должно быть равно первому байту, с которого начинается поиск, т.к. .startin=1,match;.

Пример 3

UASL(
    .id = 3;
    .pattern = "ABC";
    .pattern = "XYZ"; .distance = 3, match; .within = 3, match;       
)

Производится последовательный поиск 2-х шаблонов:

• поиск шаблона ABC;

• через 3 байта от последнего найденного шаблона ABC (.distance=3,match;) производится поиск шаблона XYZ: шаблон XYZ должен полностью попадать в последующие 3 байта, т.к. .within=3.

Для каждого потока данных может быть указана именованная метка. Для ее указания используется:

.mark <parameter>=<value>;

где <value> – название метки (указывается с использованием кавычек "");

       <parameter> может принимать значения, представленные в таблице ниже.

Сопоставление шаблонов основано, в большинстве случаев, на работе с пакетами данных. Метки используются в случаях, если шаблон атак присутствует в нескольких пакетах. Сигнатура, сработавшая для предыдущего пакета, может поставить метку; наличие меток проверяется при отправке пакетов в рамках одной сессии.

Данный параметр является опциональным и позволяет применять сигнатуру к определённым потокам трафика. В результате можно создавать сигнатуры, которые будут анализировать трафик от клиента, от сервера или в обоих направлениях.

.flow=<MODE>;

где <MODE> может принимать следующие значения:

Следующий параметр позволяет задать шаблон, на наличие которого система обнаружения и предотвращения вторжений будет проверять содержимое пакетов (packet payload):

.pattern[!]="string";

Данные, представленные в шестнадцатеричной системе счисления (HEX), должны быть указаны с использованием символа вертикальной черты (|), например, |05 00 27|.

Для указания специальных символов используйте соответствия, представленные в таблице:

Помимо оператора =, может быть использован и оператор !=. Тогда будет производится поиск пакетов, не содержащих заданный шаблон.

Общий формат задания параметра:

.pattern[!]="string"; [.where=<MODE>;] [.no_case;] [.distance=<RANGE>[,<MODE>];] [.within=<RANGE>[,<MODE>];] [.service=<MODE>;]

Модификаторы области поиска (.where, .no_case, .distance, .within, .service) будут рассмотрены далее.

При написании сигнатуры доступно использование нескольких параметров .pattern с целью снижения уровня ложных срабатываний.

Поле .nopayload предназначено для возможности сканирования пакетов, в которых отсутствует полезная нагрузка.

Например, данное поле может быть использовано для обнаружения сканирования портов пакетами без полезной нагрузки. Далее представлена сигнатура для обнаружения SYN-сканирования:

UASL(.protocol=tcp; .tcp.flags=S; .rate=1000,2; .track=src_ip; .nopayload;)

Поле .rev предназначено для указания дополнительной информации: пользователь, который создал сигнатуру, дата создания, тип и версия сигнатуры. Поле является опциональным и не влияет на работу СОВ; может быть использовано для отслеживания изменений.

Формат поля следующий:

.rev = <date>,<version>,<status>,<author>;

где параметры имеют следующий тип данных:

• <date>: целочисленный;

• <version>: целочисленный;

• <status>: строковый;

• <author>: строковый.