Сигнатуры СОВ

Включено

Индикатор включения/выключения сигнатуры.

Id

Идентификатор сигнатуры. Если поле оставить пустым, то будет выдан свободный id из пользовательского пула.

Название

Название сигнатуры.

Описание

Описание сигнатуры.

Угроза сигнатуры

Уровень угрозы, определяемый сигнатурой. Определены следующие значения:

• 1 — очень низкий;

• 2 — низкий;

• 3 — средний;

• 4 — высокий;

• 5 — очень высокий.

Класс

Класс сигнатуры определяет тип атаки, которая описывается данной сигнатурой. Определяются также общие события, которые не относятся к атаке, но могут быть интересны в определенных случаях, например, обнаружение установления сессии TCP. Список классов может быть пополнен.

• arbitrary-code-execution — попытка запуска произвольного кода;

• attempted-admin — попытка получения административных привилегий;

• attempted-dos — попытка совершения атаки Denial of Service;

• attempted-recon — попытка атаки, направленной на утечку данных;

• attempted-user — попытка получения пользовательских привилегий;

• bad-unknown — потенциально плохой трафик;

• buffer overflow — попытка атаки, использующей принцип перепонения буфера; 

• command-and-control — попытка общения с C&C центром;

• default-login-attempt — попытка логина с именем/паролем по умолчанию;

• denial-of-service — обнаружена атака Denial of Service;

• exploit-kit — обнаружен exploit kit;

• information disclosure — утечка данных;

• memory corruption — попытка атаки, использующей принцип повреждения памяти; 

• misc-activity — прочая активность;

• misc-attack — обнаружена атака;

• network-scan — сканирование сети;

• path traversal — попытка атаки, использующей принцип обхода пути к файлам на сервере, на котором работает приложение;

• policy-violation — нарушение сетевых политик;

• protocol-command-decode — обнаружение необычной команды протокола;

• shellcode-detect — обнаружен исполняемый код;

• string-detect — обнаружена подозрительная строка;

• successful-recon-limited — утечка информации;

• suspicious-login — попытка логина с использованием подозрительного имени пользователя;

• system-call-detect — попытка использования системных вызовов;

• targeted-activity — обнаружение направленной активности;

• trojan-activity — обнаружен сетевой троян;

• uncaught exception — необрабатываемое приложением исключение.

Категория

Категория сигнатуры — группа сигнатур, объединенных общими параметрами. Список категорий может быть пополнен.

• adware pup — нежелательное рекламное ПО;

• attack_response — сигнатуры, определяющие ответы на известные сетевые атаки;

• bruteforce — атака типа brutr force;

• coinminer — скачивание, установка, деятельность известных майнеров;

• dns — известные уязвимости DNS;

• dos — сигнатуры известных Denial of services атак;

• exploit — сигнатуры известных эксплоитов;

• ftp — известные FTP-уязвимости;

• icmp — известные уязвимости протокола icmp;

• imap — известные IMAP-уязвимости;

• info — потенциальная утечка информации;

• ldap — известные LDAP-уязвимости;

• malware — скачивание, установка, деятельность известных malware;

• misc — другие известные сигнатуры;

• netbios — известные уязвимости протокола NETBIOS;

• p2p — идентификация трафика точка-точка (peer-to-peer);

• phishing — сигнатуры известных phishing атак;

• policy — нарушение информационной безопасности;

• pop3 — известные уязвимости протокола POP3;

• rpc — известные уязвимости протокола RPC;

• scada — известные уязвимости протокола SCADA;

• scan — сигнатуры, определяющие попытки сканирования сети на известные приложения;

• shellcode — сигнатуры, определяющие известные попытки запуска программных оболочек;

• sip — известные уязвимости протокола SIP;

• smb — известные уязвимости протокола SMB;

• smtp — известные уязвимости протокола SMTP;

• snmp — известные уязвимости протокола SNMP;

• sql — известные уязвимости SQL;

• telnet — известные попытки взлома по протоколу telnet;

• tftp — известные уязвимости протокола TFTP;

• user_agents — сигнатуры подозрительных Useragent;

• voip — известные уязвимости протокола VoIP;

• web_client — сигнатуры, определяющие известные попытки взлома различных веб-клиентов, например, Adobe Flash Player;

• web_server — сигнатуры, определяющие известные попытки взлома различных веб-серверов;

• web_specific_apps — сигнатуры, определяющие известные попытки взлома различных веб приложений;

• worm — сигнатуры, определяющие сетевую активность известных сетевых червей.

Операционная система сигнатуры

Операционная система, для которой разработана данная сигнатура.

• Windows;

• Linux;

• BSD;

• Mac OS X;

• BSD;

• Solaris;

• Cisco;

• Android;

• IOS;

• Другие;

CVE

Идентификатор уязвимости по реестру CVE.

BDU

Идентификатор уязвимости по реестру BDU. 

URL

Опциональная ссылка на ресурс с описанием уязвимости.

UASL

Описание признаков сигнатуры с помощью синтаксиса UASL. 

Настройки

Действие — реакция на срабатывание сигнатуры. Определены следующие значения:

• Нет — действие используется, как вспомогательное действие для сигнатур, которые связаны через конструкцию .mark set|test (Подробнее — в разделе «Работа с метками»). Сигнатура с этим действием, например, может проставить mark, а mark может проверяться уже в других сигнатурах. 

• Пропустить — пропустить пакет.

• Отбросить — отбросить пакет.

• Сбросить — отбросить пакет с разрывом TCP соединения (отправка TCP reset). 

• Блокировать IP —  блокировать IP-адрес источника и/или назначения. 

Журналировать:

• Включить — включить запись событий в журнал.

• Отключить — отключить запись событий в журнал.

Файл pcap — трассировка срабатывания сигнатуры с записью в файл формата pcap.

• Включить — включить трассировку.

• Отключить — отключить трассировку.

Применить к — применимость действий типа Ресет или Блокировать IP на срабатыване сигнатуры:

• Источник — действия Ресет или Блокировать IP применяются к адресу источника отправления пакетов. 

• Назначание — действия Ресет или Блокировать IP применяются к адресу назначения отправления пакетов.

• Оба — действия Ресет или Блокировать IP применяются и к источнику, и к назначению. 

Блокировка — настройка длительности блокировки для действия Блокировать IP.