FireSIGHT システム ユーザ ガイド バージョン 5.3.1

ルール アクションの指定

ライセンス：Protection

各ルール 見出しには、パケットがルールをトリガーとして使用したときにシステムで行われるアクションを指定するパラメータが 1 つ含まれています。アクションが alert に設定されたルールは、それをトリガーとして使用したパケットに関する侵入イベントを生成し、そのパケットの詳細をログに記録します。アクションが pass に設定されたルールは、それをトリガーとして使用したパケットに関するイベントを生成せず、そのパケットの詳細も記録しません。

注 インライン展開において、ルール状態が [Drop and Generate Events] に設定されたルールは、それをトリガーとして使用したパケットに関する侵入イベントを生成します。また、パッシブ展開で廃棄ルールを適用した場合は、ルールがアラート ルールとして機能します。廃棄ルールの詳細については、「ルール状態の設定」を参照してください。

デフォルトでは、パス ルールがアラート ルールをオーバーライドします。パス ルールを作成することで、アラート ルールを無効にする代わりに、パス ルールで定義された基準を満たすパケットが特定の状況でアラート ルールをトリガーとして使用しないことを指定できます。たとえば、ユーザ "anonymous" として FTP サーバにログインする試行を検索するルールをアクティブのままにする必要があるとします。ただし、1 つ以上の正式な匿名 FTP サーバがネットワークに存在する場合、そのような特定のサーバで匿名ユーザにより最初のルールがトリガーとして使用されないことを指定するパス ルールを作成し、アクティブにすることができます。

ルール エディタで、[Action] リストからルール タイプを選択します。ルール エディタを使ってルール 見出しを作成する手順の詳細については、「ルールの構築」を参照してください。

プロトコルの指定

ライセンス：Protection

各ルール 見出しで、ルールにより検査されるトラフィックのプロトコルを指定する必要があります。次のネットワーク プロトコルを分析対象として指定できます。

• ICMP（インターネット制御メッセージ プロトコル）

• IP（インターネット プロトコル）

（注） プロトコルが ip に設定されている場合、システムは侵入ルール 見出し内のポート定義を無視します。詳細については、「侵入ルールでのポートの定義」を参照してください。

• TCP（伝送制御プロトコル）

• UDP（ユーザ データグラム プロトコル）

TCP、UDP、ICMP、IGMP など、IANA によって割り当てられたすべてのプロトコルを検査するには、プロトコル タイプとして IP を使用します。IANA によって割り当てられたプロトコルの完全なリストについては、http://www.iana.org/assignments/protocol-numbers を参照してください。

注 現在のところ、IP ペイロード内の次の見出し（TCP 見出しなど）でパターンを照合するルールを作成することはできません。代わりに、最後にデコードされたプロトコルからコンテンツ照合が始まります。次善策として、ルール オプションを使用して TCP 見出し内のパターンを照合できます。

ルール エディタで、[Protocol] リストからプロトコル タイプを選択します。ルール エディタを使用してルール 見出しを作成する手順の詳細については、「ルールの構築」を参照してください。

侵入ルールでの IP アドレスの指定

ライセンス：Protection

パケット検査の対象を、特定の IP アドレスから発信されたパケットまたは特定の IP アドレスに向かうパケットに制限すると、システムが実行しなければならないパケット検査の量が減ります。さらに、ルールをより具体化し、送信元および宛先 IP アドレスが疑わしい動作を示していないパケットに対してルールがトリガーとして使用される可能性をなくすと、誤検出も減ります。

ヒント システムは IP アドレスのみを認識し、送信元/宛先 IP アドレスのホスト名を受け入れません。

ルール エディタの [Source IPs] フィールドと [Destination IPs] フィールドで、送信元および宛先の IP アドレスを指定します。ルール エディタを使用してルール 見出しを作成する手順の詳細については、「ルールの構築」を参照してください。

標準テキスト ルールの作成時には、必要に応じて、さまざまな方法で IPv4 アドレスと IPv6 アドレスを指定できます。単一の IP アドレス、 any （オプション）、IP アドレス リスト、CIDR 表記、プレフィクス長、ネットワーク変数、またはネットワーク オブジェクトあるいはネットワーク オブジェクト グループを指定できます。加えて、1 つの特定の IP アドレスまたは複数 IP アドレスのセットを除外するうよう指定できます。IPv6 アドレスを指定するときには、RFC 4291 で定義された任意のアドレス指定規則を使用できます。

次の表では、送信元 IP アドレスと宛先 IP アドレスを指定するさまざまな方法を要約します。

送信元および宛先 IP アドレスを指定するために使用可能な構文の詳細と、変数を使って IP アドレスを指定する方法については、以下の項を参照してください。

• 「IP アドレスの表記法」.

• 「変数セットの操作」

• 「任意の IP アドレスの指定」

• 「複数の IP アドレスの指定」

• 「ネットワーク オブジェクトの指定」

• 「侵入ルールで IP アドレスを除外する」

任意の IP アドレスの指定

ライセンス：Protection

任意の IPv4 または IPv6 アドレスを示す「 any 」という単語を、ルールの送信元 IP アドレスまたは宛先 IP アドレスとして指定できます。

たとえば、次のルールでは [Source IPs] フィールドと [Destination IPs] フィールドで引数 any を使用して、任意の IPv4 または IPv6 の送信元または宛先アドレスを持つパケットを評価します。

また、任意の IPv6 アドレスを示すために :: を指定することもできます。

複数の IP アドレスの指定

ライセンス：Protection

次の例に示すように、カンマを使って複数の IP アドレスを区切り、オプションで、非拒否リストを大カッコで囲むことにより、個別の IP アドレスを列挙できます。

IPv4 アドレスと IPv6 アドレスのいずれかだけを列挙することも、任意に組み合わせて列挙することもできます（次の例を参照）。

以前のソフトウェア リリースでは IP アドレス リストを大カッコで囲む必要がありましたが、現在ではこれが必須でないことに注意してください。また、オプションで、リストを入力するときに各カンマの前または後にスペースを含めることができます。

注 否定リストは、大カッコで囲む必要があります。詳細については、「侵入ルールで IP アドレスを除外する」を参照してください。

また、IPv4 クラスレス ドメイン間ルーティング（CIDR）表記または IPv6 プレフィクス長を使用してアドレス ブロックを指定することもできます。次に例を示します。

• 192.168.1.0/24 は、サブネット マスク 255.255.255.0 の 192.168.1.0 ネットワーク内の IPv4 アドレス、つまり 192.168.1.0 ～ 192.168.1.255 を指定します。詳細については、「IP アドレスの表記法」を参照してください。

• 2001:db8::/32 は、プレフィクス長 32 ビットの 2001:db8:: ネットワーク内の IPv6 アドレス、つまり 2001:db8:: ～ 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff を指定します。

ヒント IP アドレスのブロックを指定する必要があるが、CIDR またはプレフィクス長表記を単独で使ってそれを表現できない場合は、1 つの IP アドレス リスト内でいくつかの CIDR ブロックとプレフィクス長を使用できます。

ネットワーク オブジェクトの指定

ライセンス：Protection

次の構文を使用して、ネットワーク オブジェクトまたはネットワーク オブジェクト グループを指定できます。

ここで、

• object_name はネットワーク オブジェクトの名前です

• group_name はネットワーク オブジェクト グループの名前です

ネットワーク オブジェクトとネットワーク オブジェクト グループの作成方法については、「ネットワーク オブジェクトの操作」を参照してください。

192.168sub16 という名前のネットワーク オブジェクトと all_subnets という名前のネットワーク オブジェクト グループをすでに作成済みであるとします。ネットワーク オブジェクトを使用して IP アドレスを特定するには、たとえば次のように指定できます。

ネットワーク オブジェクト グループを使用するには、次のように指定できます。

さらに、ネットワーク オブジェクトとネットワーク オブジェクト グループで否定を使用することもできます。次に例を示します。

詳細については、「侵入ルールで IP アドレスを除外する」を参照してください。

侵入ルールで IP アドレスを除外する

ライセンス：Protection

特定の IP アドレスを否定するために感嘆符（ ! ）を使用できます。つまり、1 つ以上の特定の IP アドレスを除く、すべての IP アドレスに一致させることができます。たとえば、 !192.168.1.1 は 192.168.1.1 以外の任意の IP アドレスを、 !2001:db8:ca2e::fa4c は 2001:db8:ca2e::fa4c 以外の任意の IP アドレスを指定します。

IP アドレスのリストを否定するために ! を付ける場所は、大カッコで囲んだ IP アドレス リストの前です。たとえば、 ![192.168.1.1,192.168.1.5] は 192.168.1.1 と 192.168.1.5 を除くすべての IP アドレスを定義します。

注 IP アドレスのリストを否定するには、大カッコを使用する必要があります。

否定文字と一緒に IP アドレス リストを使用する場合は注意が必要です。たとえば、192.168.1.1 と 192.168.1.5 を除くすべてのアドレスと一致させるために [!192.168.1.1,!192.168.1.5] を使用した場合、システムはこの構文を「192.168.1.1 以外のすべて、 または 192.168.1.5 以外のすべて」と解釈します。

192.168.1.5 は 192.168.1.1 ではなく、192.168.1.1 は 192.168.1.5 ではないため、この両方の IP アドレスが [!192.168.1.1,!192.168.1.5] という IP アドレス値に一致します。つまり、実質的に「 any 」を使用するのと同じです。

代わりに ![192.168.1.1,192.168.1.5] を使用してください。システムはこの構文を「192.168.1.1 でなく、しかも 192.168.1.5 でない 」と解釈し、大カッコ内に列挙されたものを除くすべての IP アドレスに一致します。

論理的に言って、 any と一緒に否定を使用できないことに注意してください。any を否定すると「アドレスなし」を意味することになります。

侵入ルールでのポートの定義

ライセンス：Protection

ルール エディタの [Source Port] フィールドと [Destination Port] フィールドで、送信元および宛先ポートを指定します。ルール エディタを使用してルール 見出しを作成する手順の詳細については、「ルールの構築」を参照してください。

ルール 見出し内で使われるポート番号を定義するために、FireSIGHT システムは特殊なタイプの構文を使用します。

注 プロトコルが ip に設定されている場合、システムは侵入ルール 見出し内のポート定義を無視します。詳細については、「プロトコルの指定」を参照してください。

次の例に示すように、カンマでポートを区切ることによって、ポートのリストを指定できます。

オプションで、次の例に示すように、ポート リストを大カッコで囲むこともできます（以前のソフトウェア バージョンではこれが必須でしたが、現在は必須ではありません）。

なお、次の例に示すように、ポート リストの否定を大カッコで囲む 必要がある ことに注意してください。

また、侵入ルール内の送信元ポートや宛先ポートのリストには最大で 64 文字を含めることができます。

次の表に、使用可能な構文を要約します。

方向の指定

ライセンス：Protection

ルールによる検査対象となるパケットが進むべき方向を、ルール 見出し内で指定できます。このオプションについて、次の表で説明します。

ルール エディタを使用してルール 見出しを作成する手順の詳細については、「ルールの構築」を参照してください。

侵入イベント詳細の定義

ライセンス：Protection

標準テキスト ルールを作成するときには、ルールで攻撃試行を検出する対象となる脆弱性についてのコンテキスト情報を含めることができます。また、脆弱性データベースへの外部参照を含めたり、組織内でイベントに設定するプライオリティを定義したりすることもできます。アナリストがイベントを認識すると、そのプライオリティ、exploit、および既知の対策についての情報をすぐに入手できます。

イベント関連のキーワードに関する詳細は、以下の項を参照してください。

• 「イベント メッセージの定義」

• 「イベント プライオリティの定義」

• 「侵入イベント分類の定義」

• 「イベント参照の定義」

イベント メッセージの定義

ライセンス：Protection

ルールのトリガー時にメッセージとして表示される、意味のあるテキストを指定できます。メッセージを読むと、ルールで攻撃試行を検出する対象となった脆弱性の特性をすぐに理解できます。中カッコ（ {} ）を除く、印字可能な任意の標準 ASCII 文字を使用できます。システムは、メッセージ全体を囲んでいる引用符を取り除きます。

ヒント ルール メッセージの指定は必須です。また、空白文字のみ、1 つ以上の引用符のみ、1 つ以上のアポストロフィのみ、あるいは空白文字/引用符/アポストロフィだけの組み合わせでメッセージを構成することはできません。

ルール エディタでイベント メッセージを定義するには、[Message] フィールドにイベント メッセージを入力します。ルール エディタを使用してルールを作成する方法については、「ルールの構築」を参照してください。

イベント プライオリティの定義

ライセンス：Protection

デフォルトでは、ルールのイベント分類からルールのプライオリティが派生します。ただし、 priority キーワードをルールに追加すると、ルールの分類プライオリティをオーバーライドできます。

ルール エディタを使ってプライオリティを指定するには、[Detection Options] リストから [priority] を選択して、ドロップダウン リストから [high]、[medium]、または [low] を選択します。たとえば、Web アプリケーション攻撃を検出するルールに high プライオリティを割り当てるには、 priority キーワードをルールに追加して、プライオリティとして high を選択します。ルール エディタを使用してルールを作成する方法については、「ルールの構築」を参照してください。

侵入イベント分類の定義

ライセンス：Protection

ルールごとに、イベントのパケット表示に含める攻撃分類を指定できます。次の表に、それぞれの分類の名前と番号を示します。

ルール エディタで分類を指定するには、[Classification] リストから分類を 1 つ選択します。ルール エディタの詳細については、「新しいルールの作成」を参照してください。

カスタム分類の追加

ライセンス：Protection

定義したルールによって生成されるイベントのパケット表示記述の内容をもっとカスタマイズする必要がある場合には、カスタム分類を作成します。

分類リストに分類を追加する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Policies] > [Intrusion] > [Rule Editor] の順に選択します。

[Rule Editor] ページが表示されます。

ステップ 2 [Create Rule] をクリックします。

[Create Rule] ページが表示されます。

ステップ 3 [Classification] ドロップダウン リストで、[Edit Classifications] をクリックします。

ポップアップ ウィンドウが表示されます。

ステップ 4 [Classification Name] フィールドに分類の名前を入力します。

最大で 255 文字の英数字を使用できますが、40 文字を超えるとページが読みにくくなります。 <>()\'"&$; 文字および空白文字はサポートされていません。

ステップ 5 [Classification Description] フィールドに、分類の説明を入力します。

最大で 255 文字の英数字とスペースを使用できます。 <>()\'"&$; 文字はサポートされていません。

ステップ 6 [Priority] リストからプライオリティを選択します。

[high]、[medium]、または [low] を選択できます。

ステップ 7 [Add] をクリックします。

新しい分類がリストに追加され、ルール エディタで使用できるようになります。

ステップ 8 [Done] をクリックします。

イベント参照の定義

ライセンス：Protection

reference キーワードを使用すると、イベントに関する外部 Web サイトや追加情報への参照を追加できます。参照を追加すると、アナリストは参照情報をすぐに利用できるため、パケットがルールをトリガーとして使用した理由を特定するのに役立ちます。次の表に、既知の exploit や攻撃についてのデータを提供する外部システムをいくつか示します。

ルール エディタを使用して参照を指定するには、[Detection Options] リストから [reference] を選択し、対応するフィールドに次のように値を入力します。

ここで、 id_system はプレフィクスとして使用されるシステム、 id は Bugtraq ID、CVE 番号、Arachnids ID、または URL（ http:// なし）です。

たとえば、Bugtraq ID 17134 に記載されている Microsoft Commerce Server 2002 サーバ上の認証バイパス脆弱性を指定するには、reference フィールドに次のように入力します。

参照をルールに追加するときには、次の点に注意してください。

• カンマの後ろにスペースを入力しないでください。

• システム ID に大文字を使用しないでください。

ルール エディタを使用してルールを作成する方法については、「ルールの構築」を参照してください。

コンテンツ一致の検索

ライセンス：Protection

content キーワードを使用すると、パケット内で検出すべき内容（コンテンツ）を指定できます。 キーワードを使用すると、ルール エンジンはパケット ペイロードまたはストリームの中でその文字列を検索します。たとえば、 content キーワードの値として /bin/sh と入力した場合、ルール エンジンはパケット ペイロード内で文字列 /bin/sh を検索します。

ASCII 文字列、16 進コンテンツ（バイナリ バイト コード）、またはその両方の組み合わせを使用してコンテンツを照合できます。キーワード値の中で 16 進コンテンツをパイプ文字（|）で囲みます。たとえば、 |90C8 C0FF FFFF|/bin/sh のように 16 進コンテンツと ASCII コンテンツを混在させることができます。

1 つのルール内で複数のコンテンツ マッチングを指定できます。これを行うには、 content キーワードの追加のインスタンスを使用します。コンテンツ マッチングごとに、ルールをトリガーとして使用させるにはパケット ペイロードまたはストリームでコンテンツ一致が見つからなければならないことを指定できます。

ほとんどの場合、 content キーワードの後ろに修飾子を付けることによって、コンテンツを検索すべき位置、検索で大文字/小文字を区別するかどうか、その他のオプションを指定する必要があります。 content キーワードの修飾子の詳細については、 コンテンツ一致の制約を参照してください。

ルールでイベントがトリガーとして使用されるためには、すべてのコンテンツ マッチングが真でなければならないことに注意してください。つまり、各コンテンツ マッチングは相互に AND 関係にあります。

また、インライン展開では、有害なコンテンツを照合した後でそれを同じ長さの独自のテキスト文字列に置き換えるルールをセットアップできることにも注意してください。詳細については、「インライン展開でのコンテンツの置換」を参照してください。

照合するコンテンツを入力する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [content] フィールドに、検索する内容を入力します（たとえば |90C8 C0FF FFFF|/bin/sh ）。

指定したコンテンツ 以外の コンテンツを検索するには、[Not] チェック ボックスをオンにします。

ステップ 2 オプションで、 content キーワードを変更したり、キーワードの制約を追加したりするキーワードを追加します。他のキーワードの詳細については、「ルールでのキーワードと引数について」を参照してください。 content キーワードの制約の詳細については、「コンテンツ一致の制約」を参照してください。

ステップ 3 ルールの作成または編集を続けます。詳細については、「新しいルールの作成」または「既存のルールの変更」を参照してください。

コンテンツ一致の制約

ライセンス：Protection

content キーワードを変更するパラメータを使用すると、コンテンツ検索の位置や大文字/小文字の区別を制約できます。 content protected_content キーワードを変更するオプションを設定して、検索対象となるコンテンツを指定します。

詳細については、次の項を参照してください。

• 「Case Insensitive」

• 「raw データ」

• 「Not」

• 「検索位置オプション」

• 「HTTP コンテンツ オプション」

• 「Use Fast Pattern Matcher」

Case Insensitive

ライセンス：Protection

ASCII 文字列でコンテンツ一致を検索するときに大文字/小文字の区別を無視するようルール エンジンに指示できます。検索で大文字/小文字を区別しないようにするには、コンテンツ検索の指定で [Case Insensitive] をオンにします。

コンテンツ検索時に [Case Insensitive] を指定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 追加する content キーワードに関して [Case Insensitive] を選択します。

ステップ 2 ルールの作成または編集を続けます。詳細については、 コンテンツ一致の制約、「コンテンツ一致の検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

raw データ

ライセンス：Protection

Raw Data オプションを使用すると、ルール エンジンは、正規化されたペイロード データ（FireSIGHT システム プリプロセッサによってデコードされたデータ）を分析する前にオリジナルのパケット ペイロードを分析します。引数値は使用されません。正規化の前に、ペイロード内の Telnet ネゴシエーション オプションを検査するために Telnet トラフィックを分析する場合に、このキーワードを使用できます。

同じ content キーワードの中で、Raw Data オプションを HTTP コンテンツ オプションと一緒に使用することはできません。詳細については、「HTTP コンテンツ オプション」を参照してください。

ヒント HTTP Inspect プリプロセッサが有効になっている場合は、HTTP トラフィック内で raw データを検査するかどうか、および検査される raw データの量を決定するために HTTP Inspect プリプロセッサの [Client Flow Depth] オプションと [Server Flow Depth] オプションを設定できます。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

raw データを分析する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 追加する content キーワードの [Raw Data] チェック ボックスを選択します。

ステップ 2 ルールの作成または編集を続けます。詳細については、 コンテンツ一致の制約、「コンテンツ一致の検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

Not

ライセンス：Protection

指定したコンテンツと一致しないコンテンツを検索するには、Not オプションを選択します。Not オプションが選択された content キーワードを含むルールを作成する場合には、そのルール内に、Not オプションが選択されていない別の content キーワードを 1 つ以上含める必要があります。

たとえば、SMTP ルール 1:2541: 9 に 3 つの content キーワードが含まれており、そのうち 1 つで Not オプションが選択されているとします。Not オプションが選択されたキーワード以外のすべての content キーワードを仮に削除すると、このルールに基づくカスタム ルールが無効になります。このようなルールを侵入ポリシーに追加すると、そのポリシーの効果がなくなる可能性があります。

指定したコンテンツに一致しないコンテンツを検索する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 追加する content キーワードの [Not] チェック ボックスを選択します。

ヒント 同じ content キーワードで、[Not] チェック ボックスと [Use Fast Pattern Matcher] チェック ボックスを同時に選択することはできません。

ステップ 2 Not オプションが選択されていない他の 1 つ以上の content キーワードをルールに含めます。

ステップ 3 ルールの作成または編集を続けます。詳細については、 コンテンツ一致の制約、「コンテンツ一致の検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

検索位置オプション

ライセンス：Protection

次のように、2 つの content 位置ペアのいずれかを使用すると、指定したコンテンツの検索をどこから開始するか、どこまで検索するかを指定できます。

• パケット ペイロードの先頭を基準にして検索する場合は、Offset と Depth を一緒に使用しします。

• 現在の検索位置を基準にして検索する場合は、Distance と Within を一緒に使用します。

ペアに含まれるオプションのどちらか 1 つだけを指定した場合は、そのペアのもう 1 つのオプションのデフォルトが想定されます。

Offset および Depth オプションと、Distance および Within オプションを混合することはできません。たとえば、Offset と Within をペアにすることはできません。1 つのルール内で任意の数の位置オプションを使用できます。

位置が指定されない場合は、Offset と Depth のデフォルトが想定されます。つまり、コンテンツ検索はパケット ペイロードの先頭から始まってパケットの末尾まで続きます。

また、既存の byte_extract 変数を使用して位置オプションの値を指定することもできます。詳細については、「パケット データをキーワード引数の中に読み込む」を参照してください。

Offset

パケット ペイロードの先頭を基準とする、コンテンツの検索を開始するパケット ペイロード内の位置をバイト単位で指定します。値として -65535 ～ 65535 バイトを指定できます。

オフセット カウンタはバイト 0 から始まるため、パケット ペイロードの先頭から順方向に移動すべきバイト数よりも 1 つ少ない数値を指定してください。たとえば 7 を指定した場合は、8 番目のバイトから検索が始まります。

デフォルトのオフセットは 0 で、これはパケットの先頭を意味します。

Depth

オフセット値の先頭からの（またはオフセットが設定されていない場合はパケット ペイロード先頭からの）コンテンツ検索の最大の深さをバイト単位で指定します。

たとえば、ルールのコンテンツ値が cgi-bin/phf 、 offset 値が 3 、 depth 値が 22 である場合、ルール 見出しで指定されたパラメータを満たすパケット内で、 cgi-bin/phf 文字列との一致の検索がバイト位置 3 から始まり、22 バイト処理した後（バイト位置 25 で）停止します。

指定したコンテンツの長さ以上の、最大 65535 バイトまでの値を指定する必要があります。値 0 は指定できません。

デフォルトの深さは、「パケットの末尾まで検索」です。

Distance

以前に見つかったコンテンツ一致から数えて、指定されたバイト数の後に出現する後続のコンテンツ一致を見つけるようルール エンジンに指示します。

Distance（距離）カウンタはバイト 0 から始まるため、最後に見つかったコンテンツ一致から順方向に移動すべきバイト数よりも 1 つ少ない数値を指定してください。たとえば 4 を指定した場合、5 番目のバイトから検索が始まります。

-65535 ～ 65535 バイトを値として指定できます。負の Distance 値を指定した場合は、検索を開始するバイト位置がパケットの先頭から外れる可能性があります。実際にはパケットの第 1 バイトから検索が開始されますが、計算ではパケットの外側のバイトも考慮されます。たとえば、パケット内の現在の位置が第 5 バイトで、次のコンテンツ ルール オプションで Distance 値 -10 および Within 値 20 が指定された場合、検索はペイロードの先頭から開始され、 Within オプションが 15 に調整されます。

デフォルトの距離は 0 で、これは最後のコンテンツ一致の後のパケット内の現在位置という意味です。

Within

Within オプションを使用すると、ルールをトリガーとして使用させるには、最後に見つかったコンテンツ一致の末尾以降、指定のバイト数以内に次のコンテンツ一致が発生する必要があることを指示できます。たとえば Within 値として 8 を指定した場合、次のコンテンツ一致がパケット ペイロードの次の 8 バイト以内に発生する必要があります。発生しない場合は、ルールをトリガーとして使用する基準が満たされません。

指定したコンテンツの長さ以上の、最大 65535 バイトまでの値を指定できます。

Within のデフォルトは「パケットの末尾まで検索」です。

ユーザ インターフェイスで検索位置の値を指定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 追加する content キーワードのフィールドに値を入力します。次の選択肢があります。

• Offset

• Depth

• Distance

• Within

1 つのルール内で任意の数の位置オプションを使用できます。

ステップ 2 ルールの作成または編集を続けます。詳細については、「コンテンツ一致の制約」、「コンテンツ一致の検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

HTTP コンテンツ オプション

ライセンス：Protection

HTTP content キーワード オプションを使用すると、HTTP Inspect プリプロセッサによってデコードされた HTTP メッセージ内でコンテンツ一致を検索する位置を指定できます。

次の 2 つのオプションは、HTTP 応答内のステータス フィールドを検索します。

• HTTP Status Code

• HTTP Status Message

ルール エンジンは未加工の正規化されていないステータス フィールドを検索しますが、ここでは、他の未加工 HTTP フィールドと正規化された HTTP フィールドを併用する際に考慮すべき制限についての説明を簡略化するために、これらのオプションが別個に列挙されていることに注意してください。

次の 5 つのオプションは、必要に応じて HTTP 要求、応答、またはその両方の中で正規化フィールドを検索します（詳細については、「HTTP コンテンツ オプション」を参照してください）。

• HTTP URI

• HTTP Method

• HTTP Header

• HTTP Cookie

• HTTP Client Body

次の 3 つのオプションは、必要に応じて HTTP 要求、応答、またはその両方の中で未加工の（正規化されていない）非ステータス フィールドを検索します（詳細については、「HTTP コンテンツ オプション」を参照してください）。

• HTTP Raw URI

• HTTP Raw Header

• HTTP Raw Cookie

HTTP content オプションを選択する場合は、次のガイドラインに従ってください。

• HTTP content オプションは TCP トラフィックにのみ適用されます。

• パフォーマンスへの悪影響を避けるために、指定したコンテンツが出現する可能性のあるメッセージ部分だけを選択してください。

たとえば、ショッピング カート メッセージの場合のように大きな cookie がトラフィックに含まれている可能性がある場合は、HTTP cookie ではなく HTTP 見出しの中で指定のコンテンツを検索することができます。

• パフォーマンスを向上させて誤検出を減らすためには、HTTP Inspect プリプロセッサが有効になっていることを確認してください。これにより HTTP メッセージ トラフィックが正規化され、HTTP content オプションを含むルールに照らして評価されるようになります。

• HTTP Inspect プリプロセッサの正規化機能を活用し、パフォーマンスを向上させるには、作成するすべての HTTP 関連ルールの中に、HTTP URI、HTTP Method、HTTP Header、または HTTP Client Body オプションが選択された少なくとも 1 つの content キーワードを含めてください。

• HTTP content キーワード オプションと組み合わせて replace キーワードを使用することはできません。

単一の正規化された HTTP オプションまたはステータス フィールドを指定できます。または、複数の正規化 HTTP オプションとステータス フィールドを任意に組み合わせて、コンテンツ領域をマッチング対象にすることもできます。ただし、HTTP フィールド オプションを使用する場合には次の制限事項に注意してください。

• 同じ content キーワード内で HTTP オプションと一緒に Raw Data オプションを使用することはできません。

• 未加工 HTTP フィールド オプション（HTTP Raw URI、HTTP Raw Header、または HTTP Raw Cookie）と、それぞれに対応する正規化されたオプション（HTTP URI、HTTP Header、または HTTP Cookie）を同じ content キーワード内で一緒に使用することはできません。

• Use Fast Pattern Matcher を、次の 1 つ以上の HTTP フィールド オプションと組み合わせて選択することはできません。

HTTP Raw URI、HTTP Raw Header、HTTP Raw Cookie、HTTP Cookie、HTTP Method、HTTP Status Message、または HTTP Status Code

ただし、次のいずれかの正規化フィールドを検索するために高速パターン マッチ機能を使用する content キーワードでは、上記のオプションを含めることができます。

HTTP URI、HTTP Header、または HTTP Client Body

たとえば、HTTP Cookie、HTTP Header、および Use Fast Pattern Matcher を選択した場合、ルール エンジンは HTTP cookie と HTTP 見出しの両方でコンテンツを検索しますが、高速パターン マッチ機能は HTTP cookie ではなく、HTTP 見出しにのみ適用されます。

• 制限付きオプションと制限なしオプションを併用した場合、高速パターン マッチ機能は、指定された制限なしフィールドのみを検索することで、ルール エディタにルールを渡して（制限付きフィールドの評価を含む）完全な評価を行うべきかどうかを検査します。詳細については、「Use Fast Pattern Matcher」を参照してください。

HTTP content キーワード オプションに関する以下のリストでは、前述した制限事項が各オプションの説明に反映されています。

このいずれかの content キーワード オプションを使用したルールの処理を可能にするには、HTTP プリプロセッサを有効にする必要があることに注意してください。HTTP プリプロセッサが無効になっている状態で、このいずれかのキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

次のリストに、HTTP content キーワード オプションの説明を示します。

HTTP URI

正規化された要求 URI フィールド内でコンテンツ一致を検索するには、このオプションを選択します。

このオプションと pcre キーワードの HTTP URI（U）オプションを一緒に使用して、同じコンテンツを検索できないことに注意してください。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

注 パイプライン処理された HTTP 要求パケットには複数の URI が含まれています。HTTP URI が選択されている場合、パイプライン処理された HTTP 要求パケットをルール エンジンが検出すると、そのパケット内のすべての URI でコンテンツ一致が検索されます。

HTTP Raw URI

正規化された要求 URI フィールド内でコンテンツ一致を検索するには、このオプションを選択します。

このオプションと pcre キーワードの HTTP URI（U）オプションを一緒に使用して、同じコンテンツを検索できないことに注意してください。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

注 パイプライン処理された HTTP 要求パケットには複数の URI が含まれています。HTTP URI が選択されている場合、パイプライン処理された HTTP 要求パケットをルール エンジンが検出すると、そのパケット内のすべての URI でコンテンツ一致が検索されます。

HTTP Method

（URI で識別されるリソースに対して行う GET や POST などのアクションを特定する）要求メソッド フィールド内のコンテンツ一致を検索するには、このオプションを選択します。

HTTP Header

HTTP 要求内の（cookie を除く）正規化された見出し フィールドでコンテンツ一致を検索するには、このオプションを選択します。また、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションが有効になっている場合は応答内でも検索されます。

このオプションと pcre キーワードの HTTP 見出し（H）オプションを一緒に使用して、同じコンテンツを検索できないことに注意してください。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

HTTP Raw Header

HTTP 要求内の（cookie を除く）未加工見出し フィールドでコンテンツ一致を検索するには、このオプションを選択します。また、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションが有効になっている場合は応答内でも検索されます。

このオプションと pcre キーワードの HTTP 未加工見出し（D）オプションを一緒に使用して、同じコンテンツを検索できないことに注意してください。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

HTTP Cookie

正規化された HTTP クライアント要求見出し内で識別される cookie でコンテンツ一致を検索するには、このオプションを選択します。また、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションが有効になっている場合は応答 set-cookie データ内でも検索されます。システムは、メッセージ本文に含まれる cookie を本文の内容として扱うことに注意してください。

cookie 内だけで一致を検索するには、HTTP Inspect プリプロセッサの [Inspect HTTP Cookies] オプションを有効にする必要があります。これを有効にしない場合、ルール エンジンは cookie を含む見出し全体を検索します。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

次の点に注意してください。

–このオプションと pcre キーワードの HTTP cookie（C）オプションを一緒に使用して、同じコンテンツを検索することはできません。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

– Cookie: 見出し名と Set-Cookie: 見出し名、見出し行の先行スペース、および見出し行の終わりを示す CRLF は cookie の一部としてではなく、見出しの一部として検査されます。

HTTP Raw Cookie

未加工 HTTP クライアント要求見出し内で識別される cookie でコンテンツ一致を検索するには、このオプションを選択します。また、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションが有効になっている場合は応答 set-cookie データ内でも検索されます。システムは、メッセージ本文に含まれる cookie を本文の内容として扱うことに注意してください。

cookie 内だけで一致を検索するには、HTTP Inspect プリプロセッサの [Inspect HTTP Cookies] オプションを有効にする必要があります。これを有効にしない場合、ルール エンジンは cookie を含む見出し全体を検索します。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

次の点に注意してください。

–このオプションと pcre キーワードの HTTP 未加工 cookie（K）オプションを一緒に使用して同じコンテンツを検索することはできません。詳細については、 「Snort 固有の正規表現後の修飾子」 の表を参照してください。

– Cookie: 見出し名と Set-Cookie: 見出し名、見出し行の先行スペース、および見出し行の終わりを示す CRLF は cookie の一部としてではなく、見出しの一部として検査されます。

HTTP Client Body

HTTP クライアント要求内のメッセージ本文でコンテンツ一致を検索するには、このオプションを選択します。

このオプションが機能するためには、HTTP Inspect プリプロセッサの [HTTP Client Body Extraction Depth] オプションで 0 ～ 65535 の値を指定する必要があることに注意してください。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

HTTP Status Code

HTTP 応答内の 3 桁のステータス コードでコンテンツ一致を検索するには、このオプションを選択します。

このオプションで一致が返されるようにするには、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

HTTP Status Message

HTTP 応答のステータス コードに付加されるテキスト記述の中でコンテンツ一致を検索するには、このオプションを選択します。

このオプションで一致が返されるようにするには、HTTP Inspect プリプロセッサの [Inspect HTTP Responses] オプションを有効にする必要があります。詳細については、「サーバレベル HTTP 正規化オプションの選択」を参照してください。

TCP トラフィックのコンテンツ検索を実行する場合に HTTP content オプションを指定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 オプションで、HTTP Inspect プリプロセッサの正規化機能を活用し、パフォーマンスを向上させるには、追加する content キーワードで HTTP URI、HTTP Raw URI、HTTP Method、HTTP Header、HTTP Raw Header、または HTTP Client Body オプションの中から 1 つ以上を選択します。さらに、オプションで HTTP Cookie または HTTP Raw Cookie オプションを選択することもできます。

ステップ 2 ルールの作成または編集を続けます。詳細については、「コンテンツ一致の制約」、「コンテンツ一致の検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

Use Fast Pattern Matcher

ライセンス：Protection

高速パターン マッチ機能は、パケットをルール エンジンに渡す前に、どのルールを評価すべきかをすばやく決定します。この初期決定により、パケット評価で使用されるルール数が大幅に減るため、パフォーマンスが向上します。

デフォルトで、高速パターン マッチ機能は、ルールで指定された最長のコンテンツをパケットで検索します。これは、不必要なルール評価をできるだけ減らすためです。次の例のようなルール フラグメントがあるとします。

ほとんどすべての HTTP クライアント要求にはコンテンツ GET が含まれていますが、コンテンツ /exploit.cgi を含む要求は稀です。 GET を高速パターン コンテンツとして使用した場合、ルール エンジンはほとんどのケースでこのルールを評価し、一致はほとんど検出されないでしょう。しかし、 /exploit.cgi を使用するとほとんどのクライアントの GET 要求は評価されないため、パフォーマンスが向上します。

指定されたコンテンツが高速パターン マッチ機能で検出された場合にのみ、ルール エンジンはパケットをルールに照らして評価します。たとえば、ルール内の 1 つの content キーワードでコンテンツ short を指定し、別のキーワードで longer 、さらに 3 番目のキーワードで longest を指定した場合、高速パターン マッチ機能はコンテンツ longest を使用し、ルール エンジンがペイロード内で longest を検出した場合にのみ、ルールが評価されます。

より短い検索パターンを高速パターン マッチ機能で使用するよう指定するには、Use Fast Pattern Matcher オプションを使用できます。理論的には、指定したパターンの方が最長パターンよりもパケット内で見つかる可能性が低いため、より的を絞って対象の exploit を識別できます。

Use Fast Pattern Matcher と他のオプションを同じ content キーワード内で選択する場合は、次の制限事項に注意してください。

• ルールごとに 1 回だけ、Use Fast Pattern Matcher を指定できます。

• Use Fast Pattern Matcher と Not を組み合わせて選択した場合は、Distance、Within、Offset、および Depth を使用できません。

• Use Fast Pattern Matcher を、次のいずれかの HTTP フィールド オプションと組み合わせて選択することはできません。

HTTP Raw URI、HTTP Raw Header、HTTP Raw Cookie、HTTP Cookie、HTTP Method、HTTP Status Message、または HTTP Status Code

ただし、次のいずれかの正規化フィールドを検索するために高速パターン マッチ機能を使用する content キーワードでは、上記のオプションを含めることができます。

HTTP URI、HTTP Header、または HTTP Client Body

たとえば、HTTP Cookie、HTTP Header、および Use Fast Pattern Matcher を選択した場合、ルール エンジンは HTTP cookie と HTTP 見出しの両方でコンテンツを検索しますが、高速パターン マッチ機能は HTTP cookie ではなく、HTTP 見出しにのみ適用されます。

未加工 HTTP フィールド オプション（HTTP Raw URI、HTTP Raw Header、または HTTP Raw Cookie）と、それぞれに対応する正規化されたオプション（HTTP URI、HTTP Header、または HTTP Cookie）を同じ content キーワード内で一緒に使用できないことに注意してください。詳細については、「HTTP コンテンツ オプション」を参照してください。

制限付きオプションと制限なしオプションを併用した場合、高速パターン マッチ機能は、指定された制限なしフィールドのみを検索することで、ルール エンジンにパケットを渡して（制限付きフィールドの評価を含む）完全な評価を行うべきかどうかを検査します。

• オプションで、Use Fast Pattern Matcher を選択した場合には Fast Pattern Matcher Only または Fast Pattern Matcher Offset and Length を選択することもできますが、この両方は選択できません。

• Base64 データの検査時には高速パターン マッチ機能を使用できません（詳細については、「Base64 データのデコードと検査」を参照してください）。

Fast Pattern Matcher Only の使用

Fast Pattern Matcher Only オプションを使用すると、 content キーワードをルール オプションとしてではなく、高速パターン マッチ機能オプションとしてのみ使用できます。指定したコンテンツをルール エンジンで評価する必要がない場合、このオプションを使ってリソースを節約できます。たとえば、ペイロード内のいずれかの場所にコンテンツ 12345 が存在することだけを必要とするルールがあるとします。高速パターン マッチ機能でパターンが検出された場合に、ルール内の追加のキーワードに照らしてパケットを評価できます。パターン 12345 が含まれているかどうかを判断するために、ルール エンジンがパケットを再評価する必要はありません。

指定されたコンテンツに関連する他の条件がルールに含まれている場合は、このオプションを使用しないでください。たとえば、別のルール条件で abcd が 1234 の前に出現するかどうかを判断する場合には、このオプションを使ってコンテンツ 1234 を検索しないでください。Fast Pattern Matcher Only を指定すると、指定されたコンテンツがルール エンジンによって検索されないため、このケースではルール エンジンが相対的な位置を判断できません。

このオプションを使用するときには、次の条件に注意してください。

• 指定されたコンテンツは位置に依存しない、つまり、ペイロードのどこにでも出現する可能性があるため、位置オプション（Distance、Within、Offset、Depth、Fast Pattern Matcher Offset and Length）を使用することはできません。

• このオプションを Not と組み合わせて使用することはできません。

• このオプションを Fast Pattern Matcher Offset and Length と組み合わせて使用することはできません。

• 大文字/小文字を区別しない方法ですべてのパターンが高速パターン マッチ機能に挿入されるため、指定したコンテンツは「大文字/小文字の区別なし」として扱われます。これは自動的に処理されるため、このオプションの選択時に Case Insensitive を選択する必要はありません。

• Fast Pattern Matcher Only オプションを使用する content キーワードの直後に、現在の検索位置を基準にして検索位置を設定する次のキーワードを続けないようにしてください。

• isdataat

• pcre

• content （Distance または Within が選択されている場合）

• content （HTTP URI が選択されている場合）

• asn1

• byte_jump

• byte_test

• byte_extract

• base64_decode

Fast Pattern Matcher Offset and Length の指定

Fast Pattern Matcher Offset and Length オプションを使用すると、検索するコンテンツの一部分を指定できます。これにより、パターンが非常に長く、ルールの一致の可能性を判断するのにパターンの一部分だけで十分な場合に、メモリ消費を抑えることができます。高速パターン マッチ機能によってルールが選択されたときに、パターン全体がルールに照らして評価されます。

次の構文に従い、検索を開始する位置（オフセット）およびコンテンツ内をどれほど検索するか（長さ）をバイト単位で指定することにより、高速パターン マッチ機能で使用する部分を決定します。

たとえば、次のコンテンツに対して

次のようにオフセットと長さのバイト数を指定した場合、

高速パターン マッチ機能はコンテンツ 23456 のみを検索します。

このオプションを Fast Pattern Matcher Only と一緒に使用できないことに注意してください。

高速パターン マッチ機能で検索されるコンテンツを指定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 追加する content キーワードに関して [Use Fast Pattern Matcher] を選択します。

ステップ 2 オプションで、指定したパターンがパケット内に存在するかどうかをルール エンジン評価なしで判断するには [Fast Pattern Matcher Only] を選択します。

指定されたコンテンツが高速パターン マッチ機能で検出された場合にのみ、評価が開始されます。

ステップ 3 オプションで、次の構文に従い、コンテンツの検索場所となるパターンの部分を [Fast Pattern Matcher Offset and Length] で指定します。

ここで、 offset は検索の開始場所となるコンテンツ先頭からのバイト数を指定し、 length は検索を続けるバイト数を指定します。

ステップ 4 ルールの作成または編集を続けます。詳細については、「コンテンツ一致の制約」、「PCRE を使用したコンテンツの検索」、「新しいルールの作成」、または「既存のルールの変更」を参照してください。

インライン展開でのコンテンツの置換

ライセンス：Protection

インライン展開で replace キーワードを使用すると、指定したコンテンツを置き換えることができます。

注 シスコ SSL アプライアンスによって検出された SSL トラフィック内のコンテンツを置き換えるために replace キーワードを使用することはできません。置換データではなく、元の暗号化データが送信されます。詳細については、『Cisco SSL Appliance Administration and Deployment Guide』を参照してください。

replace キーワードを使用するには、 content キーワードを使って特定の文字列を検索するカスタム標準テキスト ルールを作成します。その後、 replace キーワードを使用して、コンテンツを置き換える文字列を指定します。置換値とコンテンツ値は同じ長さである必要があります。

オプションで、以前の FireSIGHT システム ソフトウェア バージョンとの下位互換性を維持するために、置換文字列を引用符で囲むことができます。引用符を含めない場合は、それらが自動的にルールに追加されるため、構文的に正しいルールになります。置換テキストの一部として先行引用符または後続引用符を含めるには、次の例に示すように、バックスラッシュを使ってエスケープする必要があります。

1 つのルール内に複数の replace キーワードを含めることができますが、 content キーワードごとに 1 つずつしか含めることができません。ルールによって検出されたコンテンツの最初のインスタンスだけが置き換えられます。

次に、 replace キーワードの使用例を示します。

• exploit を含んでいる着信パケットをシステムが検出した場合、有害な文字列を無害な文字列に置き換えることができます。このテクニックは、有害なパケットを単に破棄するよりも効果的である場合があります。破棄されたパケットを攻撃者が単に再送信し続け、やがてネットワーク防御を通り抜けるか、ネットワークを氾濫させるという攻撃シナリオがあります。パケットを破棄する代わりに別の文字列に置き換えることで、脆弱ではないターゲットに対して攻撃が実行されたと攻撃者に思い込ませることができます。

• （たとえば Web サーバの）脆弱なバージョンが稼働しているかどうかを調べる偵察攻撃が懸念される場合は、発信パケットを検出して、バナーを独自のテキストに置き換えることができます。

注 置換ルールを使用するインライン侵入ポリシー内でルール状態が [Generate Events] に設定されていることを確認してください。ルールを [Drop and Generate events] に設定した場合はパケットが破棄され、コンテンツが置き換えられません。

文字列置換プロセスでは、宛先ホストがエラーなしでパケットを受信できるように、パケット チェックサムがシステムによって自動的に更新されます。

replace キーワードを HTTP 要求メッセージ content キーワード オプションと組み合わせて使用できないことに注意してください。詳細については、「コンテンツ一致の検索」および「HTTP コンテンツ オプション」を参照してください。

インライン展開でコンテンツを置き換えるには：

アクセス：Admin/Intrusion Admin

ステップ 1 [Create Rule] ページで、ドロップダウン リストから [content] を選択して、[Add Option] をクリックします。

content キーワードが表示されます。

ステップ 2 [content] フィールドで、検出するコンテンツを指定します。オプションで、該当する引数を選択します。HTTP 要求メッセージ content キーワード オプションを replace キーワードと一緒に使用できないことに注意してください。

ステップ 3 ドロップダウン リストで [replace] を選択して、[Add Option] をクリックします。

replace キーワードが content キーワードの下に表示されます。

ステップ 4 [replace:] フィールドで、指定したコンテンツに対する置換文字列を指定します。

Byte_Jump と Byte_Test の使用

ライセンス：Protection

byte_jump と byte_test を使用すると、パケット内のどの位置でルール エンジンがデータ マッチング検査を開始すべきか、どのバイトを評価すべきかを計算できます。

また、 byte_jump および byte_test DCE/RPC 引数を使用すると、DCE/RPC プリプロセッサで処理されるトラフィック用にいずれかのキーワードを調整できます。DCE/RPC 引数を使用するときには、他の特定の DCE/RPC キーワードと組み合わせて byte_jump と byte_test を使用することもできます。詳細については、「DCE/RPC トラフィックのデコード」および「DCE/RPC キーワード」を参照してください。

詳細については、次の項を参照してください。

• 「byte_jump」

• 「byte_test」

byte_jump

ライセンス：Protection

byte_jump キーワードは、指定されたバイト セグメントで定義されるバイト数を計算し、指定したオプションに応じて、指定されたバイト セグメントの末尾から順方向に、またはパケット ペイロードの先頭から、パケット内でそのバイト数だけスキップします。パケットの特定のバイト セグメントが、パケット内の可変データに含まれるバイト数を示す場合には、これが役立ちます。

次の表では、 byte_jump キーワードで必要な引数を説明します。

次の表で説明するオプションを使用すると、必須の引数に指定された値をシステムがどのように解釈するかを定義できます。

DCE/RPC、Endian、または Number Type のうち 1 つだけを指定できます。

byte_jump キーワードでどのようにバイト数を計算するかを定義するにはは、次の表に示す引数から選択できます（どの引数も指定されない場合は、ネットワーク バイト順が使用されます）。

次の表に示すいずれか 1 つの引数を使用して、パケット内のストリング データをシステムがどのように認識するかを定義します。

たとえば、次のような値を byte_jump に設定した場合、

• Bytes = 4

• Offset = 12

• Relative enabled

• Align enabled

ルール エンジンは、最後に見つかったコンテンツ一致から 13 バイト後に出現する 4 つのバイトで記述される数値を計算して、そのバイト数だけパケット内を順方向にスキップします。たとえば、ある特定のパケット内で計算される 4 つのバイトが 00 00 00 1F である場合、ルール エンジンはこれを 31 に変換します。 align が指定されている（次の 32 ビット境界まで移動するようエンジンに指示する）ため、ルール エンジンはパケット内を 32 バイト先までスキップします。

あるいは、次のような値を byte_jump に設定した場合、

• Bytes = 4

• Offset = 12

• From Beginning enabled

• Multiplier = 2

ルール エンジンは、パケットの先頭から 13 バイト後に出現する 4 つのバイトで記述される数値を計算します。その後、その数値に 2 を掛けてスキップする総バイト数を計算します。たとえば、ある特定のパケット内で計算される 4 つのバイトが 00 00 00 1F である場合、ルール エンジンはこれを 31 に変換し、それに 2 を掛けて 62 にします。From Beginning が有効になっているため、ルール エンジンはパケット内の最初の 63 バイトをスキップします。

byte_jump を使用する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 ドロップダウン リストで [byte_jump] を選択して、[Add Option] をクリックします。

[byte_jump] セクションが、選択された最後のキーワードの下に表示されます。

byte_test

ライセンス：Protection

byte_test キーワードは、指定されたバイト セグメント内のバイト数を計算し、指定した演算子と値に基づいてそれらを比較します。

次の表に、 byte_test キーワードで必要な引数を説明します。

次の表に示す引数を使用すると、システムで byte_test 引数がどのように使用されるかをさらに定義できます。

DCE/RPC、Endian、または Number Type のうち 1 つだけを指定できます。

検査対象となるバイトを byte_test キーワードでどのように計算するか定義するには、次の表の中から引数を選択します。どの引数も指定しない場合は、ネットワーク バイト順が使用されます。

次の表に示すいずれか 1 つの引数を使用して、パケット内のストリング データをシステムがどのように認識するかを定義できます。

たとえば、次のような値を byte_test に指定した場合、

• Bytes = 4

• Operator and Value > 128

• Offset = 8

• Relative enabled

ルール エンジンは、最後に見つかったコンテンツ一致から（それを基準にして） 9 バイト後に出現する 4 つのバイトで記述される数値を計算し、その計算値が 128 バイトを超えた場合に、ルールがトリガーとして使用されます。

byte_test を使用する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Create Rule] ページで、ドロップダウン リストから [byte_test] を選択して、[Add Option] をクリックします。

[byte_test] セクションが、選択された最後のキーワードの下に表示されます。

PCRE を使用したコンテンツの検索

ライセンス：Protection

pcre キーワードを使用すると、指定されたコンテンツをパケット ペイロード内で検査するために Perl 互換正規表現（PCRE）を使用できます。PCRE を使用すると、同じ内容のわずかなバリエーションにそれぞれ一致する複数のルールを作成する手間が省けます。

正規表現は、さまざまな方法で表現されることのあるコンテンツを検索する場合に役立ちます。パケットのペイロード内でコンテンツを検索するときには、コンテンツがさまざまな属性を持つ可能性があることを考慮すべき場合があります。

侵入ルールで使われる正規表現構文は完全な正規表現ライブラリのサブセットであり、完全なライブラリ内のコマンドで使用される構文とはいくつかの点で異なることに注意してください。ルール エディタを使用して pcre キーワードを追加するときには、次の形式で完全な値を入力します。

ここで、

• ! はオプションの否定です（正規表現に 一致しない パターンを照合する場合にこれを使用します）。

• / pcre / は Perl 互換正規表現です。

• ismxAEGRBUIPHDMCKSY は修飾子オプションの任意の組み合わせです。

また、次の表に示す文字をエスケープする必要があることに注意してください。これにより、パケット ペイロード内で特定のコンテンツを検索するために PCRE でこれらの文字を使用した場合、ルール エンジンがそれを正しく解釈するようになります。

ヒント オプションで、Perl 互換正規表現を引用符で囲むこともできます（例：pcre_expression または "pcre_expression"）。引用符が任意ではなく必須であった旧バージョンに慣れている経験豊富なユーザのために、引用符を使用するオプションが提供されています。保存後のルールをルール エディタで表示すると、引用符が表示されません。

また、 m?regex? を使用することもできます。ここで、 ? は / 以外の区切り文字です。正規表現内でスラッシュと一致させる必要があり、バックスラッシュを使ってそれをエスケープしたくない場合には、これを使用できます。たとえば、 m? regex ?ismxAEGRBUIPHDMCKSY を使用できます。ここで regex は Perl 互換正規表現、 ismxAEGRBUIPHDMCKSY は修飾子オプションの任意の組み合わせです。正規表現の構文の詳細については、「Perl 互換正規表現の基本」を参照してください。

以下の項では、有効な pcre キーワードの値を作成する方法について詳しく説明します。

• 「Perl 互換正規表現の基本」では、Perl 互換正規表現で使われる一般的な構文について説明します。

• 「PCRE 修飾子のオプション」では、正規表現を変更するために使用できるオプションについて説明します。

• 「PCRE キーワード値の例」では、ルールにおける pcre キーワードの使用例を示します。

Perl 互換正規表現の基本

ライセンス：Protection

pcre キーワードでは、標準の Perl 互換正規表現（PCRE）構文を使用できます。以下の項では、この構文について説明します。

ヒント ここでは PCRE で使用可能な基本的な構文について説明しますが、Perl および PCRE 専用のオンライン リファレンスやブックで、さらに詳しい情報を参照することもできます。

メタ文字

ライセンス：Protection

メタ文字は正規表現内で特別な意味を持つリテラル文字です。メタ文字を正規表現内で使用するときには、その前にバックスラッシュを付けて「エスケープする」必要があります。

次の表に、PCRE で使用可能なメタ文字について説明し、それぞれの例を示します。

文字クラス

ライセンス：Protection

文字クラスには、英字、数字、英数字、および空白文字があります。大カッコで囲んで独自の文字クラスを作成できます（「メタ文字」を参照）。また、事前定義のクラスをさまざまな文字タイプのショートカットとして使用することもできます。追加の修飾子なしで文字クラスを使用すると、1 つの文字クラスは 1 桁または 1 文字に一致します。

次の表に、PCRE で使用できる事前定義の文字クラスの説明と例を示します。

PCRE 修飾子のオプション

ライセンス：Protection

pcre キーワードの値の中で正規表現構文を指定した後、修飾オプションを使用できます。これらの修飾子は、Perl、PCRE、および Snort 固有の処理機能を実行します。修飾子は、常に PCRE 値の末尾に、次の形式で出現します。

ここで、 ismxAEGRBUPHMC には、次の表に示す任意の修飾オプションを含めることができます。

ヒント オプションで、正規表現と修飾オプションを引用符で囲むことができます（たとえば "/pcre/ismxAEGRBUIPHDMCKSY"）。引用符が任意ではなく必須であった旧バージョンに慣れている経験豊富なユーザのために、引用符を使用するオプションが提供されています。保存後のルールをルール エディタで表示すると、引用符が表示されません。

次の表に、Perl 処理機能を実行するために使用できるオプションを説明します。

次の表に、正規表現の後ろに使用できる PCRE 修飾子の説明を示します。

次の表に、正規表現の後ろに使用できる Snort 固有の修飾子の説明を示します。

C 、 H 、 U 、 M 、または P 式修飾子を使用するルールを処理できるようにするには、HTTP プリプロセッサを有効にする必要があります。HTTP プリプロセッサが無効になっている状態で、これらの修飾子を使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

.

注 U オプションと R オプションを組み合わせて使用しないでください。パフォーマンスの問題が発生する可能性があります。また、他の HTTP コンテンツ オプション（I、P、H、M、C、D、K、S、または Y）と組み合わせて U オプションを使用しないでください。

PCRE キーワード値の例

ライセンス：Protection

次に、 pcre で入力できる値の例を示し、それぞれの例で何が一致するかを説明します。

• /feedback[(\d{0,1})]?\.cgi/U

この例では、URI データにのみ配置された、 feedback の後に 0 個または 1 個の数字、さらに .cgi が続くインスタンスをパケット ペイロード内で検索します。

この例は以下のものと一致します。

• feedback.cgi

• feedback1.cgi

• feedback2.cgi

• feedback3.cgi

この例は、以下のものとは 一致しません 。

• feedbacka.cgi

• feedback11.cgi

• feedback21.cgi

• feedbackzb.cgi

• /^ez(\w{3,5})\.cgi/iU

この例では、先頭の ez の後に 3 ～ 5 文字の単語、さらに .cgi が続く文字列をパケット ペイロード内で検索します。この検索では大文字と小文字を区別せず、URI データだけを検索します。

この例は以下のものと一致します。

• EZBoard.cgi

• ezman.cgi

• ezadmin.cgi

• EZAdmin.cgi

この例は、以下のものとは 一致しません 。

• ezez.cgi

• fez.cgi

• abcezboard.cgi

• ezboardman.cgi

• /mail(file|seek)\.cgi/U

この例では、URI データ内の mail の後に file と seek のどちらかが続く インスタンスをパケット ペイロードで検索します。

この例は以下のものと一致します。

• mailfile.cgi

• mailseek.cgi

この例は、以下のものとは 一致しません 。

• MailFile.cgi

• mailfilefile.cgi

• m?http\\x3a\x2f\x2f.*(\n|\t)+?U

この例では、任意の数の文字の後ろにある、HTTP 要求内のタブまたは改行文字を示す URI コンテンツをパケット ペイロード内で検索します。この例では m? regex ? を使用することにより、 式で http\:\/\/ を使用しないようにしています。コロンの前にバックスラッシュがあることに注意してください。

この例は以下のものと一致します。

• http://www.example.com?scriptvar=x&othervar=\n\..\..

• http://www.example.com?scriptvar=\t

この例は、以下のものとは 一致しません 。

• ftp://ftp.example.com?scriptvar=&othervar=\n\..\..

• http://www.example.com?scriptvar=|/bin/sh -i|

• m?http\\x3a\x2f\x2f.*=\|.*\|+?sU

この例では、（改行を含む）任意の数の文字の後に 1 つの等号、さらに任意の数の文字または空白を含むパイプ文字が続くという構成の URL をパケット ペイロード内で検索します。この例では m? regex ? を使用することにより、 式で http\:\/\/ を使用しないようにしています。

この例は以下のものと一致します。

• http://www.example.com?value=|/bin/sh/ -i|

• http://www.example.com?input=|cat /etc/passwd|

この例は、以下のものとは 一致しません 。

• ftp://ftp.example.com?value=|/bin/sh/ -i|

• http://www.example.com?value=x&input?|cat /etc/passwd|

• /[0-9a-f]{2}\:[0-9a-f]{2}\:[0-9a-f]{2}\:[0-9a-f]{2}\:[0-9a-f]{2}\:[0-9a-f]{2}/i

この例では、MAC アドレスをパケット ペイロード内で検索します。コロン文字がバックスラッシュでエスケープされていることに注意してください。

ルールにメタデータを追加する

ライセンス：Protection

metadata キーワードを使用すると、記述情報をルールに追加できます。追加した情報を使用して、ニーズに合う方法でルールを整理/識別したり、ルールを検索したりできます。

システムは次の形式に基づいてメタデータを検証します。

ここで、 key と value は、スペースで区切られた記述の組み合わせです。

これは、シスコ提供のルールにメタデータを追加するためにシスコ脆弱性調査チーム（VRT）で使用されている形式です。

または、次の形式を使用することもできます。

たとえば、 key value 形式で次のようにカテゴリとサブカテゴリを使用して、作成者と日付によってルールを識別できます。

1 つのルール内で複数の metadata キーワードを使用できます。また、以下の例に示すように、単一の metadata キーワード内で複数の key value ステートメントをカンマで区切ることもできます。

使用できる形式は key value と key = value だけに限定されません。ただし、これらの形式に基づく検証に起因する制限事項を知っておく必要があります。

制限されている文字

ライセンス：Protection

次の文字制限に注意してください。

• metadata キーワード内でセミコロン（;）やコロン（:）を使用しないでください。

• カンマを使用する場合には、複数の key value または key = value ステートメントの区切り文字としてカンマが解釈されることに注意してください。たとえば、

• 等号（=）または空白文字を使用する場合には、それらの文字が key と value の間の区切り文字として解釈されることに注意してください。たとえば、

その他のすべての文字が使用可能です。

service メタデータの追加

ライセンス：Protection

ルール エンジンは、トラフィックを分析して処理するために、パケット内のホストに関するアプリケーション プロトコル情報に一致する service メタデータ付きのアクティブ ルールを適用します。これが一致しない場合、システムはルールをトラフィックに適用しません。ホストにアプリケーション プロトコル情報が存在しない場合、またはルールに service メタデータが含まれない場合、システムはルール内のポートに照らしてトラフィック内のポートを検査し、ルールをトラフィックに適用するかどうかを判断します。

次の図は、アプリケーション情報に基づくトラフィックとルールの照合を示しています。

アプリケーション プロトコルの識別によってルールを照合するには、 metadata キーワードと key value ステートメントを定義する必要があります。その際、 key として service 、および value としてアプリケーションを指定します。たとえば、次に示す metadata キーワード内の key value ステートメントは、ルールを HTTP トラフィックに関連付けます。

次の表では、最も一般的なアプリケーション値について説明します。

注 表に含まれないアプリケーションを定義するために支援が必要な場合は、サポート担当にお問い合わせください。

使用できない予約済みメタデータ

ライセンス：Protection

metadata キーワードでは、次の単語を単一の引数として、または key value ステートメント内のキーとして使用しないでください。これらは VRT 用に予約されています。

注 ローカル ルールを適切に機能させるために制限付きメタデータをどうしても追加する必要がある場合は、サポート担当にお問い合わせください。詳細については、「ローカル ルール ファイルのインポート」を参照してください。

メタデータを使用するルールの検索

ライセンス：Protection

metadata キーワードを使用するルールを検索するには、ルールの [Search] ページで metadata キーワードを選択して、オプションで、メタデータの一部分を入力します。たとえば次のように入力できます。

• author と入力すると、 key として author が使用されているすべてのルールが表示されます。

• author snortguru と入力すると、 key として author 、 value として SnortGuru がそれぞれ使用されているすべてのルールが表示されます。

• author s と入力すると、 key として author 、さらに value として SnortGuru 、 SnortUser1 、 SnortUser2 などの語が使用されているすべてのルールが表示されます。

ヒント key と value の両方を検索するときには、ルール内の key value ステートメントで使用されているのと同じ接続演算子（等号 [=] または空白文字）を検索で使用してください。key の後に等号（=）と空白文字のどちらを入力するかに応じて、異なる結果が検索で返されます。

なお、メタデータ追加のために使用する形式とは無関係に、システムはメタデータ検索語を key value または key = value ステートメントの全部または一部として解釈します。たとえば、次に示すメタデータは key value または key = value 形式に従っていませんが、有効なメタデータです。

ただし、この例に含まれる各スペースは key と value の間の区切り文字としてシステムで解釈されます。次に示す並列語や単一語を検索で使用すると、この例のメタデータを含むルールを正しく検出できます。

一方、次の検索を使用した場合、単一の key value ステートメントとしてシステムによって解釈されるため、ルールを検出できません。

詳細については、「ルールの検索」を参照してください。

影響レベル 1 の設定

ライセンス：Protection

次に示す予約済み key value 文を metadata キーワードの中で使用できます。

この key value ステートメントは、インポートしたローカル ルールまたはルール エディタを使って作成したカスタム ルールに関する影響フラグを赤（レベル 1）に設定します。

なお、シスコ脆弱性調査チーム（VRT）が impact_flag red ステートメントをシスコ提供のルールに含めている場合、VRT が次のように判断したことを意味します：ルールをトリガーとして使用するパケットは、送信元または宛先のホストがウイルス、トロイの木馬、その他の有害ソフトウェアによって侵害されている可能性があることを示しています。詳細については、「影響レベルを使用してイベントを評価する」を参照してください。

IP 見出し値の検査

ライセンス：Protection

キーワードを使用すると、パケットの IP 見出しの中で攻撃やセキュリティ ポリシー違反の可能性を識別できます。詳細については、次の項を参照してください。

• 「フラグメント ビットと予約済みビットの検査」

• 「IP 見出し識別値の検索」

• 「指定された IP オプションの識別」

• 「指定された IP プロトコル番号の識別」

• 「パケットのタイプ オブ サービスの検査」

• 「パケットの存続可能時間値の検査」

フラグメント ビットと予約済みビットの検査

ライセンス：Protection

fragbits キーワードは、IP 見出し内のフラグメント ビットと予約ビットを検査します。パケットごとに、予約ビット、More Fragments ビット、および Don't Fragment ビットを任意に組み合わせて検査できます。

fragbits キーワードを使ってルールを微調整するために、次の表に示す演算子をルール内の引数値の後ろに指定できます。

たとえば、（他のビットの有無とは無関係に）少なくとも予約済みビットが設定されたパケットに対してイベントを生成するには、 fragbits 値として R+ を使用します。

IP 見出し識別値の検索

ライセンス：Protection

id キーワードは、キーワード引数で指定される値に照らして IP 見出し フラグメント識別フィールドを検査します。一部のサービス拒否ツールやスキャナは、このフィールドを、容易に検出できる特定の番号に設定します。たとえば、Synscan ポートスキャンを検出する SID 630 では、 id 値が 39426 （スキャナから伝送されるパケットの ID 番号として使われる静的な値）に設定されます。

注 id 引数値は数値でなければなりません。

指定された IP オプションの識別

ライセンス：Protection

IPopts キーワードを使用すると、指定された IP 見出し オプションをパケット内で検索できます。次の表に、使用可能な引数値を示します。

アナリストが最も頻繁に監視するのは、厳密な送信元ルーティングと厳密でない送信元ルーティングです。これらのオプションは送信元 IP アドレスのスプーフィングを示している可能性があるためです。

指定された IP プロトコル番号の識別

ライセンス：Protection

ip_proto キーワードを使用すると、キーワードの値として指定された IP プロトコルを含むパケットを識別できます。IP プロトコルは 0 ～ 255 の数値として指定できます。プロトコル番号の完全なリストについては、http://www.iana.org/assignments/protocol-numbers を参照してください。これらの番号を、 < 、 > 、または ! 演算子と組み合わせることができます。たとえば、ICMP 以外のプロトコルを使用しているトラフィックを検査するには、 ip_proto キーワードの値として !1 を使用します。1 つのルール内で ip_proto キーワードを複数回にわたって使用できます。ただし、ルール エンジンはキーワードの複数インスタンスをブール和関係（AND）と解釈することに注意してください。たとえば、 ip_proto:!3; ip_proto:!6 を含むルールを作成した場合、このルールは GGP プロトコルおよび TCP プロトコルを使用するトラフィックを無視します。

パケットのタイプ オブ サービスの検査

ライセンス：Protection

一部のネットワークでは、ネットワーク上を移動するパケットの優先度を設定するタイプ オブ サービス（ToS）値が使用されます。 tos キーワードを使用すると、キーワードの引数で指定された値に照らしてパケットの IP 見出し ToS 値を検査できます。 tos キーワードを使用するルールは、ToS が指定の値に設定され、しかもルール内の残りの基準を満たすパケットに対してトリガーとして使用されます。

注 tos の引数値は数値でなければなりません。

ToS フィールドは IP 見出し プロトコルでは非推奨になり、Differentiated Services Code Point（DSCP）フィールドに置き換えられています。

パケットの存続可能時間値の検査

ライセンス：Protection

パケットの存続可能時間（time-to-live、ttl）値は、パケットが破棄される前に生成できるホップ数を示します。 ttl キーワードを使用すると、キーワードの引数として指定された値または値の範囲に照らしてパケットの IP 見出し ttl 値を検査できます。 ttl キーワード パラメータを 0 や 1 などの低い値に設定すると役立つことがあります。これは、低い存続可能時間値がトレースルートや侵入回避の試みを示している場合があるためです （なお、このキーワードの適切な値は管理対象デバイスの配置やネットワーク トポロジによって異なります）。次の構文を使用します。

• TTL 値に特定の 1 つの値を設定するには、0 ～ 255 の整数を使用します。値の前に等号（=）を付けることもできます（たとえば 5 または =5 を指定できます）。

• TTL 値の範囲を指定するには、ハイフン（ - ）を使用します（たとえば、 0-2 は 0 ～ 2 のすべての値、 -5 は 0 ～ 5 のすべての値、 5- は 5 ～ 255 のすべての値をそれぞれ指定します）。

• 特定の値より大きい TTL 値を指定するには、「大なり」記号（>）を使用します（たとえば、 >3 は 3 より大きいすべての値を指定します）。

• 特定の値以上の TTL 値を指定するには、「大なりイコール」記号（>=）を使用します（たとえば、 >=3 は 3 以上のすべての値を指定します）。

• 特定の値より小さい TTL 値を指定するには、「小なり」記号（<）を使用します（たとえば、 <3 は 3 より小さいすべての値を指定します）。

• 特定の値以下の TTL 値を指定するには、「小なりイコール」記号（<=）を使用します（たとえば、 <=3 は 3 以下のすべての値を指定します）。

ICMP 見出し値の検査

ライセンス：Protection

FireSIGHT システムでサポートされるキーワードを使用すると、ICMP パケット 見出し内の攻撃やセキュリティ ポリシー違反を識別できます。なお、ほとんどの ICMP タイプおよびコードを検出する事前定義ルールがあることに注意してください。既存のルールの有効にするか、既存のルールに基づいてローカル ルールを作成することを考慮してください。ICMP ルールを最初から作成するよりも、ニーズを満たすルールを見つける方が時間の節約になる可能性があります。

ICMP 固有のキーワードの詳細については、以下の項を参照してください。

• 「静的な ICMP ID 値とシーケンス値の識別」

• 「ICMP メッセージ タイプの検査」

• 「ICMP メッセージ コードの検査」

静的な ICMP ID 値とシーケンス値の識別

ライセンス：Protection

ICMP の識別番号とシーケンス番号は、ICMP 応答と ICMP 要求を関連付けるうえで役立ちます。通常のトラフィックでは、これらの値はパケットに動的に割り当てられます。一部のコバート チャネルおよび Distributed Denial of Server（DDoS）プログラムは、静的な ICMP ID およびシーケンス値を使用します。次のキーワードを使用すると、静的な値を含む ICMP パケットを識別できます。

icmp_id

icmp_id キーワードは、ICMP エコー要求または応答パケットの ICMP ID 番号を検査します。ICMP ID 番号に対応する数値を icmp_id キーワードの引数として使用してください。

icmp_seq

icmp_seq キーワードは、ICMP エコー要求または応答パケットの ICMP シーケンスを検査します。ICMP シーケンス番号に対応する数値を icmp_id キーワードの引数として使用してください。

ICMP メッセージ タイプの検査

ライセンス：Protection

itype キーワードを使用して、特定の ICMP メッセージ タイプ値を含むパケットを検索します。有効な ICMP タイプ値または無効な ICMP タイプ値を指定して、さまざまなタイプのトラフィックを検査できます（ICMP タイプ番号の完全なリストについては http://www.iana.org/assignments/icmp-parameters または http://www.faqs.org/rfcs/rfc792.html を参照してください）。たとえば、サービス拒否攻撃やフラッディング攻撃を発生させるために攻撃者が範囲外の ICMP タイプ値を設定することがあります。

「小なり」（<）と「大なり」（>）を使用して itype 引数値の範囲を指定できます。

たとえば、

• <35

• >36

• 3<>55

ヒント ICMP タイプ番号の完全なリストについては、http://www.iana.org/assignments/icmp-parameters または http://www.faqs.org/rfcs/rfc792.html を参照してください。

ICMP メッセージ コードの検査

ライセンス：Protection

ICMP メッセージには、宛先が到達不能である場合の詳細を示すコード値が含まれることがあります （ICMP メッセージ コードの完全なリストと、それぞれに関連するメッセージ タイプについては、http://www.iana.org/assignments/icmp-parameters の第 2 項を参照してください）。

icode キーワードを使用すると、特定の ICMP コード値を含むパケットを識別できます。有効な ICMP コード値と無効な ICMP コード値のいずれかを指定することにより、さまざまなタイプのトラフィックを検査できます。

「小なり」（<）と「大なり」（>）を使用して icode 引数値の範囲を指定できます。

たとえば、

• 35 より小さい値を検索するには <35 と指定します。

• 36 より大きい値を検索するには >36 と指定します。

• 3 ～ 55 の間にある値を検索するには、 3<>55 と指定します。

ヒント icode キーワードと itype キーワードを一緒に使用すると、両方に一致するトラフィックを識別できます。たとえば、ICMP 宛先到達不能コード タイプと ICMP ポート到達不能コード タイプを含む ICMP トラフィックを特定するには、値 3 の itype キーワード（宛先到達不能）と、値 3 の icode キーワード（ポート到達不能）を指定します。

TCP 見出し値とストリーム サイズの検査

ライセンス：Protection

FireSIGHT システムでは、パケットの TCP 見出しと TCP ストリーム サイズを使って試行される攻撃を識別するためのキーワードを使用できます。TCP 固有のキーワードの詳細については、以下の項を参照してください。

• 「TCP 確認応答値の検査」

• 「TCP フラグ組み合わせの検査」

• 「TCP または UDP クライアントまたはサーバ フローへのルールの適用」

• 「静的な TCP シーケンス番号の識別」

• 「特定のサイズの TCP ウィンドウの識別」

• 「特定のサイズの TCP ストリームの識別」

TCP 確認応答値の検査

ライセンス：Protection

ack キーワードを使用すると、パケットの TCP 確認応答番号と特定の値を比較できます。パケットの TCP 確認応答番号が、 ack キーワードに指定された値と一致した場合に、ルールがトリガーとして使用されます。

ack の引数値は数値でなければなりません。

TCP フラグ組み合わせの検査

ライセンス：Protection

flags キーワードを使用すると、複数の TCP フラグを任意に組み合わせて指定できます。検査対象のパケットでこれらが設定されている場合、ルールがトリガーとして使用されます。

注 従来、flags の値として A+ を使用していたケースでは、代わりに flow キーワードおよび値 established を使用してください。一般に、フラグのすべての組み合わせが検出されるようにするには、フラグの使用時に flow キーワードおよび値 stateless を使用する必要があります。flow キーワードの詳細については、「TCP または UDP クライアントまたはサーバ フローへのルールの適用」を参照してください。

次の表に示す flags キーワードの値を確認または無視することができます。

ヒント 明示的輻輳通知（ECN）の詳細については、http://www.faqs.org/rfcs/rfc3168.html の情報を参照してください。

flags キーワードを使用する場合、複数のフラグに対する照合方法をシステムに指示するための演算子を使用できます。次の表に、これらの演算子の説明を示します。

TCP または UDP クライアントまたはサーバ フローへのルールの適用

ライセンス：Protection

flow キーワードを使用すると、セッション特性に基づいてルールで検査されるパケットを選択できます。 flow キーワードを使用することで、ルールの適用対象となるトラフィック フロー方向を指定して、クライアント フローとサーバ フローのどちらかにルールを適用できます。 flow キーワードによるパケット検査の方法を指定するには、分析すべきトラフィックの方向、検査するパケットの状態、およびパケットが再構築ストリームの一部かどうかを設定できます。

ルールの処理時に、パケットのステートフル インスペクションが実行されます。ステートレス トラフィック（セッション コンテキストが確立されていないトラフィック）を TCP ルールで無視するには、 flow キーワードをルールに追加して、そのキーワードで Established 引数を選択する必要があります。UDP ルールでステートレス トラフィックを無視するには、 flow キーワードをルールに追加して、Established 引数と方向引数のどちらか（または両方）を選択する必要があります。これにより、TCP または UDP ルールでパケットのステートフル インスペクションが実行されます。

方向引数を追加した場合、ルール エンジンは、指定された方向と一致するフローを伴う確立された状態のパケットだけを検査します。たとえば、TCP または UDP 接続が検出されたときトリガーとして使用されるルールに、 flow キーワードおよび established 引数と From Client 引数を 追加した場合、ルール エンジンはクライアントから送信されたパケットだけを検査します。

ヒント パフォーマンスを最大にするには、必ず TCP ルールまたは UDP セッション ルールに flow キーワードを含めてください。

フローを指定するには、[Create Rule] ページの [Detection Options] リストで [flow] キーワードを選択し、[Add Option] をクリックします。次に、フィールドごとに表示されるリストから引数を選択します。

次の表に、 flow キーワードで指定できるストリーム関連引数の説明を示します。

次の表に、 flow キーワードで指定できる方向オプションの説明を示します。

From Server と To Client の機能が同じであること、および To Server と From Client の機能も同じであることに注意してください。これらのオプションは、ルールに文脈と読みやすさを加味するために提供されています。たとえば、サーバからクライアントへの攻撃を検出するよう設計されたルールを作成する場合は、 From Server を使用します。一方、クライアントからサーバへの攻撃を検出するように設計されたルールを作成する場合は、 From Client を使用します。

次の表に、 flow キーワードで指定できるストリーム関連引数の説明を示します。

TCP または UDP ストリーム前処理ルール内で Established 引数と Only Stream traffic 引数を使用するには、必要に応じて TCP または UDP ストリーム前処理を有効にする必要があります。必要なプリプロセッサが無効になっている状態で、これらの引数を含むルールを有効にすると、ポリシー保存時に必要な TCP または UDP プリプロセッサを有効にするかどうか尋ねられます。TCP ストリーム前処理の使用方法については、「TCP ストリームの前処理の使用」および「TCP ストリームの再アセンブリ」を参照してください。UDP ストリーム前処理の使用方法については、「UDP ストリームの前処理の使用」を参照してください。プロセッサを自動的に有効にする方法については、「詳細設定の自動有効化」を参照してください。

たとえば、 flow キーワードの値として To Server, Established, Only Stream Traffic を使用すると、ストリーム プリプロセッサで再構築された、確立済みセッションでクライアントからサーバに移動するトラフィックを検出できます。

静的な TCP シーケンス番号の識別

ライセンス：Protection

seq キーワードを使用すると、静的なシーケンス番号値を指定できます。パケットのシーケンス番号が、指定された引数と一致する場合、そのキーワードを含むルールがトリガーとして使用されます。このキーワードはあまり使用されませんが、静的シーケンス番号付きの生成済みパケットを使用する攻撃やネットワーク スキャンを識別するうえでこれが役立ちます。

特定のサイズの TCP ウィンドウの識別

ライセンス：Protection

window キーワードを使用すると、特定の TCP ウィンドウ サイズを指定できます。このキーワードを含むルールは、指定された TCP ウィンドウ サイズのパケットが検出されるたびにトリガーとして使用されます。このキーワードはあまり使用されませんが、静的 TCP ウィンドウ サイズ付きの生成済みパケットを使用する攻撃やネットワーク スキャンを識別するうえでこれが役立ちます。

特定のサイズの TCP ストリームの識別

ライセンス：Protection

次に示す形式で、 stream_size キーワードとストリーム プリプロセッサを組み合わせて使用すると、TCP ストリームのサイズをバイト単位で特定できます。

ここで、 bytes はバイト数です。

引数内の各オプションをカンマ（,）で区切る必要があることに注意してください。

ルール内で stream_size キーワードを使用するには、TCP ストリーム前処理を有効にする必要があります。詳細については、「TCP ストリームの前処理の使用」を参照してください。TCP ストリーム前処理が無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時に TCP ストリーム前処理を有効にするかどうか尋ねられます。詳細については、「詳細設定の自動有効化」を参照してください。

次の表に、 stream_size キーワードで指定できる大文字/小文字を区別しない方向オプションについて説明します。

次の表に、 stream_size キーワードで使用できる演算子の説明を示します。

たとえば、クライアントからサーバに移動する 5001216 バイト以上の TCP ストリームを検出するには、 stream_size キーワードの引数として client, >=, 5001216 を使用できます。

TCP ストリーム再構築の有効化と無効化

ライセンス：Protection

stream_reassemble キーワードを使用すると、接続での検査対象トラフィックがルールの条件と一致した場合に、1 つの接続の TCP ストリーム再構築を有効/無効にすることができます。オプションで、このキーワードを 1 つのルール内で複数回使用することができます。

ストリーム再構築を有効または無効にするには、次の構文を使用します。

次の表に、 stream_reassemble キーワードで使用できるオプション引数の説明を示します。

たとえば、次のルールは、HTTP 応答で 200 OK ステータス コードが検出される接続に対してイベントを生成せずに、TCP クライアント側ストリーム再構築を無効にします。

stream_reassemble キーワードを使用するルールを処理できるようにするには、TCP ストリーム プリプロセッサを有効にする必要があることに注意してください。TCP ストリーム プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

stream_reassemble を使用する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Create Rule] ページで、ドロップダウン リストから [stream_reassemble] を選択して、[Add Option] をクリックします。

[stream_reassemble] セクションが表示されます。

セッションからの SSL 情報の抽出

ライセンス：Protection

SSL ルール キーワードを使用すると、Secure Sockets Layer（SSL）プリプロセッサを呼び出し、暗号化セッションのパケットから SSL のバージョンとセッション状態に関する情報を抽出できます。

SSL または Transport Layer Security（TLS）を使用する暗号化セッションを確立するためにクライアントとサーバが通信するとき、ハンドシェイク メッセージが交換されます。セッション中に伝送されるデータは暗号化されますが、ハンドシェイク メッセージは暗号化されません。

SSL プリプロセッサは、特定のハンドシェイク フィールドから状態とバージョンの情報を抽出します。ハンドシェイク内の 2 つのフィールドは、セッション暗号化に使われる SSL または TLS のバージョンとハンドシェイクのステージを示します。

詳細については、次の項を参照してください。

• 「ssl_state」

• 「ssl_version」

ssl_state

ライセンス：Protection

ssl_state キーワードを使用すると、暗号化されたセッションの状態情報と照合することができます。同時に使用される複数の SSL バージョンを検査するには、1 つのルール内で複数の ssl_version キーワードを使用します。

ルールで ssl_state キーワードが使用されている場合、ルール エンジンは SSL プリプロセッサを呼び出して、トラフィック内の SSL 状態情報を検査します。

たとえば、チャレンジ長が非常に長く、データが多すぎる ClientHello メッセージを送信することによってサーバ上のバッファ オーバーフローを引き起そうとする攻撃者の試みを検出するには、 ssl_state キーワードと引数 client_hello を使用し、異常に大きなパケットを検査することができます。

SSL 状態に関する複数の引数を指定するには、カンマ区切りのリストを使用します。複数の引数を列挙した場合、システムは OR 演算子を使ってそれらを評価します。たとえば、引数として client_hello および server_hello を指定すると、システムは client_hello または server_hello のどちらかを含むトラフィックに照らしてルールを評価します。

次のように、引数を否定することもできます。

接続が一連の状態のそれぞれに到達したことを確認するには、ssl_state ルール オプションを使用する複数のルールを使う必要があります。

ssl_state キーワードを使用するルールを処理できるようにするには、SSL プリプロセッサを有効にする必要があることに注意してください。SSL プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

ssl_state キーワードは、次の識別子を引数として受け入れます。

ssl_version

ライセンス：Protection

ssl_version キーワードを使用すると、暗号化セッションのバージョン情報を照合できます。ルールで ssl_version キーワードが使用されている場合、ルール エンジンは SSL プリプロセッサを呼び出して、トラフィック内の SSL バージョン情報を検査します。

たとえば、SSL バージョン 2 にバッファ オーバーフロー脆弱性があることがわかっている場合、 ssl_version キーワードで sslv2 引数を使用して、その SSL バージョンを使用するトラフィックを識別できます。

SSL バージョンに関する複数の引数を指定するには、カンマ区切りのリストを使用します。複数の引数を列挙した場合、システムは OR 演算子を使ってそれらを評価します。たとえば、SSLv2 を使用していない暗号化トラフィックを識別するには、 ssl_version:ssl_v3,tls1.0,tls1.1,tls1.2 をルールに追加できます。このルールは、SSL バージョン 3、TLS バージョン 1.0、TLS バージョン 1.1、または TLS バージョン 1.2 を使用するトラフィックを評価します。

ssl_version キーワードを使用するルールを処理できるようにするには、SSL プリプロセッサを有効にする必要があることに注意してください。SSL プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

ssl_version キーワードは、次の SSL/TLS バージョン識別子を引数として受け入れます。

アプリケーション層プロトコル値の検査

ライセンス：Protection

アプリケーション層プロトコル値の正規化と検査はプリプロセッサによってほとんど実行されますが、以下の項で説明するキーワードを使用すると、アプリケーション層値をさらに検査できます。

• 「RPC」

• 「ASN.1」

• 「urilen」

• 「DCE/RPC キーワード」

• 「SIP キーワード」

• 「GTP キーワード」

• 「Modbus キーワード」

• 「DNP3 キーワード」

RPC

ライセンス：Protection

rpc キーワードは、TCP または UDP パケット内の Open Network Computing Remote Procedure Call（RPC ONC）サービスを識別します。これにより、ホスト上の RPC プログラムの識別試行を検出することができます。ネットワークで実行中のいずれかの RPC サービスを exploit できるかどうか判断するために、侵入者は RPC ポートマッパーを使用できます。また、ポートマッパーを使用せずに RPC を実行中の他のポートへのアクセスを試みることもできます。次の表に、 rpc キーワードで使用できる引数を列挙します。

rpc キーワードの引数を指定するには、次の構文を使用します。

ここで、 application は RPC アプリケーション番号、 procedure は RPC プロシージャ番号、 version は RPC バージョン番号です。 rpc キーワードのすべての引数を指定する必要があります。引数のいずれかを指定できない場合は、アスタリスク（ * ）で置き換えてください。

たとえば、任意のプロシージャまたはバージョンの RPC ポートマッパー（100000 という番号で示される RPC アプリケーション）を検索するには、引数として 100000,*,* を使用します。

ASN.1

ライセンス：Protection

asn1 キーワードを使用すると、さまざまな有害エンコードを検索しながら、パケットまたはパケットの一部分をデコードできます。

次の表に、 asn1 キーワードの引数について説明します。

たとえば、Microsoft ASN.1 ライブラリにおける既知の脆弱性ではバッファ オーバーフローが発生し、攻撃者は特別に細工した認証パケットを使ってその状態を exploit できます。システムが asn.1 データをデコードするとき、パケット内の exploit コードは、システム レベル特権付きでホスト上で動作したり、DoS 状態を引き起したりすることができます。次のルールは、 asn1 キーワードを使用して、この脆弱性を exploit する試みを検出します。

上記のルールの場合、任意のポートおよび $EXTERNAL_NET 変数で定義された任意の IP アドレスから発信され、ポート 445 を使用する $HOME_NET 変数で定義された任意の IP アドレスに向かう TCP トラフィックに対して、イベントが生成されます。加えて、サーバへの TCP 接続が確立された時点でのみルールを実行します。その後、ルールは特定の位置にある特定のコンテンツを検査します。最後に、ルールは asn1 キーワードを使用して、ビットストリング エンコードと二重 ASCII エンコードを検出し、最後に見つかったコンテンツ一致の末尾から 55 バイト目以降、長さ 100 バイトを超える asn.1 タイプ長を識別します （ offset カウンタがバイト 0 から始まることに注意してください）。

urilen

ライセンス：Protection

urilen キーワードと HTTP Inspect プリプロセッサを組み合わせて使用すると、特定の長さ、最大長を下回る、最小長を上回る、または指定された範囲内の URI を HTTP トラフィック内で検査できます。

HTTP Inspect プリプロセッサがパケットを正規化して検査した後、ルール エンジンはルールに照らしてそのパケットを評価し、 urilen キーワードで指定された長さ条件に URI が一致するかどうか判断します。このキーワードを使用すると、URI 長の脆弱性を exploit しようとする試みを検出できます。たとえばバッファ オーバーフローを発生させて、攻撃者が DoS 状態を引き起こしたり、システム レベル特権付きでホスト上でコードを実行したりしようと試みる可能性があります。

ルール内で urilen キーワードを使用するときには、次の点に注意してください。

• 必ず flow:established キーワードおよび他の 1 つ以上のキーワードを組み合わせて、 urilen キーワードを使用してください。

• TCP ストリーム前処理を有効にする必要があります。詳細については、「TCP ストリームの前処理の使用」を参照してください。

• urilen キーワードを使用するルールを処理できるようにするには、HTTP プリプロセッサを有効にする必要があります。HTTP プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

• ルール プロトコルは常に TCP です。詳細については、「プロトコルの指定」を参照してください。

• ターゲット ポートは常に HTTP ポートです。詳細については、「侵入ルールでのポートの定義」および「定義済みのデフォルトの変数の最適化」を参照してください。

URI 長を指定するときには、10 進のバイト数、「小なり」（<）、および「大なり」（>）を使用します。

たとえば、

• 5 バイト長の URI を検出するには、 5 を指定します。

• 5 バイト長を下回る URI を検出するには、 < 5 （1 つの空白文字で区切る）を指定します。

• 5 バイト長を上回る URI を検出するには、 > 5 （1 つの空白文字で区切る）を指定します。

• 3 ～ 5 バイト長の URI を検出するには、 3 <> 5 （ <> の前後に空白文字を 1 つずつ含む）を指定します。

たとえば、Novell の eDirectory バージョン 8.8 に付属のサーバ モニタリングおよび診断ユーティリティ iMonitor バージョン 2.4 に脆弱性があることが知られています。長すぎる URI を含むパケットはバッファ オーバーフローを発生させるため、攻撃者はシステム レベル特権付きでホスト上で動作したり、DoS 状態を引き起こしたりできる特別に細工したパケットを使ってその状態を exploit できます。次のルールは、 urilen キーワードを使用して、この脆弱性を悪用する試みを検出します。

上記のルールの場合、任意のポートおよび $EXTERNAL_NET 変数で定義された任意の IP アドレスから発信され、$HTTP_PORTS 変数で定義されたポートを使用して、$HOME_NET 変数で定義された任意の IP アドレスに向かう TCP トラフィックに対して、イベントが生成されます。加えて、サーバへの TCP 接続が確立された時点でのみ、パケットがルールに照らして評価されます。ルールは、 urilen キーワードを使用して、長さ 8192 バイトを超える URI を検出します。最後に、ルールは、大文字/小文字を区別しない特定のコンテンツ /nds/ を URI で検索します。

DCE/RPC キーワード

ライセンス：Protection

次の表に示す 3 つの DCE/RPC キーワードを使用すると、DCE/RPC セッション トラフィックで exploit を監視できます。これらのキーワードを含むルールを処理するとき、システムは DCE/RPC プリプロセッサを呼び出します。詳細については、「DCE/RPC トラフィックのデコード」を参照してください。

これらのキーワードを含むルールの処理を可能にするには、DCE/RPC プリプロセッサを有効にする必要があります。DCE/RPC プリプロセッサが無効になっている状態で、これらのキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

表に示されているように、 dce_opnum の前に必ず dce_iface を配置し、 dce_stub_data の前に必ず dce_iface + dce_opnum を配置する必要があることに注意してください。

また、これらの DCE/RPC キーワードを他のルール キーワードと組み合わせて使用することもできます。DCE/RPC ルールでは、DCE/RPC 引数が選択された状態で byte_jump 、 byte_test 、 byte_extract の各キーワードを使用することに注意してください。詳細については、「Byte_Jump と Byte_Test の使用」および「パケット データをキーワード引数の中に読み込む」を参照してください。

シスコでは、DCE/RPC キーワードを含むルールに 1 つ以上の content キーワードを含めることを推奨しています。こうすると、ルール エンジンが常に高速パターン マッチ機能を使用することで処理速度が上がり、パフォーマンスが向上します。ルールに 1 つ以上の content キーワードが含まれている場合は、 content キーワードの Use Fast Pattern Matcher 引数が有効になっているかどうかに関係なく、ルール エンジンが高速パターン マッチ機能を使用することに注意してください。詳細については、「コンテンツ一致の検索」および「Use Fast Pattern Matcher」を参照してください。

次のケースでは、DCE/RPC バージョンおよび隣接見出し情報を一致コンテンツとして使用できます。

• ルールに他の content キーワードが含まれていない

• ルールにもう 1 つ content キーワードが含まれているが、DCE/RPC バージョンおよび隣接情報が、他方の content よりも特有のパターンを表している

たとえば、DCE/RPC バージョンおよび隣接情報は通常、1 バイトのコンテンツよりも特有です。

次に示すバージョンおよび隣接情報コンテンツ一致のいずれか 1 つを使用して、ルール限定を終了する必要があります。

• コネクション型 DCE/RPC ルールでは、コンテンツ |05 00 00| （メジャー バージョン 05、マイナー バージョン 00、および要求 PDU（プロトコル データ ユニット）タイプ 00 ）を使用します。

• コネクションレス型 DCE/RPC ルールでは、コンテンツ |04 00| （バージョン 04、要求 PDU タイプ 00）を使用します。

いずれの場合も、DCE/RPC プリプロセッサで完了済みの処理を繰り返すことなく高速パターン マッチ機能を呼び出すために、ルール内の最後のキーワードとしてバージョンおよび隣接情報の content キーワードを配置してください。ルールの末尾に配置される content キーワードは、高速パターン マッチ機能を呼び出す手段として使われるバージョン コンテンツに当てはまりますが、ルール内の他のコンテンツ一致には必ずしも当てはまらないことに注意してください。

詳細については、次の項を参照してください。

• 「dce_iface」

• 「dce_opnum」

• 「dce_stub_data」

dce_iface

ライセンス：Protection

dce_iface キーワードを使用すると、特定の DCE/RPC サービスを識別できます。

オプションで、 dce_iface キーワードを dce_opnum キーワードおよび dce_stub_data キーワードと組み合わせて使用すると、検査する DCE/RPC トラフィックをさらに限定することができます。詳細については、「dce_opnum」および「dce_stub_data」を参照してください。

dce_iface キーワードを使用するルールを処理できるようにするには、DCE/RPC プリプロセッサを有効にする必要があることに注意してください。DCE/RPC プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

固定型 16 バイト Universally Unique Identifier（UUID）は、それぞれの DCE/RPC サービスに割り当てられるアプリケーション インターフェイスを識別します。たとえば、UUID 4b324fc8-670-01d3-1278-5a47bf6ee188 は、srvsvc サービスとしても知られる DCE/RPC lanmanserver サービスを識別します。このサービスは、ピアツーピア プリンタ、ファイル、および SMB 名前付きパイプを共有するためのさまざまな管理機能を提供します。DCE/RPC プリプロセッサは UUID および関連する見出し値を使用して DCE/RPC セッションを追跡します。

インターフェイス UUID は、次のように、ハイフンで区切られた 5 つの 16 進文字列で構成されます。

次に示す netlogon インターフェイスの UUID のように、ハイフンを含む UUID 全体を入力することで、インターフェイスを指定します。

UUID 内の最初の 3 つの文字列はビッグ エンディアン バイト順で指定される必要があることに注意してください。通常、公開されたインターフェイス リストやプロトコル アナライザには UUID が正しいバイト順で表示されますが、それを入力する前に UUID バイト順を変更しなければならない場合もあります。次に示すメッセンジャー サービス UUID の場合、リトル エンディアン バイト順の最初の 3 つの文字列を含む未加工 ASCII テキストで表示されることがあります。

この同じ UUID を dce_iface キーワードに指定するには、次のようにハイフンを挿入し、最初の 3 つの文字列をビッグ エンディアン バイト順で配置できます。

1 つの DCE/RPC セッションに複数のインターフェイスへの要求を含めることができますが、1 つのルールには 1 つの dce_iface キーワードだけを含めてください。追加のインターフェイスを検出するには、追加のルールを作成します。

DCE/RPC アプリケーション インターフェイスにはインターフェイス バージョン番号も割り当てられます。オプションで、インターフェイス バージョンを指定できます。その際、バージョンが指定値に等しい、等しくない、指定値より小さい、または大きいことを示す演算子を使用します。

TCP セグメンテーションや IP フラグメンテーションに加えて、コネクション型とコネクションレス型の両方の DCE/RPC をフラグメント化することができます。通常、先頭以外の DCE/RPC フラグメントを指定のインターフェイスに関連付けるのはあまり効率的ではありません。このようにすると、多数の誤検出が発生する可能性があります。ただし、柔軟性を維持するために、オプションで、指定されたインターフェイスに照らしてすべてのフラグメントを評価できます。

次の表に、 dce_iface キーワードの引数を要約します。

dce_opnum

ライセンス：Protection

dce_opnum キーワードを DCE/RPC プリプロセッサと組み合わせて使用すると、DCE/RPC サービスが提供する 1 つ以上の特定のオペレーションを識別するパケットを検出できます。

dce_opnum キーワードを使用するルールを処理できるようにするには、DCE/RPC プリプロセッサを有効にする必要があることに注意してください。DCE/RPC プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

クライアント関数呼び出しは、DCE/RPC 仕様で「 オペレーション 」と呼ばれる特定のサービス関数を要求します。オペレーション番号（opnum）は DCE/RPC 見出し内の特定のオペレーションを識別します。exploit は特定のオペレーションを標的にすることがあります。

たとえば UUID 12345678-1234-abcd-ef00-01234567cffb は、数十種類のオペレーションを提供する netlogon サービスのインターフェイスを識別します。その 1 つがオペレーション 6（NetrServerPasswordSet オペレーション）です。

オペレーション用のサービスを識別するには、 dce_opnum キーワードの前に dce_iface キーワードを指定する必要があります。詳細については、「dce_iface」を参照してください。

特定のオペレーションを示す 1 つの 10 進数値（0 ～ 65535 の範囲）、ハイフンで区切られたオペレーション範囲、またはカンマ区切りのオペレーション/範囲リストを任意の順序で指定できます。

次の例は、すべて有効な netlogon オペレーション番号を表しています。

dce_stub_data

ライセンス：Protection

dce_stub_data キーワードを DCE/RPC プリプロセッサと組み合わせて使用すると、他のルール オプションとは無関係に、スタブ データの先頭からインスペクションを開始するようルール エンジンに指示できます。 dce_stub_data キーワードの後に続くパケット ペイロード ルール オプションは、スタブ データ バッファを基準にして適用されます。

dce_stub_data キーワードを使用するルールを処理できるようにするには、DCE/RPC プリプロセッサを有効にする必要があることに注意してください。DCE/RPC プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

DCE/RPC スタブ データは、クライアント プロシージャ コールと DCE/RPC ランタイム システム（DCE/RPC の中核をなすルーチンとサービスを提供するメカニズム）の間のインターフェイスを提供します。DCE/RPC exploit は、DCE/RPC パケットのスタブ データ部分で識別されます。スタブ データは特定のオペレーションまたは関数呼び出しに関連付けられているため、必ず dce_stub_data の前に dce_iface と dce_opnum を指定して、関連するサービスとオペレーションを識別してください。

dce_stub_data キーワードには引数がありません。詳細については、「dce_iface」および「dce_opnum」を参照してください。

SIP キーワード

ライセンス：Protection

4 つの SIP キーワードを使用すると、SIP セッション トラフィックで exploit を監視できます。

SIP プロトコルはサービス拒否（DoS）攻撃に対して脆弱であることに注意してください。このような攻撃に対処するルールでは、Rate-Based 攻撃の防止を活用できます。詳細については、「動的ルール状態の追加」および「レート ベース攻撃の防止」を参照してください。

詳細については、次の項を参照してください。

• 「sip_header」

• 「sip_body」

• 「sip_method」

• 「sip_stat_code」

sip_header

ライセンス：Protection

sip_header キーワードを使用すると、抽出された SIP 要求または応答見出しの先頭から検査を開始し、検査対象を見出し フィールドに限定することができます。

sip_header キーワードには引数がありません。詳細については、「sip_method」および「sip_stat_code」を参照してください。

次のサンプル ルール フラグメントは SIP 見出しを指し示し、CSeq 見出し フィールドに一致します。

sip_header キーワードを使用するルールを処理できるようにするには、SIP プリプロセッサを有効にする必要があることに注意してください。SIP プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

sip_body

ライセンス：Protection

sip_body キーワードを使用すると、抽出された SIP 要求または応答メッセージ本文の先頭から検査を開始し、検査対象をメッセージ本文に限定することができます。

sip_body キーワードには引数がありません。

次のサンプル ルール フラグメントは SIP メッセージ本文を指し示し、抽出された SDP データの c（接続情報）フィールド内の特定の IP アドレスに一致します。

ルールが SDP コンテンツの検索だけに限定されないことに注意してください。SIP プリプロセッサはメッセージ本文全体を抽出し、それをルール エンジンで使用できるようにします。

また、 sip_body キーワードを使用するルールを処理できるようにするには、SIP プリプロセッサを有効にする必要があることに注意してください。SIP プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

sip_method

ライセンス：Protection

各 SIP 要求内の method （メソッド）フィールドは要求の目的を識別します。 sip_method キーワードを使用すると、SIP 要求の中で特定のメソッドを検査することができます。複数のメソッドはカンマで区切ります。

次に示す、現在定義されている任意の SIP メソッドを指定できます。

メソッドでは大文字と小文字が区別されません。複数のメソッドをカンマで区切ることができます。

今後、新しい SIP メソッドが定義される可能性があるため、カスタム メソッド、つまり現在定義されている SIP メソッド以外のメソッドを指定することもできます。可能なフィールド値は RFC 2616 で定義されています。 = 、 ( 、 } などの制御文字と区切り文字を除いて、すべての文字を使用できます。除外されている区切り文字の完全なリストについては、RFC 2616 を参照してください。指定されたカスタム メソッドがトラフィックで検出されると、システムはパケット 見出しを検査しますが、メッセージは検査されません。

現在定義されている 21 個のメソッドと追加の 11 個のメソッドを含む、最大 32 個のメソッドがシステムでサポートされます。未定義のメソッドを設定した場合、システムはそれを無視します。合計 32 個のメソッドには、Methods to Check SIP プリプロセッサ オプションを使って指定されるメソッドが含まれることに注意してください。詳細については、「SIP プリプロセッサ オプションの選択」を参照してください。

否定を使用する場合は、1 つのメソッドだけを指定できます。たとえば、

ただし、1 つのルール内の複数の sip_method キーワードが AND 演算で結合されることに注意してください。たとえば、 invite と cancel を除くすべての抽出されたメソッドを検査するには、次のような 2 つの否定付き sip_method キーワードを使用します。

sip_method キーワードを使用するルールを処理できるようにするには、SIP プリプロセッサを有効にする必要があります。SIP プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

シスコでは、 sip_method キーワードを含むルールに 1 つ以上の content キーワードを含めることを推奨しています。こうすると、ルール エンジンが常に高速パターン マッチ機能を使用することで処理速度が上がり、パフォーマンスが向上します。ルールに 1 つ以上の content キーワードが含まれている場合は、 content キーワードの Use Fast Pattern Matcher 引数が有効になっているかどうかに関係なく、ルール エンジンが高速パターン マッチ機能を使用することに注意してください。詳細については、「コンテンツ一致の検索」および「Use Fast Pattern Matcher」を参照してください。

sip_stat_code

ライセンス：Protection

各 SIP 応答内の 3 桁のステータス コードは、要求されたアクションの結果を示します。 sip_stat_code キーワードを使用すると、SIP 応答の中で特定のステータス コードを検査することができます。

1 桁の応答タイプ番号 1 ～ 9、特定の 3 桁の番号 100 ～ 999、またはこれらを任意に組み合わせたカンマ区切りリストを指定できます。リスト内のいずれか 1 つの番号が SIP 応答内のコードに一致する場合、そのリストが一致します。

次の表に、指定可能な SIP ステータス コード値の説明を示します。

sip_stat_code キーワードを使用するルールを処理できるようにするには、SIP プリプロセッサを有効にする必要があることに注意してください。SIP プリプロセッサが無効になっている状態で、このキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

また、ルールに content キーワードが含まれているかどうかに関係なく、 sip_stat_code キーワードを使って指定された値を検索するためにルール エンジンが高速パターン マッチ機能を使用しないことにも注意してください。

GTP キーワード

ライセンス：Protection

3 つの GSRP トンネリング プロトコル（GTP）キーワードを使用すると、GTP バージョン、メッセージ タイプ、および情報要素をコマンド チャネル内で検査できます。 content や byte_jump などの他の侵入ルール キーワードと組み合わせて GTP キーワードを使用することはできません。 gtp_info または gtp_type キーワードを使用するそれぞれのルールで、 gtp_version キーワードを使用する必要があります。

GTP キーワードを使用するルールを処理できるようにするには、GTP プリプロセッサを有効にする必要があります。GTP プリプロセッサが無効になっている状態で、これらのキーワードを使用するルールを有効にすると、ポリシー保存時にプリプロセッサを有効にするかどうか尋ねられます。「詳細設定の自動有効化」を参照してください。

詳細については、次の項を参照してください。

• 「gtp_version」

• 「gtp_type」

• 「gtp_info」

gtp_version

gtp_version キーワードを使用すると、GTP 制御メッセージの中で GTP バージョン 0、1、または 2 を検査することができます。

定義されているメッセージ タイプと情報要素は GTP バージョンによって異なるため、 gtp_type または gtp_info キーワードを使用するときには、このキーワードを使用する必要があります。値として 0、1、または 2 を指定できます。

GTP バージョンを指定する方法：

アクセス：Admin/Intrusion Admin

ステップ 1 [Create Rule] ページで、ドロップダウン リストから [gtp_version] を選択して、[Add Option] をクリックします。

gtp_version キーワードが表示されます。

ステップ 2 GTP バージョンを特定するために、 0 、 1 、または 2 を指定します。

gtp_type

それぞれの GTP メッセージは、数値と文字列で構成されるメッセージ タイプによって識別されます。 gtp_type キーワードを gtp_version キーワードと組み合わせて使用すると、トラフィック内で特定の GTP メッセージ タイプを検査できます。

次の例に示すように、メッセージ タイプとして定義済みの 10 進数値、定義済み文字列、あるいはどちらか（または両方）を任意に組み合わたカンマ区切りリストを指定できます。

リスト内のそれぞれの値または文字列を照合するとき、システムは OR 演算を使用します。値と文字列を列挙する順序は重要ではありません。リスト内のいずれか 1 つの値または文字列の一致により、キーワードが一致します。認識されない文字列または範囲外の値を含むルールを保存しようとすると、エラーが発生します。

表に示されているように、GTP バージョンに応じて、同じメッセージ タイプの値が異なる場合があることに注意してください。たとえば sgsn_context_request メッセージ タイプの値は GTPv0 と GTPv1 では 50 ですが、GTPv2 では 130 です。

パケット内のバージョン番号に応じて、 gtp_type キーワードは異なる値と一致します。上記の例の場合、GTPv0 または GTPv1 パケットではキーワードがメッセージ タイプ値 50 と一致しますが、GTPv2 パケットでは値 130 と一致します。パケット内のメッセージ タイプ値が、パケットで指定されたバージョンの既知の値でない場合は、キーワードがパケットと一致しません。

メッセージ タイプに整数を指定した場合、パケット内で指定されたバージョンとは無関係に、キーワード内のメッセージ タイプが GTP パケット内の値と一致すればキーワードが一致します。

次の表に、GTP メッセージ タイプごとにシステムで認識される定義済みの値と文字列を示します。