Ports

Spécifie les ports que le préprocesseur inspecte pour le trafic Modbus. Séparez les valeurs de ports multiples par des virgules.

Vous devez activer les règles de préprocesseur Modbus dans le tableau suivant si vous souhaitez que ces règles générer des événements et, dans un déploiement en ligne, supprimer les paquets incriminés.

Ports

Active l’inspection du trafic DNP3 sur chaque port spécifié. Vous pouvez spécifier un port unique ou une liste de ports séparés par des virgules.

Consigner les CRC incorrects

Valide les sommes de contrôle contenues dans les trames de la couche de liaison DNP3. Les trames avec des sommes de contrôle non valides sont ignorées.

Vous pouvez activer la règle 145:1 à générer des événements et, dans un déploiement en ligne, supprimer les paquets incriminés lorsque des sommes de contrôle non valides sont détectées.

Vous devez activer les règles de préprocesseur DNP3 dans le tableau suivant si vous souhaitez que ces règles générer des événements et, dans un déploiement en ligne, supprimer les paquets incriminés.

Ports

Spécifie les ports à inspecter pour le trafic CIP et ENIP. Vous pouvez spécifier un nombre entier entre 0 et 65 535. Séparez les valeurs de ports multiples par des virgules

Remarque

Vous devez ajouter le port de détection CIP par défaut 44818 et tout autre port que vous répertoriez à la liste de flux TCP Effectuer le réassemblage des flux sur les deux ports. Consultez Options de prétraitement du flux TCP et Création d’une politique d’analyse de réseau personnalisée.

Délai d‘expiration par défaut de la déconnexion (secondes)

Lorsqu’un message de demande CIP ne contient pas de valeur d’expiration spécifique au protocole et que le Nombre maximal de demandes non connectées simultanées par connexion TCP est atteint, le système rythme le message pour le nombre de secondes spécifié par cette option. À l'expiration de la temporisation, le message est supprimé pour libérer de l'espace pour les demandes futures. Vous pouvez spécifier un entier entre 0 et 360. Lorsque vous spécifiez 0, tout le trafic qui n’a pas de délai d’expiration spécifique au protocole expire en premier.

Nombre maximal de demandes simultanées non connectées par connexion TCP

Le nombre de demandes simultanées qui peuvent rester sans réponse avant que le système ne ferme la connexion. Vous pouvez spécifier un entier entre 1 et 10 000.

Nombre maximal de connexions CIP par connexion TCP

Le nombre maximal de connexions CIP simultanées autorisées par le système, par connexion TCP. Vous pouvez spécifier un entier entre 1 et 10 000.

Si vous souhaitez que les règles de préprocesseur CIP répertoriées dans le tableau suivant génèrent des événements, vous devez les activer. Consultez Définition des états des règles d’intrusion pour en savoir plus sur l’activation des règles.

Tenez compte des éléments suivants lors de la configuration du préprocesseur CIP :

• Vous devez ajouter le port de détection CIP par défaut 44818 et tous les autres ports CIP que vous indiquez à la liste Exécuter le réassemblage du flux TCP sur les deux ports. Consultez les sections Options du préprocesseur CIP, Création d’une politique d’analyse de réseau personnalisée et Options de prétraitement du flux TCP.

• Les visionneuses d’événements offrent un traitement spécial aux applications CIP. Consultez Événements CIP.

• Nous vous recommandons d’utiliser une action de prévention des intrusions comme action par défaut de votre politique de contrôle d’accès.

• Le préprocesseur CIP ne prend pas en charge une action de politique de contrôle d’accès par défaut Access Control: Trust All Traffic(contrôle d'accès : confiance dans tout le trafic), ce qui peut entraîner un comportement indésirable, notamment ne pas abandonner le trafic déclenché par les applications CIP spécifiées dans les règles de prévention des intrusions et les règles de contrôle d’accès.

• Le préprocesseur CIP ne prend pas en charge une action de contrôle d’accès par défaut Access Control: Block All Traffic(contrôle d’accès : blocage de tout le trafic ), ce qui peut entraîner un comportement indésirable, notamment le blocage d’applications CIP qui ne devraient pas être bloquées.

• Le préprocesseur CIP ne prend pas en charge la visibilité des applications pour les applications CIP, y compris la découverte de réseau.

• Pour détecter les applications CIP et ENIP et les utiliser dans les règles de contrôle d’accès, les règles de prévention des intrusions, etc., vous devez activer manuellement le préprocesseur CIP dans la politique d’analyse de réseau personnalisée correspondante. Consultez Création d’une politique d’analyse de réseau personnalisée, Définir la politique d’analyse de réseau par défaut et Configuration des règles d'analyse du réseau.

• Pour abandonner le trafic qui déclenche les règles de préprocesseur CIP et les règles de prévention des intrusions CIP, assurez-vous que Drop when inline (Abandonner quand en ligne) est activée dans la politique de prévention des intrusions correspondante. Reportez-vous à la section Définition du comportement d’abandon dans un déploiement en ligne.

• Pour bloquer le trafic des applications CIP ou ENIP à l’aide des règles de contrôle d’accès, vérifiez que le préprocesseur de normalisation en ligne et son option de mode en ligne sont activés (le paramètre par défaut) dans la politique d’analyse de réseau correspondante. Consultez Création d’une politique d’analyse de réseau personnalisée, Définir la politique d’analyse de réseau par défaut et Modification du trafic de préprocesseur dans les déploiements en ligne.