Vous pouvez modifier votre filtre pour modifier les mots-clés spéciaux et leurs arguments qui sont fournis lorsque vous cliquez
sur un filtre dans le panneau des filtres. Les filtres personnalisés de la page de règles fonctionnent comme ceux utilisés
dans l’éditeur de règles, mais vous pouvez également utiliser n’importe quel mot-clé fourni dans le filtre de la page de règles,
en utilisant la syntaxe affichée lorsque vous sélectionnez le filtre dans le panneau de filtre. Pour déterminer un mot-clé
pour une utilisation future, cliquez sur l’argument approprié dans le panneau de filtres à droite. Le mot-clé du filtre et
la syntaxe de l'argument s'affichent dans la zone de texte du filtre. Rappelez-vous que plusieurs arguments séparés par des
virgules pour un mot-clé ne sont pris en charge que pour les types de filtres Catégorie et Priorité.
Vous pouvez utiliser des mots-clés et des arguments, des chaînes de caractères et des chaînes de caractères littéraux entre
guillemets, en séparant plusieurs conditions de filtre. Un filtre ne peut pas inclure d’expressions régulières, de caractères
génériques ni d’opérateur spécial tel qu’un caractère de négation (!), un symbole supérieur à (>), inférieur à (|), etc. Lorsque
vous saisissez des termes de recherche sans mot-clé, sans majuscule initiale du mot-clé ou sans guillemets autour de l’argument,
la recherche est traitée comme une recherche de chaîne et les champs catégorie, message et SID sont recherchés pour les termes
spécifiés.
À l’exception des mots-clés gid et sid, tous les arguments et toutes les chaînes sont traités comme des chaînes partielles. Les arguments pour gid et sid renvoient uniquement des correspondances exactes.
Chaque filtre de règle peut inclure un ou plusieurs mots-clés au format :
keyword:”argument”
où mot-clé est l’un des mots-clés dans les groupes de filtres de la règle de prévention des intrusions et l’argument est mis
entre guillemets et correspond à une chaîne alphanumérique unique, insensible à la casse, à rechercher dans le champ ou les
champs pertinents pour le mot-clé. Notez que les mots-clés doivent être saisis avec leur majuscule initiale.
Les arguments pour tous les mots-clés, à l’exception de gid et sid, sont traités comme des chaînes partielles. Par exemple, l’argument 123 renvoie "12345", "41235", "45123", et ainsi de suite. Les arguments de gid et sid ne renvoient que des correspondances exactes; par exemple, sid:3080 renvoie uniquement lSID 3080.
Chaque filtre de règle peut également inclure une ou plusieurs chaînes de caractères alphanumériques. Les chaînes de caractères
recherchent le champ de message de règle, ID de Snort (SID) et l’ID de générateur (GID). Par exemple, la chaîne 123 renvoie les chaînes "Lotus123", "123Mania"et ainsi de suite dans le message de règle, et renvoie également SID 6123, SID 12375, etc. Vous pouvez rechercher un SID partiel en le filtrage avec une ou plusieurs chaînes de caractères.
Toutes les chaînes de caractères sont insensibles à la casse et sont traitées comme des chaînes partielles. Par exemple, les
chaînes ADMIN, admin ou Admin renvoient "admin", "CFADMIN", "Administrator", etc.
Vous pouvez mettre des chaînes de caractères entre guillemets pour renvoyer les correspondances exactes. Par exemple, la chaîne
littérale "overflow attempt" entre guillemets ne renvoie que cette chaîne exacte, tandis qu’un filtre composé des deux chaînes overflow et attempt sans guillemets renvoie "overflow attempt, "overflow multipacket attempt", "overflow with evasion attempt", et ainsi de suite.
Vous pouvez affiner les résultats du filtre en saisissant n’importe quelle combinaison de mots-clés, de chaînes de caractères
ou des deux, séparés par des espaces. Le résultat inclut toute règle correspondant à toutes les conditions de filtre.
Vous pouvez saisir plusieurs conditions de filtre dans n’importe quel ordre. Par exemple, chacun des filtres suivants renvoie
les mêmes règles :
-
url:at login attempt cve:200
-
login attempt cve:200 url:at
-
login cve:200 attempt url:at
)
)
)
) à côté de la règle dans la colonne Dynamic State (état dynamique). Si vous ajoutez plusieurs filtres d'état de règle dynamique
à une règle, un numéro au-dessus des filtres indique le nombre de filtres.
)
)
Commentaires