Réglage du rendement de la prévention des intrusions

Ce chapitre explique comment affiner les performances de la prévention des intrusions.

Réglage du rendement de la prévention des intrusions

Le réglage des performances de la prévention des intrusions est un mécanisme d’optimisation du système qui

  • améliore les performances lors de l’analyse du trafic à la recherche de tentatives d'intrusions,

  • applique les paramètres sur une base par politique de contrôle d'accès à toutes les politiques de prévention des intrusions invoquées par cette politique de contrôle d'accès parente, et

  • équilibre la sécurité avec la nécessite de maintenir la latence de l’appareil à un niveau acceptable.

Fonctionnalités de réglage de la performance

Cisco fournit plusieurs fonctionnalités pour améliorer les performances de votre système lors de l’analyse du trafic à la recherche de tentatives d'intrusions. Vous pouvez réaliser les actions suivantes :

  • Spécifiez le nombre de paquets à autoriser dans la file d’attente des événements. Vous pouvez également, avant et après le réassemblage des flux, activer ou désactiver l’inspection des paquets qui seront recréés en flux plus importants.

  • Remplacez les limites de correspondance et de récursivité par défaut sur PCRE qui sont utilisées dans les règles de prévention des intrusions pour examiner le contenu de la charge utile des paquets.

  • Choisissez que le moteur de règles journalise plus d’un événement par paquet ou flux de paquets lorsque plusieurs événements sont générés, ce qui vous permet de recueillir des informations au-delà de l’événement signalé.

  • Trouvez un équilibre entre la sécurité et le besoin de maintenir la latence des périphériques à un niveau acceptable grâce à un seuil de latence des paquets et des règles.

  • Configurez les paramètres de base sur la façon dont les périphériques surveillent et communiquent leurs propres performances. Cela vous permet de préciser les intervalles auxquels le système met à jour les statistiques de performance sur vos périphériques.


Remarque

Snort 2 n’est pas pris en charge sur Threat Defense, version 7.7. Pour en savoir plus sur les fonctionnalités de Snort 2 qui sont prises en charge dans les versions antérieures à 7.7, consultez le guide Firewall Management Center correspondant à votre version Firewall Threat Defense.

Licence requise pour le réglage du rendement de la prévention des intrusions

Cette référence fournit les renseignements de licence nécessaires pour mettre en œuvre le réglage de performance de prévention des intrusions sur les appareils Cisco Secure Firewall, pour la protection contre les menaces et les modèles de licence classique.

Licence de défense contre les menaces

IPS

Exigences et conditions préalables pour le réglage du rendement de la prévention des intrusions

Cette référence présente les exigences du système et les configurations préalables nécessaires avant de mettre en œuvre le réglage des performances de prévention des intrusions sur les périphériques Cisco Secure Firewall.

Prise en charge des modèles

N’importe lequel

Domaines pris en charge

N’importe quel

Rôles de l’utilisateur

  • Admin

  • Administrateur d’accès

  • Administrateur de réseau

Limitation de la mise en correspondance de modèles pour les intrusions

Limitez la mise en correspondance de modèles pour les intrusions afin d’optimiser les performances du système en contrôlant le nombre d’états de modèle analysés par paquet et en gérant l’inspection du contenu avant et après le réassemblage des flux.

Les limites de correspondance de modèles aident à équilibrer l’efficacité de la sécurité et les performances du système. Lors du traitement de volumes de trafic élevés, la limitation du nombre d’états de modèle analysés par paquet peut empêcher la dégradation des performances tout en maintenant les capacités essentielles de détection des intrusions.

Before you begin

Suivez ces étapes pour limiter la mise en correspondance de modèles pour les intrusions :

Procédure

Étape 1

Dans l’éditeur de stratégie de contrôle d’accès, cliquez sur Advanced (Avancés) (Policies (Politiques) > Access Control heading (En-tête Contrôle d’accès) > Access Control (Contrôle d’accès), cliquez sur Edit (Modifier) puis sur Advanced Settings (Paramètres avancés)).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Performance Settings (Paramètres de performance).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 3

Cliquez sur Limites de correspondance de modèles dans la fenêtre contextuelle Paramètres de performance.

Étape 4

Saisissez une valeur pour le nombre maximal d’événements à mettre en file d’attente dans le champ Nombre maximal d’états de signatures à analyser par paquet.

Étape 5

Pour désactiver l’inspection des paquets qui seront recréés en flux de données plus volumineux avant et après le réassemblage des flux dans Snort 2, cochez la case Disable Content Checks on Traffic Subject to future Reassembly (Désactiver les vérifications de contenu sur le trafic sujet à un réassemblage futur). L’inspection avant et après le assemblage nécessite une surcharge de traitement plus importante et peut réduire les performances.


Important
Dans Snort 3, les paramètres de la case à cocher Désactiver les vérifications de contenu sur le trafic sujet à un réassemblage futur sont :

  • Cochée : indique la détection de la charge utile TCP avant le réassemblage. Cela comprend l’inspection des paquets avant et après le réassemblage du flux. Ce processus nécessite plus de trafic de traitement et peut réduire les performances.

  • Non cochée  : indique la détection de la charge utile TCP après le réassemblage.

Étape 6

Cliquez sur OK.

Étape 7

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Remplacements des limites de l’expression régulière pour les règles d’intrusion

Les limites de l’expression régulière par défaut assurent un niveau de performance minimal. Le dépassement de ces limites peut accroître la sécurité, mais peut également avoir un impact considérable sur les performances en autorisant l’évaluation des paquets par rapport à des expressions régulières inefficaces.


Mise en garde

N'outrepassez pas les limites PCRE par défaut à moins d'être un rédacteur de règles de prévention des intrusions expérimenté et de connaître les incidences des modèles dégradés.

Tableau 1. Options de contrainte d’expression régulière

Option

Description

Faire correspondre à l'état limite

Spécifie s’il faut remplacer la Match Limit (Limite de correspondance). Vous avez les options suivantes :

  • sélectionnez Default (par défaut) pour utiliser la valeur configurée pour la limite de correspondance.

  • sélectionnez Illimité pour autoriser un nombre illimité de tentatives.

  • sélectionnez Personnalisé pour spécifier une limite de 1 ou plus pour la Limite de correspondance ou spécifiez 0 pour désactiver complètement les évaluations de correspondance PCRE

Faire correspondre à la limite

Spécifie le nombre de tentatives de correspondre à un modèle défini dans une expression régulière PCRE.

Faire correspondre à l'état limite de récursivité

Spécifie s’il faut remplacer la Match Recursion Limit (Limite de récursivité de correspondance). Vous avez les options suivantes :

  • sélectionnez Default (par défaut) pour utiliser la valeur configurée pour la limite de récursivité de correspondance.

  • sélectionnez Illimité pour autoriser un nombre illimité de récursivités.

  • sélectionnez Personnalisé pour spécifier une limite égale ou supérieure à 1 pour la limite de récursivité de correspondance ou spécifiez 0 pour désactiver complètement les récursions PCRE

Notez que pour que la limite de récursivité de correspondance soit significative, elle doit être inférieure à la limite de correspondance.

Faire correspondre à la limite de récursivité

Spécifie le nombre de récursions lors de l’évaluation d’une expression régulière PCRE par rapport à la charge utile du paquet.

Remplacements des limites de l’expression régulière pour les règles de prévention des intrusions

Remplacez les limites d’expression régulière par défaut pour personnaliser les paramètres de performance pour les règles de prévention des intrusions en fonction des exigences de votre réseau.

Les limites d’expression régulière contrôlent le traitement de la mise en correspondance de modèle dans les règles de prévention des intrusions. La modification de ces limites peut aider à optimiser les performances en fonction de votre environnement et de vos modèles de trafic spécifiques.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès , cliquez sur Advanced (Avancé).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Performance Settings (Paramètres de performance).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 3

Cliquez sur Normal Expression Limits (Limites d'expression normale) dans la fenêtre contextuelle Performance Settings (Paramètres de performance).

Étape 4

Vous pouvez modifier n’importe quelle option, comme décrit dans Remplacements des limites de l’expression régulière pour les règles d’intrusion.

Étape 5

Cliquez sur OK.

Étape 6

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Limites de génération d’incidents d’intrusion par paquet

Lorsque le moteur de règles de prévention des intrusions évalue le trafic en fonction des règles, il place les événements générés pour un paquet ou flux de paquets donné dans une file d’attente des événements, puis signale les principaux événements de la file d’attente à l’interface utilisateur. Lors de la configuration des limites de journalisation des incidents d'intrusion, vous pouvez préciser le nombre d’événements qui peuvent être placés dans la file d’attente et combien sont journalisés, et sélectionner les critères pour déterminer l’ordre des événements dans la file d’attente.

Tableau 2. Options de limites de journalisation des incidents d’intrusion

Option

Description

Nombre maximal d’incidents stockés par paquet

Le nombre maximal d’événements qui peuvent être stockés pour un paquet ou flux de paquets donné.

Nombre maximal d’incidents journalisés par paquet

Le nombre d’événements enregistrés pour un paquet ou flux de paquets donné. Le nombre ne peut pas dépasser la valeur Nombre maximal d'événements stockés par paquet.

Prioriser la journalisation des incidents par

Valeur utilisée pour déterminer l’ordre des événements dans la file d’attente des événements. L'événement ordonné le plus élevé est signalé par l'intermédiaire de l'interface utilisateur. Vous avez le choix entre :

  • priority (priorité), qui classe les événements dans la file d’attente en fonction de leur priorité.

  • content_length (longueur du contenu), qui classe les événements en fonction de la correspondance de contenu identifié la plus longue. Lorsque les événements sont classés en fonction de la longueur du contenu, les événements liés aux règles ont toujours la priorité sur les événements liés au décodeur et au préprocesseur.

Limitation des incidents de prévention des intrusions générés par paquet

Cette tâche vous permet de contrôler le nombre d’incidents d'intrusion générés par paquet en configurant les limites de journalisation des événements d’intrusion dans les paramètres de performance de la stratégie de contrôle d’accès.

Utilisez cette tâche lorsque vous devez gérer les performances du système de détection d’intrusion en limitant le nombre d’événements générés pour chaque paquet traité par le pare-feu.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès , cliquez sur Advanced (Avancé).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Performance Settings (Paramètres de performance).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 3

Cliquez sur Intrusion Event Logging Limits (Limites d'enregistrement des incidents d'intrusion) dans la fenêtre contextuelle Performance Settings (Paramètres de rendement).

Étape 4

Vous pouvez modifier n’importe quelle option dans Limites de génération d’incidents d’intrusion par paquet.

Étape 5

Cliquez sur OK.

Étape 6

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Configuration du seuil de latence des paquets et des règles d’intrusion

La configuration du seuil de latence des paquets et des règles d’intrusion est un mécanisme de gestion des performances qui

  • utilise un seuil pour gérer les performances de traitement des paquets et des règles dans les stratégies de contrôle d’accès,

  • mesure le temps écoulé pour les opérations de traitement des paquets et des règles, et

  • met en œuvre des actions de protection lorsque les seuils de temps configurables sont dépassés.

Mécanismes de traitement

Cette configuration comprend deux mécanismes de traitement distincts :

  • Packet latency thresholding (Seuil de latence des paquets) : mesure le temps total écoulé pour traiter un paquet par les décodeurs, préprocesseurs et règles applicables, et interrompt l’inspection du paquet si le temps de traitement dépasse un seuil configurable.

  • Rule latency thresholding (Seuil de latence des règles) : mesure le temps écoulé nécessaire à chaque règle pour traiter un paquet individuel, suspend la règle en question ainsi qu’un groupe de règles connexes pendant un temps donné si le temps de traitement dépasse le seuil de latence de la règle un nombre de fois consécutives configurables, et restaure les règles à l’expiration de la suspension.


Remarque

Snort 2 n’est pas pris en charge sur Threat Defense, version 7.7. Pour en savoir plus sur les fonctionnalités de Snort 2 qui sont prises en charge dans les versions antérieures à 7.7, consultez le guide Firewall Management Center correspondant à votre version Firewall Threat Defense.

Paramètres de performance en fonction de la latence

Les paramètres de performance basés sur la latence sont un mécanisme de configuration système qui

  • prend les paramètres de performance de la dernière mise à jour des règles de prévention des intrusions déployées sur le système,

  • applique les paramètres en fonction du niveau de sécurité de la politique d’analyse de réseau (Politique d'analyse de réseau (NAP)) associée à la politique de contrôle d’accès, et

  • évalue la politique d’analyse de réseau la plus sécurisée parmi les règles personnalisées lorsque plusieurs politiques sont configurées.

Logique d’évaluation des politiques

Les paramètres de latence qui sont réellement appliqués dépendent du niveau de sécurité de la politique d’analyse de réseau (NAP) associée à la politique de contrôle d’accès. En général, il s’agit de la politique Politique d'analyse de réseau (NAP) par défaut. Toutefois, si des règles d’analyse de réseau personnalisées sont configurées et si l’une d’entre elles spécifie une politique d'analyse de réseau (NAP) plus sécurisée que la politique d'analyse de réseau (NAP) par défaut, les paramètres de latence sont basés sur la politique d'analyse de réseau (NAP) la plus sécurisée parmi les règles personnalisées. Si la politique d'analyse de réseau (NAP) par défaut ou des règles personnalisées font appel à une politique d'analyse de réseau (NAP) personnalisée, le niveau de sécurité utilisé dans l’évaluation est celui de la politique de base fournie par le système sur lequel chaque politique d'analyse de réseau (NAP) personnalisée est basée.

Cette logique d’évaluation de politique s’applique, que les configurations de seuil et d’analyse de réseau effectives soient héritées ou configurées directement dans la politique.

Seuil de latence des paquets

Le seuil de latence des paquets est une implémentation logicielle de la latence qui

  • mesure le temps écoulé, pas seulement le temps de traitement, afin de refléter plus précisément le temps réel nécessaire à la règle pour traiter un paquet,

  • n’impose pas de synchronisation stricte, et

  • peut améliorer les performances du système en interrompant l’inspection des paquets qui nécessitent un temps de traitement excessif.

Fonctionnement du seuil de latence des paquets

Une minuterie démarre pour chaque paquet au début du traitement du décodeur. La synchronisation se poursuit jusqu’à la fin du traitement du paquet ou jusqu’à ce que la durée de traitement dépasse le seuil à un point de test de synchronisation.

Le compromis pour les avantages en matière de performance et de latence dérivés du seuil de latence est que les paquets non inspectés pourraient contenir des attaques.

Diagramme de latence des paquets

La synchronisation de la latence des paquets est testée à ces points de test :

  • après l’achèvement de tous les traitements du décodeur et du préprocesseur et avant le début du traitement des règles

  • après le traitement par chaque règle

Si le temps de traitement dépasse le seuil à un point de test, l’inspection des paquets s’arrête.


Astuces

Le temps total de traitement des paquets ne comprend pas les heures de réassemblage des flux TCP de routine ou des fragments IP.

Le seuil de latence des paquets n’a aucun effet sur les événements déclenchés par un décodeur, un préprocesseur ou une règle qui traite le paquet. Tout décodeur, préprocesseur ou règle applicable se déclenche normalement jusqu’à ce qu’un paquet soit entièrement traité ou jusqu’à la fin du traitement des paquets parce que le seuil de latence est dépassé, selon la première de ces éventualités. Si une règle de suppression détecte une intrusion dans un déploiement en ligne, elle déclenche un événement et le paquet est abandonné.


Remarque

Aucun paquet n’est évalué par rapport aux règles une fois que le traitement de ce paquet a cessé en raison d’une violation du seuil de latence des paquets. Une règle qui aurait déclenché un événement ne peut pas déclencher cet événement et, pour les règles de suppression, ne peut pas abandonner le paquet.

Le seuil de latence des paquets peut améliorer les performances du système dans les déploiements passifs et en ligne et peut réduire la latence dans les déploiements en ligne, en arrêtant l’inspection des paquets qui nécessitent un temps de traitement excessif. Ces gains de performance peuvent se produire lorsque, par exemple :

  • Pour les déploiements passifs et en ligne, l’inspection successive d’un paquet par plusieurs règles nécessite beaucoup de temps

  • Pour les déploiements en ligne, une période de faible performance du réseau, par exemple lorsqu’un utilisateur télécharge un fichier extrêmement volumineux, ralentit le traitement des paquets

Dans un déploiement passif, l’arrêt du traitement des paquets peut ne pas contribuer à restaurer les performances du réseau, car le traitement passe simplement au paquet suivant.

Remarques sur le seuil de latence des paquets

Par défaut, les paramètres de performance basés sur la latence pour la gestion des paquets sont désactivés. Vous pouvez choisir de l’activer. Cependant, Cisco vous recommande de ne pas modifier la valeur par défaut du paramètre de seuil. Les informations de cette rubrique s’appliquent uniquement si vous choisissez de spécifier des valeurs personnalisées.

Activer le seuil de latence des paquets

Activez le seuil de latence des paquets pour superviser et gérer les retards de traitement des paquets, ce qui permet d’optimiser les performances du réseau et d’identifier les goulots d’étranglement potentiels.

Le seuil de latence des paquets vous permet de définir les paramètres de performance pour le traitement des paquets. Cette fonctionnalité est utile pour superviser les performances du réseau et assurer un flux de paquets optimal dans le système.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès , cliquez sur Advanced (Avancé).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Latency-Based Performance Settings (Paramètres de performance basés sur la latence).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration.

Étape 3

Cliquez sur Packet Management (gestion des paquets) dans la fenêtre contextuelle Latency-Based Performance Settings (paramètres de performance basés sur la latence).

Étape 4

Cochez la case Enabled (activer).

Étape 5

Cliquez sur OK.

Étape 6

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Configuration du seuil de latence des paquets

Cette tâche vous permet de configurer le seuil de latence des paquets pour les paramètres de performance basés sur la latence.

Par défaut, les paramètres de performance basés sur la latence pour la gestion des paquets sont désactivés. Vous pouvez choisir de l’activer. Cependant, Cisco vous recommande de ne pas modifier la valeur par défaut du paramètre de seuil.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès , cliquez sur Advanced (Avancé).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Latency-Based Performance Settings (Paramètres de performance basés sur la latence).

Système (icône engrenage du système) > Monitoring (Supervision) > Statistics (Statistiques)

Étape 3

Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 4

Cliquez sur Packet Management (gestion des paquets) dans la fenêtre contextuelle Latency-Based Performance Settings (paramètres de performance basés sur la latence).

Par défaut, l’option Installed Rule Update (mise à jour des règles installée) est sélectionnée. Il est conseillé d'utiliser cette valeur par défaut.

Les valeurs affichées ne reflètent pas les paramètres automatisés.

Étape 5

Si vous choisissez d'indiquer des valeurs personnalisées :

  • Cochez la case Enabled (activé) et consultez Remarques sur le seuil de latence des paquets pour connaître les paramètres de seuil minimaux recommandés.

  • Vous devez préciser des valeurs personnalisées dans les onglets de gestion des paquets et des règles.

Étape 6

Cliquez sur OK.

Étape 7

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Seuil de latence des règles

Le seuil de latence des règles est une implémentation logicielle de la latence qui

  • mesure le temps écoulé, pas seulement le temps de traitement, afin de refléter plus précisément le temps réel nécessaire à la règle pour traiter un paquet,

  • n’impose pas de synchronisation stricte, et

  • suspend temporairement les règles qui dépassent les seuils de temps de traitement précisés afin d’améliorer les performances du système.

Opérations de seuil de latence des règles

Une minuterie mesure le temps de traitement chaque fois qu'un paquet est traité selon un groupe de règles. Chaque fois que le temps de traitement de la règle dépasse un seuil de latence de règle spécifié, le système incrémente un compteur. Si le nombre de dépassements de seuil consécutifs atteint un nombre déterminé, le système effectue les actions suivantes :

  • suspend les règles pendant la période spécifiée

  • déclenche un événement indiquant que les règles ont été suspendues

  • réactive les règles à l’expiration de la suspension.

  • déclenche un événement indiquant que les règles ont été réactivées

Le système remet le compteur à zéro lorsque le groupe de règles a été suspendu ou lorsque les violations aux règles ne sont pas consécutives. Autoriser certaines violations consécutives avant de suspendre les règles vous permet d’ignorer des violations occasionnelles de règles qui pourraient avoir un impact négligeable sur les performances et de vous concentrer sur l’impact plus important des règles qui dépassent à plusieurs reprises le seuil de latence des règles.

Le compromis pour les avantages en matière de performance et de latence dérivés du seuil de latence est que les paquets non inspectés pourraient contenir des attaques.

Le seuil de latence des règles n’a aucun effet sur les incidents d'intrusion déclenchés par les règles qui traitent le paquet. Une règle déclenche un événement pour toute intrusion détectée dans le paquet, que le temps de traitement de la règle dépasse ou non le seuil. Si la règle qui détecte l’intrusion est une règle de suppression dans un déploiement en ligne, le paquet est abandonné. Lorsqu’une règle de suppression détecte une intrusion dans un paquet qui entraîne la suspension de la règle, la règle de suppression déclenche un incident d'intrusion, le paquet est abandonné et cette règle ainsi que toutes les règles connexes sont suspendues.


Remarque

Les paquets ne sont pas évalués par rapport aux règles suspendues. Une règle suspendue qui aurait déclenché un événement ne peut pas déclencher cet événement et, pour les règles de suppression, ne peut pas abandonner le paquet.

Le seuil de latence des règles peut améliorer les performances du système dans les déploiements passifs et en ligne, et peut réduire la latence dans les déploiements en ligne, en suspendant les règles qui prennent le plus de temps à traiter les paquets. Les paquets ne sont pas évalués à nouveau par rapport aux règles suspendues avant l’expiration d’un délai configurable, ce qui donne au périphérique surchargé le temps de récupérer. Ces gains de performance peuvent se produire lorsque :

  • des règles écrites à la hâte et en grande partie non testées nécessitent un temps de traitement excessif

  • une période de piètre performance du réseau, quand quelqu’un télécharge un fichier extrêmement volumineux, retarde l’inspection des paquets

Exemples de seuil de latence des règles

L’exemple suivant montre cinq temps de traitement de règle consécutifs qui n’entraînent pas la suspension de règle.

Exemple de diagramme

Dans cet exemple, le temps requis pour traiter chacun des trois premiers paquets dépasse le seuil de latence de la règle de 1000 microsecondes, et le compteur de violations augmente à chaque violation. Le traitement du quatrième paquet ne dépasse pas le seuil et le compteur des violations est réinitialisé à zéro. Le sixième paquet viole le seuil et le compteur de violations redémarre à un.

Cet exemple, montre cinq temps de traitement de règle consécutifs qui entraînent une suspension de règle.

Exemple de diagramme

Dans le deuxième exemple, le temps nécessaire pour traiter chacun des cinq paquets enfreint le seuil de latence de la règle de 1 000 microsecondes. Le groupe de règles est suspendu, car le temps de traitement de la règle de 1100 microsecondes pour chaque paquet dépasse le seuil de 1000 microsecondes pour les cinq violations consécutives spécifiées. Les paquets suivants, représentés dans la figure par les paquets 6 à n, ne sont pas examinés en fonction des règles de suspension avant l’expiration de la suspension. Si plus de paquets se produisent après la réactivation des règles, le compteur de violations recommence à zéro.

Remarques sur le seuil de latence des règles

Le seuil de latence des règles suspend les règles pendant la durée spécifiée par l’attribut Suspension Time (Temps de suspension) lorsque la durée nécessaire aux règles pour traiter un paquet dépasse le Threshold (Seuil) le nombre de fois consécutives précisé par Consécutive Threshold Violations Before Suspending Rule (Violations consécutives du seuil avant la suspension de la règle).

Par défaut, les paramètres de rendement basés sur la latence pour le traitement des paquets et des règles sont automatiquement remplis par la dernière mise à niveau des règles d'intrusion déployées, et il est conseillé de ne pas modifier la valeur par défaut.

Les informations de cette rubrique s’appliquent uniquement si vous choisissez de spécifier des valeurs personnalisées.

Vous pouvez activer la règle 134:1 pour générer un événement lorsque des règles sont suspendues et la règle 134:2 pour générer un événement lorsque des règles suspendues sont activées.

Tableau 3. Options de seuil de latence des règles

Option

Description

Seuil

Spécifie la durée en microsecondes que les règles ne doivent pas dépasser lors de l’examen d’un paquet.

Quantité de violations consécutives du seuil avant la suspension de la règle

Spécifie le nombre de fois consécutives où les règles peuvent prendre plus de temps que le temps défini pour le Threshold (Seuil) pour inspecter les paquets avant que les règles ne soient suspendues.

Temps de la suspension

Spécifie la durée en secondes de suspension d’un groupe de règles.

Configurer le seuil de latence des règles

Configurez le seuil de latence des règles pour personnaliser la façon dont le système gère les règles lorsque des conditions de latence sont détectées, ce qui améliore les performances globales et la réactivité du système.

Par défaut, les paramètres de rendement basés sur la latence pour le traitement des paquets et des règles sont automatiquement remplis par la dernière mise à niveau des règles d'intrusion déployées, et il est conseillé de ne pas modifier la valeur par défaut.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès , cliquez sur Advanced (Avancé).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Étape 2

Cliquez sur Modifier (icône Modifier) à côté de Latency-Based Performance Settings (Paramètres de performance basés sur la latence).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 3

Cliquez sur Rule Management (gestion des règles) dans la fenêtre contextuelle Latency-Based Performance Settings (paramètres de performance basés sur la latence).

Par défaut, l’option Installed Rule Update (mise à jour des règles installée) est sélectionnée. Il est conseillé d'utiliser cette valeur par défaut.

Les valeurs affichées ne reflètent pas les paramètres automatisés.

Étape 4

Si vous choisissez d'indiquer des valeurs personnalisées :

Étape 5

Cliquez sur OK.

Étape 6

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Si vous souhaitez générer des événements, activez les règles de latence 134:1 et 134:2.

  • Déployer les changements de configuration.

Configuration de la journalisation des statistiques de rendement en cas d’intrusion

Cette référence fournit des informations sur les options de configuration de la journalisation des statistiques de performance en cas d’intrusion, y compris les paramètres d’heure d’échantillonnage, les exigences minimales de paquets et les options de dépannage pour les données de session de journalisation et de distribution de protocole.

Durée d’échantillonnage (secondes) et nombre minimal de paquets

Lorsque le nombre de secondes spécifié s’écoule entre les mises à jour des statistiques de performance, le système vérifie qu’il a analysé le nombre de paquets spécifié. Si tel est le cas, le système met à jour les statistiques de performance. Sinon, le système attend d’analyser le nombre de paquets spécifié.


Mise en garde

La configuration d’une valeur très faible, comme une seconde, pour le Sample time (Temps d’échantillonnage) peut avoir une incidence considérable sur le périphérique. Le périphérique peut rencontrer des problèmes d’espace disque et son fonctionnement peut être perturbé par le volume de statistiques de rendement enregistrées. Pour éviter ces problèmes, ne définissez pas une valeur très faible.

Options de dépannage : journaliser la session/la distribution du protocole

Le service d’assistance peut vous demander lors d’un appel de dépannage de journaliser la distribution du protocole, la longueur des paquets et les statistiques de port.


Mise en garde

N’activez pas la journalisation de session/de la distribution du protocole, sauf si le service d’assistance vous le demande. Notez que pour les périphériques classiques uniquement, l’activation ou la désactivation de la journalisation de session/de la distribution du protocole redémarre le processus Snort lorsque vous déployez des modifications de configuration, interrompant temporairement l’inspection du trafic. Selon la façon dont le périphérique attribué traite le trafic, celui-ci peut être abandonné durant l’interruption ou passer sans inspection supplémentaire.

Options de dépannage : récapitulatif

Lors d'un appel de dépannage, l'assistance peut vous demander de configurer le système pour qu'il calcule les statistiques de performance uniquement lorsque le processus Snort est arrêté ou redémarré. Pour activer cette option, vous devez également activer l’option de dépannage session de journalisation/la distribution du protocole.


Mise en garde

N’activez pas le récapitulatif, sauf si le service d’assistance vous le demande.

Configuration de la journalisation des statistiques de rendement de la prévention des intrusions

Configurez la journalisation des statistiques de performance en cas d’intrusion pour personnaliser la façon dont le système échantillonne et enregistre les statistiques de performance à des fins de supervision et de dépannage.

La journalisation des statistiques de performance vous permet de superviser les performances du périphérique en échantillonnant les statistiques à des intervalles définis. Une configuration adéquate garantit des performances optimales du périphérique tout en fournissant les données de supervision nécessaires.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès, cliquez sur Avancé, puis sur Modifier (icône Modifier) à côté de Performance Settings (paramètres de rendement).

Dans la nouvelle interface utilisateur, sélectionnez Advanced Settings (paramètres avancés) à partir de la flèche de la liste déroulante à la fin de la ligne de flux de paquets.

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 2

Cliquez sur PerformanceStatistics dans la fenêtre contextuelle qui apparaît.

Étape 3

Modifiez la durée d’échantillonnage ou le nombre minimal de paquets comme décrit dans Configuration de la journalisation des statistiques de rendement en cas d’intrusion.


Mise en garde

La configuration d’une valeur très faible, comme une seconde, pour le Sample time (Temps d’échantillonnage) peut avoir une incidence considérable sur le périphérique. Le périphérique peut rencontrer des problèmes d’espace disque et son fonctionnement peut être perturbé par le volume de statistiques de rendement enregistrées. Pour éviter ces problèmes, ne définissez pas une valeur très faible.

Étape 4

Vous pouvez également développer la section des options de dépannage et modifier ces options uniquement si le service d’assistance vous le demande.

Étape 5

Cliquez sur OK.

What to do next

  • Déployer les changements de configuration.