Inspecteur GTP Inspect

Présentation de l’inspecteur GTP Inspect

Type

Inspecteur (service)

Usage

Inspecter

Type d’instance

Multiton

Autres inspecteurs requis

stream_udp

Activé

faux

Le protocole de tunnellisation GPRS (General Service Packet Radio) permet de communiquer sur un réseau central GTP.

L’inspecteur gtp_inspect détecte les anomalies au sein du trafic GTP et transfère les messages de signalisation du canal de commande au moteur de règles pour inspection.

Paramètres de l’inspecteur GTP Inspect

Configuration des ports et du service GTP Inspect

L’inspecteur binder configure les ports et le service GTP Inspect. Pour obtenir plus d'informations, reportez-vous à la Présentation de l’inspecteur de binder.

Exemple : 
[
   {
       "when": {
           "service": "gtp_inspect",
           "role": any
       },
       "use": {
           "type": "gtp_inspect"
       }
   },
   {
       "when": {
           "proto": "tcp",
           "role": "server",
           "ports": "2123 2152 3386"
       },
       "use": {
           "type": "gtp_inspect"
       }
   }
]

version

Spécifie une version GTP valide.

Type : entier

Valeurs valides : 0, 1, 2

Valeur par défaut : 2

messages[]

Spécifie un tableau d’informations sur les messages GTP valides.

Type : tableau (objet)

Exemple : 
{
    messages: [
        {
            "type": 0,
            "name": ""
        }
    ]
}

messages[].type

Spécifie un type de message GTP valide. Voir le Types de messages GTP.

Type : entier

Plage valide : de 0 à 255

Valeur par défaut : aucune

messages[].name

Spécifie un nom de message GTP valide. Voir le Types de messages GTP.

Type : chaîne

Valeurs valides : un nom de message GTP valide

Valeur par défaut : aucune

infos[]

Spécifie un tableau d’éléments d’information GTP.

Type : tableau (objet)

Exemple : 
{
    infos: [
        {
            "type": 0,
            "name": "echo_request",
            "length": 0
        }
    ]
}

infos[].type

Spécifie un code de type d’élément GTP valide. Voir le Éléments d’information GTP.

Type : entier

Plage valide : de 0 à 255

Valeur par défaut : 0

infos[].name

Spécifie un nom d’élément GTP valide.

Type : chaîne

Valeurs valides : noms d’éléments d’information GTP valides. Voir le Éléments d’information GTP.

infos[].length

Spécifie la longueur d’un élément d’information GTP valide.

Type : entier

Plage valide : de 0 à 255

Valeur par défaut : 0

Règles de l’inspecteur GTP Inspect

Activez les règles de l’inspecteur gtp_inspect pour générer des événements et, dans un déploiement en ligne, supprimer les paquets incriminés.

Tableau 1. Règles de l’inspecteur GTP

GID:SID

Message de règle
143:1

Longueur du message non valide

143:2

Longueur de l’élément d’information non valide

143:3

Éléments d’information non classés dans l’ordre

143:4

TEID manquant

Options des règles de prévention des intrusions de l’inspecteur GTP Inspect

Les options des règles de prévention des intrusions de l’inspecteur gtp_inspect vous permettent d’inspecter le canal de commande GTP pour analyser la version de GTP, le type de message et les éléments d’information.

Vous ne pouvez pas utiliser les options GTP en combinaison avec content ou byte_jump. Vous devez utiliser gtp_version dans chacune des règles qui utilisent gtp_info ou gtp_type.

gtp_version

Assurez-vous que la version de GTP spécifiée correspond à celle des messages de contrôle GTP.

Type : entier

Syntaxe : gtp_version: <version>;

Valeurs valides : 0, 1, 2

Exemples : gtp_version: 1;

gtp_type

Chaque message GTP est identifié par un type de message, qui comprend une valeur numérique et une chaîne. Assurez-vous que chaque type de GTP spécifié correspond à celui des messages GTP.

Vous pouvez spécifier une valeur décimale définie pour un type de message, une chaîne définie ou une liste séparée par des virgules de l’un ou des deux, ou des deux, dans n’importe quelle combinaison, comme le montre l’exemple suivant :

Type : chaîne

Syntaxe : gtp_type: <message_type>;

Valeurs valides : répertoriées dans le tableau des types de messages GTP. Voir le Types de messages GTP.

Exemples : gtp_type: "10, 11, echo_request";

Le système utilise une opération OU pour mettre en correspondance chaque valeur ou chaîne que vous répertoriez. L’ordre dans lequel vous répertoriez les valeurs et les chaînes n’a pas d’importance. Toute valeur ou chaîne unique de la liste correspond au mot-clé. Le système génère une erreur si vous tentez d’enregistrer une règle qui comprend une chaîne non reconnue ou une valeur hors limites.

Notez que les différentes versions de GTP utilisent parfois des valeurs différentes pour le même type de message. Par exemple, la valeur du type de message sgsn_context_request est de 50 dans GTPv0 et GTPv1, et de130 dans GTPv2.

L’option gtp_type peut prendre différentes valeurs selon le numéro de version indiqué dans le paquet. Par exemple, la valeur du message sgsn_context_request est de 50 dans un paquet GTPv0 ou GTPv1, et de 130 dans un paquet GTPv2. Si la valeur du type de message ne correspond pas à une valeur connue pour la version indiquée dans le paquet, l’option ne trouve pas de correspondance.

Lorsque vous spécifiez un entier pour le type de message, l’option recherche une correspondance si le type de message correspond à la valeur du paquet GTP, indépendamment de la version indiquée dans le paquet.

gtp_message_type est une valeur numérique ou un mot clé provenant du Types de messages GTP.

Tableau 2. Types de messages GTP

Type

Nom pour la version 0

Nom pour la version 1

Nom pour la version 2

1

echo_request

echo_request

echo_request

2

echo_response

echo_response

echo_response

3

version_not_supported

version_not_supported

version_not_supported

4

node_alive_request

node_alive_request

S.O.

5

node_alive_response

node_alive_response

S.O.

6

redirection_request

redirection_request

S. O.

7

redirection_response

réponse_redirection

S. O.

16

create_pdp_context_request

create_pdp_context_request

S. O.

17

create_pdp_context_response

create_pdp_context_response

S. O.

18

update_pdp_context_request

update_pdp_context_request

S. O.

19

update_pdp_context_response

update_pdp_context_response

S. O.

20

delete_pdp_context_request

delete_pdp_context_request

S. O.

21

delete_pdp_context_response

delete_pdp_context_response

S. O.

22

create_aa_pdp_context_request

init_pdp_context_activation_request

S.O.

23

create_aa_pdp_context_response

init_pdp_context_activation_response

S. O.

24

delete_aa_pdp_context_request

s.o.

s.o.

25

delete_aa_pdp_context_response

s.o.

s.o.

26

error_indication

error_indication

S. O.

27

pdu_notification_request

pdu_notification_request

S. O.

28

pdu_notification_response

pdu_notification_response

S. O.

29

pdu_notification_reject_request

pdu_notification_reject_request

S. O.

30

pdu_notification_reject_response

pdu_notification_reject_response

S. O.

31

S. O.

supported_ext_header_notification

S. O.

32

send_routing_info_request

send_routing_info_request

create_session_request

33

send_routing_info_response

send_routing_info_response

create_session_response

34

failure_report_request

failure_report_request

modify_bearer_request

35

failure_report_response

failure_report_response

modify_bearer_response

36

note_ms_present_request

note_ms_présent_request

delete_session_request

37

note_ms_present_response

note_ms_present_response

delete_session_response

38

s.o.

s.o.

change_notification_request

39

s.o.

s.o.

change_notification_response

48

identification_request

identification_request

S. O.

49

identification_response

identification_response

S. O.

50

sgsn_context_request

sgsn_context_request

S. O.

51

sgsn_context_response

sgsn_context_response

S. O.

52

sgsn_context_ack

sgsn_context_ack

S. O.

53

s.o.

forward_relocation_request

S. O.

54

s.o.

forward_relocation_response

S. O.

55

s.o.

forward_relocation_complete

S.O.

56

s.o.

relocation_cancel_request

S. O.

57

s.o.

relocation_cancel_response

S. O.

58

S. O.

forward_srns_contex

S. O.

59

s.o.

forward_relocation_complete_ack

S. O.

60

S. O.

forward_srns_contex_ack

S. O.

64

s.o.

s.o.

modify_bearer_command

65

s.o.

s.o.

modify_bearer_failure_indication

66

s.o.

s.o.

delete_bearer_command

67

s.o.

s.o.

delete_bearer_failure_indication

68

s.o.

s.o.

bearer_resource_command

69

s.o.

s.o.

Bearer_resource_failure_indication

70

s.o.

ran_info_relay

descendant_failure_indication

71

s.o.

s.o.

trace_session_activation

72

s.o.

s.o.

trace_session_deactivation

73

s.o.

s.o.

stop_pages_indication

95

s.o.

s.o.

create_bearer_request

96

S. O.

mbms_notification_request

create_bearer_response

97

S. O.

mbms_notification_response

update_bearer_request

98

S. O.

mbms_notification_reject_request

Update_bearer_response

99

S. O.

mbms_notification_reject_response

delete_bearer_request

100

S. O.

create_mbms_context_request

delete_bearer_response

101

S. O.

create_mbms_context_response

delete_pdn_request

102

S. O.

update_mbms_context_request

delete_pdn_response

103

S. O.

Update_mbms_context_response

S. O.

104

S. O.

delete_mbms_context_request

S. O.

105

S. O.

delete_mbms_context_response

S. O.

112

S. O.

mbms_register_request

S. O.

113

S. O.

mbms_register_response

S. O.

114

S. O.

mbms_deregister_request

S. O.

115

S. O.

mbms_deregister_response

S. O.

116

s.o.

mbms_session_start_request

S. O.

117

s.o.

mbms_session_start_response

S. O.

118

s.o.

mbms_session_stop_request

S. O.

119

s.o.

mbms_session_stop_response

S. O.

120

s.o.

mbms_session_update_request

S. O.

121

s.o.

mbms_session_update_response

S. O.

128

S. O.

ms_info_change_request

identification_request

129

S. O.

ms_info_change_response

identification_response

130

s.o.

s.o.

sgsn_context_request

131

s.o.

s.o.

sgsn_context_response

132

s.o.

s.o.

sgsn_context_ack

133

s.o.

s.o.

forward_relocation_request

134

s.o.

s.o.

forward_relocation_response

135

s.o.

s.o.

forward_relocation_complete

136

s.o.

s.o.

forward_relocation_complete_ack

137

s.o.

s.o.

forward_access

138

s.o.

s.o.

forward_access_ack

139

s.o.

s.o.

relocation_cancel_request

140

s.o.

s.o.

relocation_cancel_response

141

s.o.

s.o.

configuration_transfer_tunnel

149

s.o.

s.o.

dissocier

150

s.o.

s.o.

detach_ack

151

s.o.

s.o.

cs_paging

152

s.o.

s.o.

ran_info_relay

153

s.o.

s.o.

alerte_mme

154

s.o.

s.o.

alert_mme_ack

155

s.o.

s.o.

ue_activity

156

s.o.

s.o.

ue_activity_ack

160

s.o.

s.o.

create_forward_tunnel_request

161

s.o.

s.o.

create_forward_tunnel_response

162

s.o.

s.o.

suspend

163

s.o.

s.o.

suspend_ack

164

s.o.

s.o.

reprendre

165

s.o.

s.o.

resume_ack

166

s.o.

s.o.

create_indirect_forward_tunnel_request

167

s.o.

s.o.

create_indirect_forward_tunnel_response

168

s.o.

s.o.

delete_indirect_forward_tunnel_request

169

s.o.

s.o.

delete_indirect_forward_tunnel_response

170

s.o.

s.o.

Release_access_bearer_request

171

s.o.

s.o.

Release_access_bearer_response

176

s.o.

s.o.

downlink_data

177

s.o.

s.o.

download_data_ack

179

s.o.

s.o.

pgw_restart

180

s.o.

s.o.

pgw_restart_ack

200

s.o.

s.o.

Update_pdn_request

201

s.o.

s.o.

update_pdn_response

211

s.o.

s.o.

modify_access_bearer_request

212

s.o.

s.o.

modify_access_bearer_response

231

s.o.

s.o.

mbms_session_start_request

232

s.o.

s.o.

mbms_session_start_response

233

s.o.

s.o.

mbms_session_update_request

234

s.o.

s.o.

mbms_session_update_response

235.

s.o.

s.o.

mbms_session_stop_request

236

s.o.

s.o.

mbms_session_stop_response

240

data_record_transfer_request

data_record_transfer_request

S. O.

241

data_record_transfer_response

data_record_transfer_response

S. O.

254

S. O.

end_marker

S. O.

255

pdu

pdu

s.o.

gtp_info

Un message GTP peut inclure plusieurs éléments d’information, chacun étant identifié à la fois par une valeur numérique et une chaîne définies. Vous pouvez utiliser l’option gtp_info pour commencer l’inspection au début d’un élément d’information spécifié et limiter l’inspection à celui-ci.

Vous pouvez spécifier la valeur décimale définie ou la chaîne définie pour un élément d’information. Vous pouvez spécifier une valeur ou une chaîne unique, et vous pouvez utiliser plusieurs options gtp_info au sein d’une règle pour inspecter plusieurs éléments d’information.

Lorsqu'un message comprend plusieurs éléments d'information du même type, tous sont examinés pour vérifier s'ils correspondent. Lorsque des éléments d’information apparaissent dans un ordre non valide, seule la dernière instance est inspectée.

Selon la version, un message GTP peut utiliser différentes valeurs pour le même élément d’information. Par exemple, la valeur de l’élément d’information cause est de 1 dans GTPv0 et GTPv1, et de 2 dans GTPv2.

L’option gtp_info peut prendre différentes valeurs selon le numéro de version indiqué dans le paquet. Dans l’exemple ci-dessus, pour le mot clé, la valeur de l’élément d’information est de 1 dans un paquet GTPv0 ou GTPv1, et de 2 dans un paquet GTPv2. Si la valeur de l’élément d’information ne correspond pas à une valeur connue pour la version spécifiée dans le paquet, l’option ne recherche pas de correspondance.

Lorsque vous spécifiez un entier pour l’élément d’information, l’option recherche une correspondance si le type de message correspond à la valeur du paquet GTP, indépendamment de la version indiquée dans le paquet.

Type : chaîne

Syntaxe : gtp_info: <identifier>;

Valeurs valides : répertoriées dans le Éléments d’information GTP.

Exemples : gtp_info: "qos";

Tableau 3. Éléments d’information GTP

Type

Nom pour la version 0

Nom pour la version 1

Nom pour la version 2

1

cause

cause

imsi

2

imsi

imsi

cause

3

rai

rai

recovery

4

tlli

tlli

S.O.

5

p_tmsi

p_tmsi

S.O.

6

qos

s.o.

s.o.

8

recording_required

recording_required

S.O.

9

authentication

authentication

S.O.

10

s.o.

s.o.

s.o.

11

map_cause

map_cause

S. O.

12

p_tmsi_sig

p_tmsi_sig

S. O.

13

ms_validated

ms_validated

S.O.

14

recovery

recovery

S.O.

15

selection_mode

selection_mode

S. O.

16

flow_label_data_1

teid_1

S. O.

17

flow_label_signalling

teid_control

S. O.

18

flow_label_data_2

teid_2

S. O.

19

ms_unreachable

teardown_ind

S. O.

20

S. O.

nsapi

S. O.

21

S. O.

ranap

S. O.

22

S. O.

rab_context

S.O.

23

S. O.

radio_priority_sms

S. O.

24

S. O.

radio_priority

s.o.

25

s.o.

packet_flow_id

s.o.

26

s.o.

charging_char

S. O.

27

s.o.

trace_ref

S. O.

28

S. O.

trace_type

S. O.

29

S. O.

ms_unreachable

S. O.

71

s.o.

s.o.

apn

72

s.o.

s.o.

ambr

73

s.o.

s.o.

ebi

74

s.o.

s.o.

ip_addr

75

s.o.

s.o.

mei

76

s.o.

s.o.

msisdn

77

s.o.

s.o.

Indication

78

s.o.

s.o.

pco

79

s.o.

s.o.

paa

80

s.o.

s.o.

bearer_qos

80

s.o.

s.o.

flow_qos

82

s.o.

s.o.

rat_type

83

s.o.

s.o.

serving_network

84

s.o.

s.o.

bearer_tft

85

s.o.

s.o.

tad

86

s.o.

s.o.

uli

87

s.o.

s.o.

f_teid

88

s.o.

s.o.

tmsi

89

s.o.

s.o.

cn_id

90

s.o.

s.o.

s103pdf

91

s.o.

s.o.

s1udf

92

s.o.

s.o.

delay_value

93

s.o.

s.o.

bearer_context

94

s.o.

s.o.

charging_id

95

s.o.

s.o.

charging_char

96

s.o.

s.o.

trace_info

97

s.o.

s.o.

bearer_flag

99

s.o.

s.o.

pdn_type

100

s.o.

s.o.

pti

101

s.o.

s.o.

drx_parameter

103

s.o.

s.o.

gsm_key_tri

104

s.o.

s.o.

umts_key_cipher_quin

105

s.o.

s.o.

gsm_key_cipher_quin

106

s.o.

s.o.

umts_key_quin

107

s.o.

s.o.

eps_quad

108

s.o.

s.o.

umts_key_quad_quin

109

s.o.

s.o.

pdn_connection

110

s.o.

s.o.

pdn_number

111

s.o.

s.o.

p_tmsi

112

s.o.

s.o.

p_tmsi_sig

113

s.o.

s.o.

hop_counter

114

s.o.

s.o.

ue_time_zone

115

s.o.

s.o.

trace_ref

116

s.o.

s.o.

complete_request_msg

117

s.o.

s.o.

guti

118

s.o.

s.o.

f_container

119

s.o.

s.o.

f_cause

120

s.o.

s.o.

plmn_id

121

s.o.

s.o.

target_id

123

s.o.

s.o.

packet_flow_id

124

s.o.

s.o.

rab_contex

125

s.o.

s.o.

src_rnc_pdcp

126

s.o.

s.o.

udp_src_port

127

charge_id

charge_id

apn_restriction

128

end_user_address

end_user_address

selection_mode

129

mm_context

mm_context

src_id

130

pdp_context

pdp_context

S. O.

131

apn

apn

change_report_action

132

protocol_config

protocol_config

fq_csid

133

gsn

gsn

channel

134

msisdn

msisdn

emlpp_pri

135

s.o.

qos

node_type

136

s.o.

authentication_qu

fqdn

137

s.o.

tft

ti

138

s.o.

target_id

mbms_session_duration

139

s.o.

utran_trans

mbms_service_area

140

s.o.

rab_setup

mbms_session_id

141

s.o.

ext_header

mbms_flow_id

142

S. O.

trigger_id

mbms_ip_multicast

143

S. O.

omc_id

mbms_distribution_ack

144

S. O.

ran_trans

rfsp_index

145

S. O.

pdp_context_pri

uci

146

S. O.

addi_rab_setup

csg_info

147

S. O.

sgsn_number

csg_id

148

S. O.

common_flag

cmi

149

s.o.

apn_restriction

service_indicator

150

s.o.

radio_priority_lcs

detach_type

151

s.o.

rat_type

ldn

152

s.o.

user_loc_info

node_feature

153

s.o.

ms_time_zone

mbms_time_to_transfer

154

s.o.

imei_sv

throttling

155

s.o.

camel

arp

156

s.o.

mbms_ue_context

epc_timer

157

S. O.

tmp_mobile_group_id

signalling_priority_indication

158

S. O.

rim_routing_addr

tmgi

159

S. O.

mbms_config

mm_srvcc

160

s.o.

mbms_service_area

flags_srvcc

161

s.o.

src_rnc_pdcp

nmbr

162

s.o.

addi_trace_info

S. O.

163

s.o.

hop_counter

S. O.

164

s.o.

plmn_id

S. O.

165

s.o.

mbms_session_id

S. O.

166

s.o.

mbms_2g3g_indicator

S. O.

167

s.o.

enhanced_nsapi

S. O.

168

s.o.

mbms_session_duration

S. O.

169

s.o.

addi_mbms_trace_info

S. O.

170

s.o.

mbms_session_repetition_num

S. O.

171

s.o.

mbms_time_to_data

S. O.

173

S. O.

bss

S. O.

174

S. O.

cell_id

S. O.

175

S. O.

pdu_num

S. O.

177

s.o.

mbms_bearer_capab

S. O.

178

S. O.

rim_routing_disc

S. O.

179

s.o.

list_pfc

S. O.

180

s.o.

ps_xid

S. O.

181

S. O.

ms_info_change_report

S. O.

182

S. O.

direct_tunnel_flags

S. O.

183

S. O.

correlation_id

S. O.

184

S. O.

bearer_control_mode

S. O.

185

S. O.

mbms_flow_id

S. O.

186

S. O.

mbms_ip_multicast

S. O.

187

S. O.

mbms_distribution_ack

S. O.

188

S. O.

reliable_inter_rat_handover

S. O.

189

S. O.

rfsp_index

S. O.

190

S. O.

fqdn

S. O.

191

S. O.

evolved_allocation1

S. O.

192

S. O.

evolved_allocation2

S. O.

193

S. O.

extended_flags

S. O.

194

S. O.

uci

S. O.

195

S. O.

csg_info

S. O.

196

S. O.

csg_id

S. O.

197

S. O.

cmi

S. O.

198

S. O.

apn_ambr

S. O.

199

S. O.

ue_network

S. O.

200

s.o.

ue_ambr

S. O.

201

s.o.

apn_ambr_nsapi

S. O.

202

S. O.

ggsn_backoff_timer

S. O.

203

S. O.

signalling_priority_indication

S. O.

204

S. O.

signalling_priority_indication_nsapi

S. O.

205

S. O.

high_bitrate

S. O.

206

S. O.

max_mbr

S. O.

251

charging_gateway_addr

charging_gateway_addr

S. O.

255

private_extension

private_extension

private_extension