Si aucun appareil S7CommPlus n’est activé sur votre réseau, vous ne devez pas activer l’inspecteur s7commplus dans une politique d’analyse de réseau que vous appliquez au trafic.

Configuration du port TCP S7CommPlus

L’inspecteur binder configure le port TCP S7CommPlus. Pour obtenir plus d'informations, reportez-vous à la Présentation de l’inspecteur de binder.

[
    {
        "when": {
            "role": "server",
            "proto": "tcp",
            "ports": "102"
        },
        "use": {
            "type": "s7commplus"
        }
    },
    {
        "when": {
            "role": "any",
            "service": "s7commplus"
        },
        "use": {
            "type": "s7commplus"
        }
    }
]

Remarque

L’inspecteur S7CommPlus ne fournit aucun paramètre.

Activez les règles de l’inspecteur s7commplus pour générer des événements et, dans un déploiement en ligne, supprimer les paquets incriminés.

Vous pouvez utiliser les mots clés s7commplus seuls ou combinés pour créer des règles de prévention des intrusions personnalisées qui identifient les attaques ciblant le trafic détecté par l’inspecteur s7commplus. Pour les mots-clés configurables, spécifiez une valeur unique connue ou un seul entier dans la plage autorisée.

Tenez compte des points suivants :

• Lorsqu’une règle s7commplus comporte plusieurs mots-clés, une condition AND est appliquée entre ceux-ci.

• L’utilisation de plusieurs mots clés s7commplus_func ou s7commplus_opcode dans une même règle invalide cette règle. Une règle ainsi invalidée ne peut pas trouver de correspondance dans le trafic. Pour rechercher plusieurs valeurs avec ces mots clés, créez plusieurs règles.

s7commplus_content

Utilisez le mot clé s7commplus_content pour positionner le curseur de détection au début de la charge utile du paquet S7CommPlus. Nous vous recommandons de définir ce mot clé avant d’utiliser un mot clé content ou protected_content dans une règle de prévention des intrusions S7CommPlus.

Syntaxe : s7commplus_content;

Exemples : s7commplus_content;

s7commplus_func

Utilisez le mot clé s7commplus_func pour rechercher une correspondance avec l’un des paramètres d’en-tête S7CommPlus spécifiés. Vous pouvez spécifier le nom du paramètre S7CommPlus ou le code hexadécimal correspondant.

Type : chaîne

Syntaxe : s7commplus_func: <header_parameter>;

Valeurs valides :

Exemples : s7commplus_func: createobject;

s7commplus_opcode

Utilisez le mot clé s7commplus_opcode pour rechercher une correspondance avec l’un des paramètres d’en-tête S7CommPlus spécifiés. Vous pouvez spécifier le nom du paramètre S7CommPlus ou le code hexadécimal correspondant.

Type : chaîne

Syntaxe : s7commplus_opcode: <header_parameter>

Valeurs valides :

Exemples : s7commplus_opcode: 0x31;