arp_spoof インスペクタは、FMC Web インターフェイスにデフォルト設定パラメータ値を提供しません。

arp_spoof インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

arp_spoof インスペクタには、侵入ルールオプションはありません。

binder[]

バインダには、 when オブジェクトと use オブジェクトのペアとして定義されたルールの配列が含まれています。

型：配列

例：

{
    binder: {
        rules: [
            {
                "when": {
                    ...
                },
                "use": {
                    ...
                 }
            },
            {
                "when": {
                    ...
                },
                "use": {
                    ...
                }
            }
        ]
    }
}

binder[].use.type

when パラメータの条件が一致したときにデータフローにバインドするインスペクタを指定します。たとえば、CIP トラフィックを検査するには、値 cip を使用して use.type を追加します。

型：文字列

有効な値：このドキュメントで説明されている Snort 3 インスペクタの名前。

デフォルト値：binder インスペクタには、サポートされている各インスペクタの use.type パラメータが含まれています。

binder[].when.proto

use.type で指定されたインスペクタにデータフローをバインドするためにトラフィックが一致する必要があるプロトコルを指定します。たとえば、ネットワーク分析ポリシーが TCP トラフィックを検査するように設定されている場合、binder インスペクタはこのパラメータを tcp に設定する必要があります。

型：列挙体

有効な値：any、ip、icmp、tcp、udp、user、file

デフォルト値：binder インスペクタには、各プロトコルの when.proto パラメータが含まれています。

binder[].when.ports

use.type で指定されたインスペクタにデータフローをバインドするためにトラフィックが一致する必要があるポートを指定します。たとえば、TCP ポート 80 のトラフィックを検査するには、when.proto を tcp に設定し、when.ports を 80 に設定します。

10 進数または 16 進数の整数で表される 1 つ以上のポートのリストを指定します。複数のポートはスペースで区切り、リストを二重引用符で囲みます。

型：文字列

有効な範囲：1 ～ 65535

デフォルト値：65535（この値は when.proto の値によって異なる場合があります。）

binder[].when.role

use.type で指定したインスペクタにフローをバインドするためにトラフィックが一致する必要があるロールを指定します。

型：列挙体

有効な値：client、server、any

デフォルト値：any

use.type で指定されたインスペクタにフローをバインドするためにトラフィックが一致する必要があるサービスを指定します。

型：文字列

有効な値：着信データをカプセル化する可能性のあるサービスの名前（例： netbios-ssn または dcerpc）。

デフォルト値：なし

binder インスペクタに関連付けられたルールはありません。

binder インスペクタには、侵入ルールのオプションはありません。

CIP TCP ポートの設定

binder インスペクタは、CIP TCP ポートの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
    {
        "when": {
                    "role": "server",
                    "proto": "tcp",
                    "ports": "44818"
        },
        "use": {
                    "type": "cip"
        }
    }
]

embedded_cip_path

埋め込まれた CIP 接続パスをインスペクタで確認するかどうかを決定します。

型：文字列

有効な値は、次のとおりです。

• "false"

• 二重引用符で囲まれた CIP パス（"0x2 0x36" など）。

デフォルト値："false"

unconnected_timeout

デフォルトの未接続タイムアウトを秒単位で設定します。CIP 要求メッセージにプロトコル固有のタイムアウト値が含まれておらず、TCP 接続あたりの未接続な同時要求の最大数に達した場合は、このパラメータで指定した秒数の間、システムがメッセージの時間を測定します。タイマーが満了すると、他の要求用のスペースを確保するために、メッセージが削除されます。

0 を指定すると、プロトコル固有のタイムアウトが設定されていないすべてのトラフィックが最初にタイムアウトになります。

型：整数

有効な範囲：0 - 360

デフォルト値：300

max_unconnected_messages

TCP 接続あたりの同時未接続 CIP メッセージの最大数を設定します。無応答のままになる可能性がある同時要求の最大数に到達すると、システムはその接続を閉じます。

型：整数

有効な範囲：1 ～ 10000

デフォルト値：100

max_cip_connections

システムが TCP 接続ごとに許可する同時 CIP 接続の最大数を設定します。

型：整数

有効な範囲：1 ～ 10000

デフォルト値：100

cip インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

cip_attribute

CIP 属性を照合する検出パラメータ。

型：間隔

シンタックス：cip_attribute: <range_operator><positive integer>; または cip_attribute: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 65535 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_attribute: <100;

cip_class

CIP クラスを照合する検出パラメータ。

型：間隔

シンタックス：cip_class: <range_operator><positive integer>; または cip_class: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 65535 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_class: <25;

cip_conn_path_class

CIP 接続パスクラスを照合する検出パラメータ。

型：間隔

シンタックス：cip_conn_path_class: <range_operator><positive integer>; または cip_conn_path_class: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 65535 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_conn_path_class: <85;

cip_instance

CIP インスタンスを照合する検出パラメータ。

型：間隔

シンタックス：cip_instance: <range_operator><positive integer>; または cip_instance: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 65535 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_instance: <15;

cip_req

CIP 要求を照合する検出パラメータ。

シンタックス：cip_req;

例：cip_req;

cip_rsp

CIP 応答を照合する検出パラメータ。

シンタックス：cip_rsp;

例：cip_rsp;

cip_service

CIP サービスを照合する検出パラメータ。

型：間隔

シンタックス：cip_service: <range_operator><positive integer>; or cip_service: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 127 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_service: <50;

cip_status

CIP 応答ステータスを照合する検出パラメータ。

型：間隔

シンタックス：cip_status: <range_operator><positive integer>; または cip_status: <positive integer><range_operator><positive integer>;

有効な値：0 ～ 255 の 1 つ以上の一連の整数と範囲の形式の表に指定されている range_operator の 1 つ。

例：cip_status: <250;

DCE SMB ポートの設定

binder インスペクタは、DCE SMB ポートの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
   {
       "when": {
           "role":"any",
           "service":"netbios-ssn",
           "ports": ""
       },
        "use": {
            "type":"dce_smb"
       }
   }
]

max_frag_len

最適化のために許可される最大フラグメント長をバイト単位で指定します。より大きなフラグメントを処理する場合、インスペクタは、最適化する前にパケットコンテンツをこのサイズに考慮します。

（注）	このパラメータで指定する値は、確実に検出するためにルールでデータを調べる必要がある深さ以上にする必要があります。すべてのデータの検出が確実に行われるようにするには、デフォルト値を使用します。

型：整数

有効な範囲：1514 ～ 65535

デフォルト値：65535

smb_max_compound

1 つの SMB 要求で処理するコマンドの最大数を指定します。

型：整数

有効な範囲：0 ～ 255

デフォルト値：3

smb_max_chain

許可されている連結 SMB AndX コマンドの最大数を指定します。通常、多数の連結 AndX コマンドは異常な動作を表し、場合によっては回避試行を示している可能性があります。連結コマンドを許可しない場合は 1 を指定し、連結コマンドの数の検出を無効にするには 0 を指定します。

インスペクタは最初に連結コマンドの数をカウントし、関連する SMB インスペクタのルールが有効であり、連結コマンドの数が設定されている値と等しいかそれ以上の場合にはイベントが生成されます。その後、処理が続行されます。

イベントを生成し、インライン展開でこのパラメータの問題のあるパケットをドロップするには、ルール 133:20 を有効にします。

型：整数

有効な範囲：0 ～ 255

デフォルト値：3

disable_defrag

フラグメント化された DCE/RPC トラフィックを最適化するかどうかを指定します。有効にすると、dce_smb インスペクタは異常を検出して DCE/RPC データをルールエンジンに送信しますが、フラグメント化された DCE/RPC データでのエクスプロイトを見落とすリスクがあります。

disable_defrag は、トラフィックを最適化しない柔軟性を提供して処理を高速化しますが、ほとんどの DCE/RPC エクスプロイトは、エクスプロイトを隠蔽するフラグメント化を試行します。このパラメータを有効にすると、既知のエクスプロイトのほとんどがバイパスされ、誤検知が大量に発生します。

型：ブール値

有効な値：true、false

デフォルト値：false

limit_alerts

DCE アラートをフローごとの署名ごとに最大 1 つに制限するかどうかを指定します。

型：ブール値

有効な値：true、false

デフォルト値：true

reassemble_threshold

リアセンブルされたパケットをルールエンジンに送信する前にキューに入れるには、DCE/RPC の最適化と最適化バッファの最小バイト数を指定します。このパラメータは、完全な最適化が実行される前の早い段階でエクスプロイトを検出する可能性があるため、インラインモードで役立ちます。

低い値を指定すると、早期検出の可能性が高くなりますが、パフォーマンスに悪影響を及ぼす可能性があることに注意してください。このパラメータを有効にした場合は、パフォーマンスへの影響をテストする必要があります。

値 0 は、リアセンブルを無効にします。

型：整数

有効な範囲：0 ～ 65535

デフォルト値：0

policy

モニタ対象のネットワークセグメント上のターゲットホスト（複数可）が使用する Windows または Samba の DCE/RPC の実装を指定します。

型：列挙体

有効な値：Win2000、WinXP、WinVista、Win2003、Win2008、Win7、Samba、Samba-3.0.37、Samba-3.0.22、Samba-3.0.20

デフォルト値："WinXP"

smb_max_credit

未処理の要求の最大数を指定します。

型：整数

有効な範囲：1 ～ 65536

デフォルト値：8192

smb_file_depth

ファイルが SMB トラフィックで検出されたときに検査されるバイト数を指定します。これは、file_data IPS ルールオプションで指定した場所から始まります（https://www.snort.org/snort3 で入手可能な Snort 3 オープンソースドキュメントで説明されています）。

ファイルの検査を無効にするには、-1 を指定します。

ファイルの検査を無制限に行うことを示すには、0 を指定します。

型：整数

有効な範囲：-1 ～ 32767

デフォルト値：16384

SMB トラフィックでファイルが検出された場合、smb_file_depth パラメータは、file_data IPS ルールオプションで設定されたポインタから開始してインスペクタが確認するファイルデータのバイト数を示します。ファイルタイプと署名を検査するために、dce_smb は、file_id インスペクタで設定された enable_type、type_depth、enable_signature、および signature_depth のパラメータを使用します。file_id インスペクタの詳細については、https://www.snort.org/snort3 で入手可能な Snort オープンソースドキュメントを参照してください。

memcap

インスペクタに割り当てられる最大メモリ制限をバイト単位で指定します。最大メモリ キャップに達するか、または超過すると、dce_smb インスペクタは最近の使用頻度の最も低いデータを削除して、より多くの領域を生み出します。

型：整数

有効な範囲：512 ～ 9,007,199,254,740,992（maxSZ）

デフォルト値：8,388,608

smb_fingerprint_policy

インスペクタが SMB Session Setup AndX の要求と応答で識別されている Windows バージョンまたは Samba のバージョンを検出するようにします。検出されたバージョンが policy インスペクタのパラメータに設定されている Windows バージョンまたは Samba バージョンと異なる場合、検出されたバージョンでそのセッションに設定されているバージョンのみがオーバーライドされます。

たとえば、policy を Windows XP に設定し、インスペクタが Windows Vista を検出した場合は、インスペクタはそのセッションに Windows Vista ポリシーを使用します。その他の設定は引き続き有効です。

型：列挙体

有効な値：none、client、server、または both

• サーバー/クライアント トラフィックでポリシータイプを検査するには、client を使用します。

• クライアント/サーバー トラフィックでポリシータイプを検査するには、server を使用します。

• サーバー/クライアントトラフィックとクライアント/サーバー トラフィックでポリシーを検索するには、both を使用します。

• Windows または Samba のバージョン検査を無効にするには、none を使用します。

デフォルト値：none

smb_legacy_mode

smb_legacy_mode が true の場合、システムは SMB バージョン 1 トラフィックにのみ SMB 侵入ルールを適用し、トランスポートとして SMB バージョン 1 を使用して DCE/RPC 侵入ルールを DCE/RPC トラフィックに適用します。

smb_legacy_mode が false の場合、システムは SMB バージョン 1 と 2 を使用して SMB 侵入ルールをトラフィックに適用し、次を実行します。

• バージョン 7.0 と 7.0.x の場合、システムは SMB バージョン 1 のみのトランスポートとして SMB を使用して、DCE/RPC 侵入ルールを DCE/RPC トラフィックに適用します。

• バージョン 7.1 以降の場合、システムは SMB バージョン 1 と 2 のトランスポートとして SMB を使用して、DCE/RPC 侵入ルールを DCE/RPC トラフィックに適用します。

型：ブール値

有効な値：true、false

デフォルト値：false

valid_smb_versions

検査する SMB バージョンを指定します。複数の SMB バージョンは余白文字で区切ります。

型：文字列

有効な値：v1、v2、all

デフォルト値：all

dce_smb インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

dce_iface

次のコンマ区切りの要素を指定します。

• サービスインターフェイスの UUID。

• インターフェイスのバージョン（オプション）。デフォルト設定は、どのバージョンにも一致します。

• ルールが要求内のいずれかのフラグメントに一致する必要があるかどうかのインジケータ（オプション）。デフォルト設定は、最初のフラグメントのみに一致します。

DCE/RPC プロトコルでは、クライアントはサービスを呼び出す前にサービスにバインドする必要があります。クライアントは、バインド要求をサーバーに送信するときに、バインド先の 1 つ以上のサービスインターフェイスを指定できます。各インターフェイスは UUID で表され、各インターフェイスの UUID は一意のインデックス（またはコンテキスト ID）とペアになっており、このインデックスを使用して、クライアントが呼び出しているサービスを今後の要求で参照できます。サーバーは、有効なものとして受け入れるインターフェイス UUID で応答し、クライアントがそれらのサービスに要求を行うことを許可します。クライアントが要求を行うと、コンテキスト ID が指定されるため、サーバーはクライアントが要求を行っているサービスを認識します。

dce_iface ルールオプションを使用すると、ルールは、クライアントが特定のインターフェイス UUID にバインドされているかどうかと、このクライアント要求がそのインターフェイスへの要求を行っているかどうかをインスペクタに問い合わせることができます。これにより、インスペクタがバインド UUID を要求で使用されるコンテキスト ID に関連付けることができるため、複数のサービスが正常にバインドされている場合の誤検知を排除できます。

dce_iface オプションは、インスペクタでのコネクション型の DCE/RPC に対するサーバーの Bind Ack 応答と Alter Context 応答だけでなく、クライアントの Bind 要求と Alter Context 要求の追跡が必要です。Bind および Alter Context 要求ごとに、クライアントは、インターフェイスを参照するために DCE/RPC セッション中に使用される各インターフェイス UUID のハンドル（またはコンテキスト ID）とともに、インターフェイス UUID のリストを指定します。サーバー応答は、クライアントが要求を行うことを許可するインターフェイスを示します。これは、特定のインターフェイスにバインドするクライアントの要求を受け入れるか拒否します。この追跡は、要求が処理されるときに、要求で使用されるコンテキスト ID を、それがハンドルであるインターフェイス UUID と関連付けることができるようにするために必要です。

dce_iface ルールオプションは、次の場合に一致します。

• 指定したインターフェイス UUID が DCE/RPC 要求のインターフェイス UUID（コンテキスト ID によって参照される）と一致する

および

• version 引数が指定されていないか、または version 引数が指定されていて、DCE/RPC 要求のインターフェイス UUID と一致する

および

• any_frag 引数が指定されているか、any_frag 引数がなく、dce_iface オプションが最初の要求フラグメントの UUID とバージョン基準に一致する

例：

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, <2;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188,any_frag;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, =1, any_frag;

dce_iface.uuid

DCE/RPC 要求では、UUID 番号がビッグエンディアンまたはリトルエンディアンのどちらで表されるかを指定できます。要求でのインターフェイス UUID の表現は、要求で指定したエンディアンに応じて異なります。dce_rpc インスペクタは UUID を正規化します。つまり、dce_iface ルールオプションの UUID の指定は、要求のエンディアンに関係なく、同じように記述する必要があります。

たとえば、リトルエンディアンのバインド要求は、次のように UUID を表します。

|f8 91 7b 5a 00 ff d0 11 a9 b2 00 c0 4f b6 e6 fc|

ビッグエンディアンのバインド要求は、次のように同じ UUID を表します。

|5a 7b 91 f8 ff 00 11 d0 a9 b2 00 c0 4f b6 e6 fc|

dce_iface オプションを使用する Snort 3 ルールでは、要求のエンディアンに関係なく、ビッグエンディアン順を使用して UUID を文字列で表す必要があります。

5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc

型：文字列

シンタックス：dce_iface: <UUID>;

有効な値： UUID は 32 の 16 進数で、ハイフンで区切られた 5 つの グループ（xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx の形式）で表示されます。

例： dce_iface: 5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc;

dce_iface.version

サービスインターフェイスには、それに関連付けられたバージョンがあります。インターフェイスの一部のバージョンは、特定のエクスプロイトに対して脆弱ではない場合があります。そのため、dce_iface オプションで 1 つ以上のバージョン番号を指定して、特定のエクスプロイトを確認する必要があるかどうかを特定できます。

型：間隔

シンタックス：dce_iface: <range_operator><positive integer>; または dce_iface: <positive integer><range_operator><positive integer>;

有効な値：1 つ以上の一連の正のバージョン番号と、範囲形式の表で指定されている range_operator の1 つ。

例：dce_iface: =6;

dce_iface.any_frag

DCE/RPC 要求は、1 つ以上のフラグメントに分割できます。DCE/RPC ヘッダーにフラグが設定されて現在のフラグメントが要求の最初のフラグメントか、中間のフラグメントか、または最後のフラグメントであるかを示します。DCE/RPC 要求内のデータの確認の多くは、DCE/RPC 要求が最初のフラグメント（または完全な要求）である場合にのみ関連します。これは、後続のフラグメントに DCE/RPC 要求のより深いデータが含まれるためです。たとえば、要求の 5 バイトのデータ（長さフィールドなど）を検索するルールは、最初のフラグメント以外のフラグメントで間違ったデータを検索します。これは、後続のフラグメントの先頭で要求の先頭から一部の長さがすでにオフセットされているためです。これは、フラグメント化された DCE/RPC トラフィックの誤検知の原因となる可能性があります。

そのため、デフォルトでは、DCE_RPC インスペクタは要求の最初のフラグメントのみを照合します。インスペクタが一致の要求内のすべてのフラグメントを調べるようにするには、dce_iface ルールオプションに any_frag を追加します。最適化された DCE/RPC 要求は完全な要求と見なされることに注意してください。

シンタックス：dec_iface: any_frag;

例：dce_iface: any_frag;

dce_opnum

DCE RPC 操作番号、操作番号の範囲、または操作番号のリストと照合します。このオプションは、インターフェイスに対して実行できる 1 つ以上の特定の関数呼び出しを表します。クライアントが特定のサービスインターフェイスにバインドして要求を行った後、ルールは、クライアントがサービスに対して行っている関数呼び出しを特定して、関数呼び出し内に存在する可能性のあるエクスプロイトを確認する必要があります。関数呼び出しは、操作番号（opnums）の二重引用符で囲まれたリストとして指定されます。

型：文字列

シンタックス：dce_opnum: <opnum_list>;

opnum_list は次のいずれかです。

• 単一の整数。

• コンマ区切りの整数のリスト。

• 範囲内の最小数と最大数をハイフンで区切って指定した整数の範囲。

• 上記の組み合わせ。

有効な値：DCE/RPC 要求の opnum のリスト。

例：

dce_opnum: "15";

dce_opnum: "15-18";

dce_opnum: "15, 18-20";

dce_opnum: "15, 17, 20-22";

dce_stub_data

このオプションは、先行するルールオプションに関係なく、DCE/RPC スタブデータの先頭に検出カーソル（ルール処理でパケットペイロードを通過させるために使用）を配置します。このオプションは、DCE/RPC スタブデータが存在する場合に一致します。

シンタックス：dce_stub_data;

例：dce_stub_data;

DCE TCP ポートの設定

binder インスペクタは、DCE TCP ポートの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
   {
        "when": {
            "role": "any",
            "proto": "tcp",
            "service": "dcerpc",
            "ports": ""
        },
        "use": {
            "type": "dce_tcp"
        }
    }
]

max_frag_len

最適化のために許可される最大フラグメント長をバイト単位で指定します。より大きなフラグメントを処理する場合、インスペクタは、最適化する前にパケットコンテンツに対して指定されたサイズに考慮します。

（注）	このパラメータで指定する値は、確実に検出するためにルールでデータを調べる必要がある深さ以上にする必要があります。すべてのデータの検出が確実に行われるようにするには、デフォルト値を使用します。

型：整数

有効な範囲：1514 ～ 65535

デフォルト値：65535

disable_defrag

フラグメント化された DCE/RPC トラフィックを最適化するかどうかを指定します。このパラメータが true の場合、インスペクタは引き続き異常を検出して DCE/RPC データをルールエンジンに送信しますが、フラグメント化された DCE/RPC データでのエクスプロイトを見落とすリスクがあります。

このパラメータには、トラフィックを最適化しないという柔軟性があり、処理を高速化できますが、ほとんどの DCE/RPC エクスプロイトでは、フラグメント化を利用してエクスプロイトを隠ぺいする試行が行われます。このパラメータを有効にすると、既知のエクスプロイトのほとんどがバイパスされ、誤検知が大量に発生します。

型：ブール値

有効な値：true、false

デフォルト値：false

limit_alerts

DCE アラートをフローごとの署名ごとに最大 1 つに制限するかどうかを指定します。

型：ブール値

有効な値：true、false

デフォルト値：true

reassemble_threshold

リアセンブルされたパケットをルールエンジンに送信する前にキューに入れるには、DCE/RPC の最適化と最適化バッファの最小バイト数を指定します。このパラメータは、完全な最適化が実行される前の早い段階でエクスプロイトを検出する可能性があるため、インラインモードで役立ちます。

低い値を指定すると、早期検出の可能性が高くなりますが、パフォーマンスに悪影響を及ぼす可能性があります。このパラメータを有効にした場合は、パフォーマンスへの影響をテストする必要があります。

値 0 は、リアセンブルを無効にします。

型：整数

有効な範囲：0 ～ 65535

デフォルト値：0

policy

モニタ対象のネットワークセグメント上のターゲットホスト（複数可）が使用する Windows または Samba の DCE/RPC の実装を指定します。

型：列挙体

有効な値：Win2000、WinXP、WinVista、Win2003、Win2008、Win7、Samba、Samba-3.0.37、Samba-3.0.22、Samba-3.0.20 から選択した二重引用符で囲まれた文字列

デフォルト値："WinXP".

dce_tcp インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

dce_iface

次のコンマ区切りの要素を指定します。

• サービスインターフェイスの UUID。

• インターフェイスのバージョン（オプション）。デフォルト設定は、どのバージョンにも一致します。

• ルールが要求内のいずれかのフラグメントに一致する必要があるかどうかのインジケータ（オプション）。デフォルト設定は、最初のフラグメントのみに一致します。

DCE/RPC プロトコルでは、クライアントはサービスを呼び出す前にサービスにバインドする必要があります。クライアントは、バインド要求をサーバーに送信するときに、バインド先の 1 つ以上のサービスインターフェイスを指定できます。各インターフェイスは UUID で表され、各インターフェイスの UUID は一意のインデックス（またはコンテキスト ID）とペアになっており、このインデックスを使用して、クライアントが呼び出しているサービスを今後の要求で参照できます。サーバーは、有効なものとして受け入れるインターフェイス UUID で応答し、クライアントがそれらのサービスに要求を行うことを許可します。クライアントが要求を行うと、コンテキスト ID が指定されるため、サーバーはクライアントが要求を行っているサービスを認識します。

dce_iface ルールオプションを使用すると、ルールは、クライアントが特定のインターフェイス UUID にバインドされているかどうかと、このクライアント要求がそのインターフェイスへの要求を行っているかどうかをインスペクタに問い合わせることができます。これにより、インスペクタがバインド UUID を要求で使用されるコンテキスト ID に関連付けることができるため、複数のサービスが正常にバインドされている場合の誤検知を排除できます。

dce_iface オプションは、インスペクタでのコネクション型の DCE/RPC に対するサーバーの Bind Ack 応答と Alter Context 応答だけでなく、クライアントの Bind 要求と Alter Context 要求の追跡が必要です。Bind および Alter Context 要求ごとに、クライアントは、インターフェイスを参照するために DCE/RPC セッション中に使用される各インターフェイス UUID のハンドル（またはコンテキスト ID）とともに、インターフェイス UUID のリストを指定します。サーバー応答は、クライアントが要求を行うことを許可するインターフェイスを示します。これは、特定のインターフェイスにバインドするクライアントの要求を受け入れるか拒否します。この追跡は、要求が処理されるときに、要求で使用されるコンテキスト ID を、それがハンドルであるインターフェイス UUID と関連付けることができるようにするために必要です。

dce_iface ルールオプションは、次の場合に一致します。

• 指定したインターフェイス UUID が DCE/RPC 要求のインターフェイス UUID（コンテキスト ID によって参照される）と一致する

および

• version 引数が指定されていないか、または version 引数が指定されていて、DCE/RPC 要求のインターフェイス UUID と一致する

および

• any_frag 引数が指定されているか、any_frag 引数がなく、dce_iface オプションが最初の要求フラグメントの UUID とバージョン基準に一致する

例：

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, <2;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188,any_frag;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, =1, any_frag;

dce_iface.uuid

DCE/RPC 要求では、UUID 番号がビッグエンディアンまたはリトルエンディアンのどちらで表されるかを指定できます。要求でのインターフェイス UUID の表現は、要求で指定したエンディアンに応じて異なります。dce_rpc インスペクタは UUID を正規化します。つまり、dce_iface ルールオプションの UUID の指定は、要求のエンディアンに関係なく、同じように記述する必要があります。

たとえば、リトルエンディアンのバインド要求は、次のように UUID を表します。

|f8 91 7b 5a 00 ff d0 11 a9 b2 00 c0 4f b6 e6 fc|

ビッグエンディアンのバインド要求は、次のように同じ UUID を表します。

|5a 7b 91 f8 ff 00 11 d0 a9 b2 00 c0 4f b6 e6 fc|

dce_iface オプションを使用する Snort 3 ルールでは、要求のエンディアンに関係なく、ビッグエンディアン順を使用して UUID を文字列で表す必要があります。

5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc

型：文字列

シンタックス：dce_iface: <UUID>;

有効な値： UUID は 32 の 16 進数で、ハイフンで区切られた 5 つの グループ（xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx の形式）で表示されます。

例： dce_iface: 5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc;

dce_iface.version

サービスインターフェイスには、それに関連付けられたバージョンがあります。インターフェイスの一部のバージョンは、特定のエクスプロイトに対して脆弱ではない場合があります。そのため、dce_iface オプションで 1 つ以上のバージョン番号を指定して、特定のエクスプロイトを確認する必要があるかどうかを特定できます。

型：間隔

シンタックス：dce_iface: <range_operator><positive integer>; または dce_iface: <positive integer><range_operator><positive integer>;

有効な値：1 つ以上の一連の正のバージョン番号と、範囲形式の表で指定されている range_operator の1 つ。

例：dce_iface: =6;

dce_iface.any_frag

DCE/RPC 要求は、1 つ以上のフラグメントに分割できます。DCE/RPC ヘッダーにフラグが設定されて現在のフラグメントが要求の最初のフラグメントか、中間のフラグメントか、または最後のフラグメントであるかを示します。DCE/RPC 要求内のデータの確認の多くは、DCE/RPC 要求が最初のフラグメント（または完全な要求）である場合にのみ関連します。これは、後続のフラグメントに DCE/RPC 要求のより深いデータが含まれるためです。たとえば、要求の 5 バイトのデータ（長さフィールドなど）を検索するルールは、最初のフラグメント以外のフラグメントで間違ったデータを検索します。これは、後続のフラグメントの先頭で要求の先頭から一部の長さがすでにオフセットされているためです。これは、フラグメント化された DCE/RPC トラフィックの誤検知の原因となる可能性があります。

そのため、デフォルトでは、DCE_RPC インスペクタは要求の最初のフラグメントのみを照合します。インスペクタが一致の要求内のすべてのフラグメントを調べるようにするには、dce_iface ルールオプションに any_frag を追加します。最適化された DCE/RPC 要求は完全な要求と見なされることに注意してください。

シンタックス：dec_iface: any_frag;

例：dce_iface: any_frag;

dce_opnum

DCE RPC 操作番号、操作番号の範囲、または操作番号のリストと照合します。このオプションは、インターフェイスに対して実行できる 1 つ以上の特定の関数呼び出しを表します。クライアントが特定のサービスインターフェイスにバインドして要求を行った後、ルールは、クライアントがサービスに対して行っている関数呼び出しを特定して、関数呼び出し内に存在する可能性のあるエクスプロイトを確認する必要があります。関数呼び出しは、操作番号（opnums）の二重引用符で囲まれたリストとして指定されます。

型：文字列

シンタックス：dce_opnum: <opnum_list>;

opnum_list は次のいずれかです。

• 単一の整数。

• コンマ区切りの整数のリスト。

• 範囲内の最小数と最大数をハイフンで区切って指定した整数の範囲。

• 上記の組み合わせ。

有効な値：DCE/RPC 要求の opnum のリスト。

例：

dce_opnum: "15";

dce_opnum: "15-18";

dce_opnum: "15, 18-20";

dce_opnum: "15, 17, 20-22";

dce_stub_data

このオプションは、先行するルールオプションに関係なく、DCE/RPC スタブデータの先頭に検出カーソル（ルール処理でパケットペイロードを通過させるために使用）を配置します。このオプションは、DCE/RPC スタブデータが存在する場合に一致します。

シンタックス：dce_stub_data;

例：dce_stub_data;

DNP3 TCP ポートの設定

binder インスペクタは、DNP3 TCP ポートの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
   {
       "when": {
           "role": "any",
           "service": "dnp3"
	   },
       "use": {
           "type": "dnp3"
       }
    }
]

check_crc

DNP3 リンク層フレームに含まれているチェックサムを検証するかどうかを指定します。dnp3 インスペクタは、チェックサムが無効なフレームを無視します。侵入ルール 145:1 が有効になっている場合、Snort は無効なチェックサムに対してアラートを生成します。

型：ブール値

有効な値：true、false

デフォルト値：false

dnp3 インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

dnp3_data

dnp3_data キーワードは、先行するルールのオプションに関係なく、アプリケーション層フラグメント内の DNP3 データの先頭に検出カーソルを配置します。このオプションを使用すると、データを分割して 16 バイトごとに CRC を追加することなく、フラグメント内のデータに基づいてルールを作成できます。

シンタックス：dnp3_data;

例：dnp3_data;

dnp3_func

このオプションは、DNP3 アプリケーション層の要求/応答のヘッダー内の関数コードと照合されます。コードは、以下のリストの 10 進数または文字列です。

型：文字列

シンタックス：dnp3_func: <DNP3_function>;

有効な値：DNP3_function は次のいずれかです。

• 0 ～ 255 の整数

• confirm（機能コード 0 に対応）

• read（機能コード 1 に対応）

• write（機能コード 2 に対応）

• select（機能コード 3 に対応）

• operate（機能コード 4 に対応）

• direct_operate（機能コード 5 に対応）

• direct_operat_nr（機能コード 6 に対応）

• immed_freeze（機能コード 7 に対応）

• immed_freeze_nr（機能コード 8 に対応）

• freeze_clear（機能コード 9 に対応）

• freeze_clear_nr（機能コード 10 に対応）

• freeze_at_time（機能コード 11 に対応）

• freeze_at_time_nr（機能コード 12 に対応）

• cold_restart（機能コード 13 に対応）

• warm_restart（機能コード 14 に対応）

• initialize_data（機能コード 15 に対応）

• initialize_appl（機能コード 16 に対応）

• initialize_appl（機能コード 17 に対応）

• initialize_appl（機能コード 18 に対応）

• save_config（機能コード 19 に対応）

• enable_unsolicited（機能コード 20 に対応）

• save_config（機能コード 21 に対応）

• assign_class（機能コード 22 に対応）

• assign_class（機能コード 23 に対応）

• record_current_time（機能コード 24 に対応）

• open_file（機能コード 25 に対応）

• close_file（機能コード 26 に対応）

• delete_file（機能コード 27 に対応）

• get_file_info（機能コード 28 に対応）

• authenticate_file（機能コード 29 に対応）

• abort_file（機能コード 30 に対応）

• activate_config（機能コード 31 に対応）

• authenticate_req（機能コード 32 に対応）

• authenticate_err（機能コード 33 に対応）

• response（機能コード 129 に対応）

• unsolicited_response（機能コード 130 に対応）

• authenticate_resp（機能コード 131 に対応）

例：

dnp3_func: 1;

dnp3_func: delete_file;

dnp3_ind

DNP3 アプリケーション層の応答ヘッダーの内部インジケータフラグと照合する内部インジケータフラグのリストを表示します。1 つのオプションに複数のフラグを指定すると、いずれかのフラグが設定されている場合にルールが起動します。複数のフラグにアラートを発行するには、複数のルールのオプションを使用します。

型：文字列

シンタックス：dnp3_ind: "<flag> <flag>";

有効な値：1 つ以上の DNP3 内部インジケータフラグ。ここで、flag は次のいずれかです。

• all_stations

• class_1_events

• class_2_events

• class_3_events

• need_time

• local_control

• device_trouble

• device_restart

• no_func_code_support

• object_unknown

• parameter_error

• event_buffer_overflow

• already_executing

• config_corrupt

• reserved_2

• reserved_1

例：

デバイスの再起動時または時刻同期の開始時のアラート：

dnp3_ind:"device_restart need_time";

class_1 イベントと class_2 AND class_3 イベントに関するアラート：

dnp3_ind:class_1_events; dnp3_ind:class_2_events; dnp3_ind:class_3_events;
            

dnp3_obj

DNP3 オブジェクト ヘッダー グループとバリエーションで照合します。

型：整数

構文： dnp3_obj:<groupnum>,<varnum>;

有効な値：DNP3 オブジェクトグループ ID とバリエーション ID。

• groupnum は DNP3 オブジェクトグループ指定する 0 ～ 255 の整数です。

• varnum はオブジェクトグループ内のバリエーションを指定する 0 ～ 255 の整数です。

例：

DNP3 Date and Time オブジェクトのアラート：

dnp3_obj:50,1;

bounce

クライアントが発行した ftp port コマンド内のホスト情報を確認して FTP バウンスを確認するかどうかを指定します。bounce が true に設定されている場合、ftp port コマンド内のホスト情報が設定されたクライアント IP アドレス、またはホスト情報と一致しておらず、ルール 125:8 が有効になっているときは、システムがアラートを生成し、インライン展開で問題のあるパケットをドロップします。これは、FTP バウンス攻撃を防ぎ、FTP データ チャネルの接続先がクライアントとは異なる FTP 接続を許可するために使用できます。

型：ブール値

有効な値：true、false

デフォルト値：false

ignore_telnet_erase_cmds

FTP コマンドチャネルを正規化するときに、消去文字（TNC EAC）と消去行文字（TNC EAL）の Telnet エスケープシーケンスを無視するかどうかを指定します。このパラメータは、FTP クライアントが Telnet 消去コマンドを処理する方法と一致するように設定する必要があります。通常、新しい FTP クライアントはこれらの Telnet エスケープシーケンスを無視しますが、レガシークライアントは通常、それらを処理します。ignore_telnet_erase_cmds パラメータが false の場合、インスペクタはルール 125:1 を使用してアラートを生成し、インライン展開で問題のあるパケットをドロップします。

型：ブール値

有効な値：true、false

デフォルト値：false

max_resp_len

クライアントが受け入れるすべての応答メッセージの最大長をバイト単位で指定します。FTP 応答のメッセージ（3 桁のリターンコードの後のすべて）がその長さを超え、ルール 125:6 が有効になっている場合、システムはアラートを生成し、インライン展開で問題のあるパケットをドロップします。これは、FTP クライアント内のバッファのオーバーフローのエクスプロイトを確認するために使用されます。

型：整数

有効な範囲：0 ～ 4,294,967,295（max32）

デフォルト値：4,294,967,295

telnet_cmds

FTP コマンドチャネルで Telnet コマンドを確認するかどうかを指定します。このようなコマンドがある場合は、FTP コマンドチャネルでの回避試行を示している可能性があります。

このパラメータのイベントを生成し、インライン展開で問題のあるパケットをドロップするには、ルール 125:1 を有効にします。

型：ブール値

有効な値：true、false

デフォルト値：false

ftp_client インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

ftp_client インスペクタには、侵入ルールのオプションはありません。

FTP サーバーポートの設定

binder インスペクタは、FTP サーバーの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
    {
        "when": {
            "role":"any",
            "service":"ftp",
            "ports": ""
        },
        "use": {
            "type":"ftp_server"
        }
    }
]

chk_str_fmt

書式文字列攻撃を確認する FTP コマンドのリストを指定します。ルール 125:5 を有効にしてアラートを生成し、インライン展開で、インスペクタがこの状態を検出したときに問題のあるパケットをドロップすることができます。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：有効な FTP コマンドのリスト。

デフォルト値：なし

data_chan_cmds

正しい書式設定を確認する FTP コマンドのリストを指定します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：PORT PASV LPRT LPSV EPRT EPSV の 1 つ以上のコマンドのリスト。

デフォルト値：なし

data_xfer_cmds

データ転送コマンドのリストを指定します。コマンドの正しい書式設定を確認します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：RETR STOR STOU APPE LIST NLST の 1 つ以上のコマンドのリスト。

デフォルト値：なし

file_put_cmds

PUT コマンドのリストを指定します。コマンドの正しい書式設定を確認します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：STOR STOU APPE の 1 つ以上のコマンドのリスト。

デフォルト値：なし

注意	サポートからの指示がない限り、file_put_cmds パラメータは変更しないでください。

file_get_cmds

GET コマンドのリストを指定します。コマンドの正しい書式設定を確認します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：GET コマンド（RETR など）のリスト。

デフォルト値：なし

注意	サポートからの指示がない限り、file_get_cmds パラメータは変更しないでください。

encr_cmds

セキュア接続に関連するコマンドのリストを指定します。コマンドの正しい書式設定を確認します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：セキュア接続に関連するコマンド（AUTH など）のリスト。

デフォルト値：なし

login_cmds

ログインプロセスに関連するコマンドのリストを指定します。コマンドの正しい書式設定を確認します。複数のコマンドは余白文字で区切ります。

型：文字列

有効な値：USER、PASS など 1 つ以上のコマンドのリストを指定します。

デフォルト値：なし

check_encrypted

暗暗号化されたセッションで暗号化を終了するコマンドを確認するかどうかを指定します。encrypted_traffic パラメータとともに使用します。

このパラメータに対してルール 125:7 を有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

型：ブール値

有効な値：true、false

デフォルト値：false

cmd_validity[]

FTP コマンドの配列と、インスペクタがそれらを検証するために使用する基準。これらの妥当性検査は、ftp_server インスペクタ（RFC 959）によって実行されるデフォルトの検査をオーバーライドします。

イベントを生成し、ライン展開ではこのパラメータの問題のあるパケットをドロップするには、ルール 125:2 と 125:4 を有効にします。

型：配列（オブジェクト）

{
   "cmd_validity": [
       {
           "command": "CWD",
           "format": "abc",
           "length": 250
       }
   ]
}

cmd_validity[].command

検証する FTP コマンドの名前を指定します。

型：文字列

有効な値：二重引用符で囲まれた有効な FTP コマンド。

デフォルト値：なし

cmd_validity[].format

cmd_validity[].command の有効な形式について説明します。

型：文字列

有効な値："fmt"。ここで、fmt は次の規則を使用します。

• int：このパラメータは整数にする必要があります。

• number：このパラメータは 1 ～ 255 の整数にする必要があります。

• char chars：このパラメータは chars の 1 文字にする必要があり、1 文字以上のリストには文字間に区切り文字は使用しません。

• date datefmt：このパラメータは指定した形式に従います。datefmt は次の要素を使用して構成します。

  • # = 数字

  • C = 文字

  • [] = オプションの形式を囲みます

  • | = または

  • {} = 囲まれた形式の選択

  • .+- リテラル文字

• string：このパラメータは制限のない文字列です。

• host_port：このパラメータは、RFC 959 に従って、ホストポートの指定子にする必要があります。

• long_host_port：このパラメータは、RFC 1639 に従って、ホストポートの長い指定子にする必要があります。

• extended_host_port：このパラメータは、RFC 2428 に従い、拡張ホストポート指定子にする必要があります。

• {},|：このパラメータは、中括弧で囲まれ、| で区切られた選択肢の 1 つにする必要があります。

• {}, []：このパラメータは、中括弧で囲まれた選択肢の 1 つにする必要があります。オプションの値は角括弧で囲みます。

デフォルト値：なし

cmd_validity[].length

cmd_validity[].command パラメータの最大長をバイト単位で指定し、def_max_param_len で定義されているデフォルト値をオーバーライドします。FTP コマンドのパラメータが cmd_validity[].length を超え、ルール 125:3 が有効になっている場合、Snort はアラートを生成します。cmd_validity[].length を使用して、特定のコマンドを小さなパラメータ値に制限します。

長さに制限がないことを示すには、0 を指定します。

型：整数

有効な範囲：0 ～ 4,294,967,295（max32）

デフォルト値：0

def_max_param_len

サーバーが処理するすべての FTP コマンドに対してインスペクタが許可するデフォルトの最大長をバイト単位で指定します。基本的なバッファオーバーフロー検出には def_max_param_len を使用します。（これは、cmd_validity[].length を使用すると個々のコマンドでオーバーライドすることができます。）このパラメータに対してルール 125:3 を有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

長さに制限がないことを示すには、0 を指定します。

型：整数

有効な範囲：0 ～ 4,294,967,295（max32）

デフォルト値：100

encrypted_traffic

暗号化された FTP トラフィックを確認するかどうかを指定します。check_encrypted パラメータとともに使用します。このパラメータに対してルール 125:7 を有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

型：ブール値

有効な値：true、false

デフォルト値：false

ftp_cmds

RFC 959 で説明されている FTP コマンド以外にサーバーがサポートする FTP コマンドのリスト。（たとえば、インストールで RFC 775 で指定されている「X」コマンドを使用している場合は、このパラメータを使用してそれらをインスペクタに追加できます。）

型：文字列

有効な値：二重引用符で囲まれ、スペースで区切られた有効な FTP コマンドのリスト。

デフォルト値：なし

ignore_data_chan

FTP データ チャネルを無視するかどうかを指定します。

型：ブール値

有効な値：true、false

デフォルト値：false

ignore_telnet_erase_cmds

FTP コマンドチャネルを正規化するときに、消去文字（TNC EAC）と消去行文字（TNC EAL）の Telnet エスケープシーケンスを無視するかどうかを指定します。ignore_telnet_erase_cmds を設定して、FTP サーバーが Telnet 消去コマンドを処理する方法を照合します。通常、新しい FTP クライアントはこれらの Telnet エスケープシーケンスを無視しますが、レガシークライアントは通常、それらを処理します。

telnet 消去コマンドが無視されず、ルール 125:1 が有効になっている場合、Snort はイベントを生成し、インライン展開では問題のあるパケットをドロップします。

型：ブール値

有効な値：true、false

デフォルト値：false

print_cmds

初期化時にこのサーバーの各 FTP コマンドの設定を出力するかどうかを指定します。

型：ブール値

有効な値：true、false

デフォルト値：false

telnet_cmds

FTP コマンドチャネルで Telnet コマンドを確認するかどうかを指定します。このようなコマンドがある場合は、FTP コマンドチャネルでの回避試行を示している可能性があります。

型：ブール値

有効な値：true、false

デフォルト値：false

ftp_server インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

ftp_server インスペクタには侵入ルールのオプションはありません。

GTP 検査サービスの設定

binder インスペクタは、GTP 検査サービスの設定を定義します。詳細については、『バインダインスペクタ』を参照してください。

[
   {
       "when": {
           "service": "gtp_inspect",
           "role": any
       },
       "use": {
           "type": "gtp_inspect"
       }
   },
   {
       "when": {
           "proto": "tcp",
           "role": "server",
           "ports": "2123 2152 3386"
       },
       "use": {
           "type": "gtp_inspect"
       }
   }
]

version

正当な GTP バージョンを指定します。

型：整数

有効な値：0、1、2

デフォルト値：2

messages[]

有効な GTP メッセージに関する情報の配列を指定します。

型：配列（オブジェクト）

{
    messages: [
        {
            "type": 0,
            "name": ""
        }
    ]
}

messages[].type

有効な GTP メッセージタイプを指定します。表 1を参照してください。

型：整数

有効な範囲：0 ～ 255

デフォルト値：なし

messages[].name

有効な GTP メッセージ名を指定します。表 1を参照してください。

型：文字列

有効な値：有効な GTP メッセージ名

デフォルト値：なし

infos[]

GTP 情報要素の配列を指定します。

型：配列（オブジェクト）

{
    infos: [
        {
            "type": 0,
            "name": "echo_request",
            "length": 0
        }
    ]
}

infos[].type

有効な GTP 要素タイプコードを指定します。表 2を参照してください。

型：整数

有効な範囲：0 ～ 255

デフォルト値：0

infos[].name

有効な GTP 要素名を指定します。

型：文字列

有効な値：二重引用符で囲まれた有効な GTP 情報要素名。表 2を参照してください。

infos[].length

有効な GTP 情報要素の長さを指定します。

型：整数

有効な範囲：0 ～ 255

デフォルト値：0

gtp_inspect インスペクタのルールを有効にし、イベントを生成し、インライン展開では、違反パケットをドロップします。

gtp_inspect インスペクタの侵入ルールのオプションを使用すると、GTP コマンドチャネルの GTP バージョン、メッセージタイプ、および情報要素を検査できます。

GTP オプションは、content または byte_jump と組み合わせて使用することはできません。gtp_info または gtp_type を使用するルールそれぞれで gtp_version を使用する必要があります。

gtp_version

指定した GTP バージョンを GTP 制御メッセージのバージョンと照合します。

型：整数

シンタックス：gtp_info: <version>;

有効な値：0、1、2

例：gtp_version: 1;

gtp_type

それぞれの GTP メッセージは、数値と文字列で構成されるメッセージ タイプによって識別されます。指定した GTP タイプを GTP メッセージのタイプと照合します。

次の例に示すように、メッセージ タイプとして定義済みの 10 進数値、定義済み文字列、あるいはどちらか（または両方）を任意に組み合わたカンマ区切りリストを指定できます。

型：文字列

シンタックス：gtp_type: <message_type>;

有効な値：GTP メッセージタイプの表に示します。

例：gtp_type: "10, 11, echo_request";

リスト内のそれぞれの値または文字列を照合するとき、システムは OR 演算を使用します。値と文字列を列挙する順序は重要ではありません。リスト内のいずれか 1 つの値または文字列の一致により、キーワードが一致します。認識されない文字列または範囲外の値を含むルールを保存しようとすると、エラーが生成されます。

GTP バージョンに応じて、同じメッセージタイプの値が異なる場合があります。たとえば sgsn_context_request メッセージタイプの値は GTPv0 と GTPv1 では 50 ですが、GTPv2 では 130 です。

パケット内のバージョン番号に応じて、gtp_type オプションは異なる値と一致します。たとえば、sgsn_context_request メッセージは GTPv0 パケットまたは GTPv1 パケットでは値 50 と一致し、GTPv2 パケットでは値 130 と一致します。パケット内のメッセージタイプの値が、パケットで指定されたバージョンの既知の値でない場合は、オプションはパケットと一致しません。

メッセージタイプに整数を指定した場合、パケット内に指定されたバージョンとは無関係に、メッセージタイプが GTP パケット内の値と一致すればオプションは一致します。

gtp_message_type は、GTP メッセージタイプ の表の数値またはキーワードです。

次の表に、GTP メッセージタイプそれぞれの定義済みの値と文字列を示します。

gtp_info

1 つの GTP メッセージには多数の情報要素が含まれることがあり、それぞれの要素は定義済み数値および定義済み文字列によって識別されます。gtp_info オプションを使用すると、指定した情報要素の先頭から検査を開始し、その情報要素に検査を限定することができます。

情報要素に対して定義された 10 進数値と定義された文字列のどちらでも指定できます。単一の値または文字列を指定することも、1 つのルール内で複数の gtp_info オプションを使って複数の情報要素を検査することもできます。

1 つのメッセージに同じタイプの複数の情報要素が含まれている場合は、すべてが照合対象として検査されます。情報要素が無効な順序で出現する場合は、最後のインスタンスだけが検査されます。

バージョンに応じて、GTP メッセージは同じ情報要素に対して異なる値を使用できます。たとえば cause 情報要素の値は GTPv0 と GTPv1 では 1 ですが、GTPv2 では 2 です。

パケット内のバージョン番号に応じて、gtp_info オプションは異なる値と一致します。上記の例の場合、GTPv0 または GTPv1 パケットではキーワードが情報要素値 1 と一致しますが、GTPv2 パケットでは値 2 と一致します。パケット内の情報要素値が、パケットで指定されたバージョンの既知の値でない場合は、オプションがパケットと一致しません。

情報要素に整数を指定した場合、パケット内に指定されたバージョンとは無関係に、メッセージタイプが GTP パケット内の値と一致すればオプションが一致します。

型：文字列

シンタックス：gtp_info: <identifier>;

有効な値：GTP 情報要素の表に示します。

例： gtp_info: "qos";

次の表に、GTP バージョンそれぞれの情報要素識別子を示します。