Transmission Control Protocol（TCP）は、コネクション型のステートフルなトランスポート層プロトコルです。TCP は、クライアントとサーバー間で IP ネットワークを介して順序付けされたバイトストリームを確実に送信できます。TCP では、接続パラメータ値が同じ接続は、一度に 1 つしか存在できません。ホストのオペレーティングシステムは、TCP 接続の状態を管理します。

stream_tcp インスペクタは、TCP フロートラッキング、ストリームの正規化、およびストリームのリアセンブルを実行します。各ストリーム TCP インスペクタが、ネットワーク内の 1 つ以上のホストの TCP トラフィックを処理できます。さらに、TCP トラフィックをネットワークに送信しているホストに関する十分な情報がある場合は、それらのホストに対して stream_tcp インスペクタを設定できます。

ネットワーク分析ポリシー（NAP）では、Snort は設定した stream_tcp インスペクタそれぞれを、binder インスペクタの設定で定義されている TCP サービスに適用します。

複数のストリーム TCP インスペクタを設定して、さまざまなオペレーティングシステムと TCP トラフィックを処理できます。

stream_tcp インスペクター構成には、次のものが含まれます。

• TCP ホストのオペレーティング システム

• オペレーティングシステムのオプション：リアセンブル時の重複の処理方法

• トラフィック処理のオプション：セッションまたは方向のバイトまたはセグメントの最大数

• TCP ストリームリアセンブルのオプション：リアセンブルされた PDU の最大サイズ

（注）	インライン IPS モードでは、stream_tcp インスペクタはペイロードストリームを正規化し、重複が常に最初に見つかったコピーに解決されるようにします。各ストリーム TCP インスペクタは、繰り返される SYN、RST 検証、およびタイムスタンプチェックを処理します。

stream_tcp インスペクタをリアセンブルするときは、次のベストプラクティスを考慮してください。

• Snort がフローの片側だけを検査できるように、デバイスにセンシングインターフェイスを展開しないでください。stream_tcp インスペクタで reassemble_async パラメータを有効にして、非対称トラフィックを処理できます。ただし、ストリーム TCP インスペクタは、すべての場合で非対称トラフィックを処理できるわけではありません。たとえば、HTTP HEAD 要求への応答により、HTTP インスペクタが同期しなくなる可能性があります。IDS モードでは、TCP 確認応答がないため、回避がはるかに簡単になります。

  IPS モードの場合、Snort がフローの両側を検査できる場合にのみデバイスを展開することをお勧めします。

• TCP トラフィックを送受信する予定の TCP ホストのオペレーティングシステムごとに stream_tcp インスペクタを作成します。同じネットワーク分析ポリシーに複数のバージョンの stream_tcp インスペクタを含めることができます。各 stream_tcp インスペクタで定義された TCP ポリシーは、binder インスペクタで指定された TCP ホストに適用されます。

• IPS モードを有効にするには、normalizer インスペクタの normalizer.tcp.ips パラメータを true に設定します。

• ネットワーク分析ポリシー（NAP）の詳細設定では、カスタムターゲットベースの stream_tcp インスペクタで識別するネットワークが親 NAP で処理されるネットワーク、ゾーン、および VLAN のサブネットと一致するか、またはサブネットであることを確認します。

• システムは、各リーフドメインに個別のネットワークマップを作成します。マルチドメイン展開では、実際の IP アドレスを使用してこの設定を抑制すると、予期しない結果になる可能性があります。 上書き対応オブジェクトを使用すると、子孫ドメインの管理者は、グローバル コンフィギュレーションを自分のローカル環境に調整できます。

• イベントを生成し、インライン展開では、違反パケットをドロップします。 には、stream_tcp インスペクタのルール（GID 129）を有効にします。

stream_tcp インスペクタは、TCP セッションでのサーバーからクライアントへの通信ストリーム、クライアントからサーバーへの通信ストリーム、またはその両方の通信ストリームに含まれるすべてのパケットを収集してリアセンブルします。TCP ストリームアセンブリでは、Snort は特定のストリームに含まれる個々のパケットだけを検査するのではなく、リアセンブルされた単一のエンティティ（プロトコルデータユニット（PDU））としてストリームを検査できます。PDU が大きい場合、ルールエンジンはその PDU をいくつかの部分に分割します。

ストリームのリアセンブルにより、Snort は、個々のパケットを検査する場合には検出できない可能性のあるストリームベースの攻撃を識別できます。リアセンブルする通信ストリームはネットワークの必要に基づいて指定できます。たとえば、Web サーバー上のトラフィックをモニタする際に、独自の Web サーバーから不正なトラフィックを受信する可能性が低いため、クライアントトラフィックだけを検査するという場合もあります。

stream_tcp インスペクタごとに、binder の設定で TCP ポートのリストを指定できます。TCP ストリームインスペクタは、トラフィックを識別してリアセンブルするように設定されたポートを自動的かつ透過的に組み込みます。適応型プロファイルの更新が有効になっている場合、リアセンブルするトラフィックを識別するサービスを、ポートの代わりとして、あるいはポートと組み合わせてリストすることもできます。

次の Snort インスペクタの binder の設定で TCP ポートを指定します。

• dnp3

• ftp_server

• gtp_inspect（デフォルトで提供されるポート）

• http_inspect

• imap

• iec104（デフォルトで提供されるポート）

• mms（デフォルトで提供されるポート）

• modbus（デフォルトで提供されるポート）

• pop

• sip

• smtp

• ssh

• ssl

• telnet

（注）	複数のトラフィックタイプ（クライアント、サーバー、両方）をリアセンブルすると、Snort のリソースの需要が増加する可能性があります。