示例

例如，如果要配置 NAP 以检查 CIP 流量：

• 在 NAP 的 绑定程序 检查器中，使用要检查的流量的正确端口、角色和协议信息更新 "type":"cip" 部分。

• 在 cip 检查器中查看同一 NAP 的默认值，并进行检查所需的任何调整以检查 CIP 流量。

以下是 cip 配置和绑定的示例。此示例使用 绑定程序检查器参数中所述的选项。

     {
        "use": {
          "type":"cip"
        },
        "when": {
          "proto":"udp",
          "ports":"22222 33333",
          "role":"server"
        }
      },
      {
        "use": {
          "type":"cip"
        },
        "when": {
          "role":"server",
          "ports":"44818",
          "proto":"tcp"
        }
      },

自动检测和绑定程序配置

绑定程序 检查器按从上到下的顺序匹配入侵规则，并应用第一条规则来匹配流量。如果尚未为流中检测到的服务配置 绑定程序 检查器，则自动检测向导仍可以将流绑定到相关检查器。例如：

• 如果负载是 GET ，并且自动检测向导将流量类型识别为 HTTP，则 绑定程序 检查器会将 HTTP 检查器绑定到该流。

• 如果无法识别流量类型，规则引擎将执行非特定于协议的检测。

如果端口配置不正确， 绑定程序 检查器无法自动检测该流的服务，也无法向其绑定检查器。例如，如果将端口 88 配置为绑定程序中的 HTTP 端口，则 绑定程序 检查器会将 HTTP 检查器绑定到该端口上的任意数据流。但是，如果流不是 HTTP，则规则引擎不会将其作为 HTTP 进行检查。相反，侦查和检测将超时。

自动检测以及网络分析策略中检查器的启用或禁用

自动检测的行为会发生变化，具体取决于在网络分析策略中启用还是禁用目标检查器。如果在网络分析策略中启用了目标检查器，则自动检测将按预期工作。

如果在网络分析策略中禁用目标检查器，通常情况下，自动检测仍会将流检查器（例如流 TCP 或流 UDP）绑定到流。但是，规则引擎不执行服务检测或检测。对于 TCP 流，流 TCP 检查器会执行重组。

需要端口配置的检查器

由于自动检测不适用于相关协议，因此在绑定程序检查器中为以下检查器配置端口：

• cip

• gtp_inspect

• iec104

• modbus

• s7commplus

不需要端口配置的检查器

请勿在绑定程序检查器中为以下检查器配置端口，因为自动检测对相关协议有效：

• arp_spoof

• dce_smb

• dce_tcp

• dnp3

• ftp_client

• ftp_server

• http_inspect

• imap

• normalizer

• 弹出

• port_scan

• sip

• smtp

• ssh

• stream_icmp

• stream_ip

• stream_tcp

• stream_udp

• telnet