DCE TCP 端口配置

绑定程序 检查器定义 DCE TCP 端口配置。有关详细信息，请参阅绑定程序检查器概述。

[
   {
        "when": {
            "role": "any",
            "proto": "tcp",
            "service": "dcerpc",
            "ports": ""
        },
        "use": {
            "type": "dce_tcp"
        }
    }
]

max_frag_len

指定分片重组允许的最大分片长度（以字节为单位）。为了处理较大的分片，检查器会在进行分片重组之前将数据包内容视为指定的大小。

注	在此参数中指定的值必须大于或等于规则检查数据所需的深度以确保 检测到。要确保所有数据都通过检测，请使用默认值。

类型： 整数

有效范围： 1514 至 65535

默认值： 65535

disable_defrag

指定是否对 DCE/RPC 流量进行分片重组。当此参数为 true时，检查器仍会检测异常并向规则引擎发送 DCE/RPC 数据，但可能会检测不出分片 DCE/RPC 数据中的漏洞。

尽管此参数提供了不对流量进行碎片整理的灵活性，并且可以加快处理速度，但大多数 DCE/RPC 漏洞都试图利用碎片来隐藏漏洞。启用此参数将会忽略大多数已知漏洞，从而造成大量误报。

类型： boolean

有效值：true、 false

默认值：false

limit_alerts

指定是否将 DCE 警报限制为每个签名每个流最多一个。

类型： boolean

有效值：true、 false

默认值： true

reassemble_threshold

指定将重组的数据包发送到规则引擎之前，DCE/RPC 取消分片和分片重组缓冲区中待排队的最小字节数。此参数在内联模式下非常有用，因为它可以在内联模式下检测到潜在的漏洞攻击，可以在完整的分片重组完成之前提前捕获漏洞。

值越小，实现早期检测的可能性越高，但可能会对性能造成负面影响。如果启用此参数，应当测试性能所受的影响。

值 0 将禁用重组。

类型： 整数

有效范围： 0 至 65535

默认值：0

策略

指定目标主机或受监控网段上主机使用的 Windows 或 Samba DCE/RPC 应用。

类型： enum

有效值： 从以下列表中选择的字符串： Win2000、 WinXP、 WinVista、 Win2003、 Win2008、 Win7、 Smb、 Smb-3.0.37、 Sack-3.0.22、 Smb-3.0.20

默认值： WinXP

启用 dce_tcp 检查器规则，以 生成事件并在内联部署中丢弃攻击性数据包。

dce_iface

指定以下以逗号分隔的元素：

• 服务接口的 UUID。

• 接口版本（可选）。默认设置会与任何版本匹配。

• 规则是否应匹配请求中的任何分段的指示符（可选）。默认设置仅匹配第一个分段。

在 DCE/RPC 协议中，客户端调用某个服务之前必须先绑定该服务。当客户端向 服务器发送绑定请求时，它可以指定要绑定的一个或多个服务接口。每个接口均由一个 UUID 表示，并且每个接口 UUID 都与一个唯一索引（或情景 ID）配对，将来的请求可用于引用客户端调用的服务。服务器使用其接受为有效的接口 UUID 进行响应，并允许客户端向这些服务发出请求。当客户端发出请求时，它将指定情景 ID，以便服务器知道客户端向哪个服务发出请求。

使用 dce_iface 规则选项，规则可以询问检查器客户端是否已绑定到特定接口 UUID，以及此客户端请求是否向该接口发出请求。这可以消除多个服务成功绑定到 的误报，因为检查器可以将绑定 UUID 与请求中使用的情景 id 相关联。

dce_iface 选项需要在检查器中跟踪面向连接的 DCE/RPC 的客户端绑定和修改情景请求以及服务器绑定确认和修改情景响应。对于每个“绑定和修改情景”请求，客户端指定一个接口 UUID 列表以及将在 DCE/RPC 会话期间用于引用接口的每个接口 UUID 的句柄（或情景 ID）。服务器响应指示它允许客户端向哪些接口发出请求 — 它要么接受或拒绝客户端绑定到特定接口的希望。此跟踪是必需的，以便在处理请求时，可以将请求中使用的情景 ID 与其作为句柄的接口 UUID 相关联。

在以下条件下， dce_iface 规则选项匹配：

• 指定的接口 UUID 与 DCE/RPC 请求的接口 UUID（通过情景 ID 引用）相匹配

且

• 未提供 版本 参数，或提供了 版本 参数且该参数与 DCE/RPC 请求的接口 UUID 匹配

且

• 提供了 any_frag 参数，或者不存在 any_frag 参数并且 dce_iface 选项与初始请求分片中的 UUID 和版本条件匹配

示例：

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, <2;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188,any_frag;

dce_iface:4b324fc8-1670-01d3-1278-5a47bf6ee188, =1, any_frag;

dce_iface.uuid

DCE/RPC 请求可以指定 UUID 编号是以大端字节还是小端字节表示。接口 UUID 在请求中的表示形式根据请求中指定的字节顺序而不同。 dce_rpc 检查器会对 UUID 进行规范化。这意味着 dce_iface 规则选项中的 UUID 规范必须以相同的方式写入，而无论请求的字节顺序如何。

例如，小端字节绑定请求将表示如下 UUID：

|f8 91 7b 5a 00 ff d0 11 a9 b2 00 c0 4f b6 e6 fc|

高字节在前绑定请求将表示相同的 UUID，如下所示：

|5a 7b 91 f8 ff 00 11 d0 a9 b2 00 c0 4f b6 e6 fc|

在使用 dce_iface 选项的 Snort 3 规则中，无论请求的字节序如何，UUID 必须使用大端字节顺序在字符串中表示：

5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc

类型： 字符串

语法： dce_iface: <UUID>;

有效值： 其中： UUID 是 32 个十六进制数字，以连字符分隔五组，显示格式为： xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

示例： dce_iface:5a7b91f8-ff00-11d0-a9b2-00c04fb6e6fc;

dce_iface.version

服务接口具有与其关联的版本。某些接口版本可能不容易受到某些漏洞攻击。为此，您可以在 dce_iface 选项中指定一个或多个版本号，以确定是否需要检查特定攻击程序。

类型： 间隔

语法： dce_iface: <range_operator><positive integer>; or dce_iface: <positive integer><range_operator><positive integer>;

有效值：范围格式表 中指定的一个或多个正版本号和 range_operator的集合。

示例： dce_iface:=6;

dce_iface.any_frag

可以将 DCE/RPC 请求分为一个或多个分段。在 DCE/RPC 信头中设置标志以指示当前分段是请求的第一个分段、中间分段还是最后一个分段。仅当 DCE/RPC 请求是第一分段（或完整请求）时，对 DCE/RPC 请求中数据的许多检查才具有相关性。因此，第一个分段之后的分段包含 DCE/RPC 请求更深层次的数据。例如，在请求的前五个字节（例如，长度字段）中查找数据的规则会在除第一个字节之外的分段上找到错误的数据。后续分段的开头距离请求的开头偏移一段长度。这可能是分段 DCE/RPC 流量中误报的一个来源。

因此，默认情况下，DCE_RPC 检查器仅匹配请求中的初始分片。要强制检查器检查匹配请求中的所有分片，请将 any_frag 添加到 dce_iface 规则选项。请注意，已进行分片重组的 DCE/RPC 请求被视为完整请求。

语法： dec_iface: any_frag;

示例： dce_iface: any_frag;

dce_opnum

匹配 DCE RPC 操作编号、操作编号范围或操作编号列表。此选项表示可对接口进行的一个或多个特定函数调用。客户端绑定到特定服务接口并向其发出请求后，规则需要确定客户端对服务进行的函数调用，以检查是否存在可能存在于函数调用中的漏洞。函数调用被指定为用双引号括起来的操作编号 (opnums) 列表

类型： 字符串

语法： dce_opnum: <opnum_list>;

其中， opnum_list 是下列各项之一：

• 单个整数。

• 以逗号分隔的整数列表。

• 指定的整数范围，用连字符分隔范围内的最小和最大数字。

• 以上各项的任意。

有效值： DCE/RPC 请求 opnum 的列表。

示例：

dce_opnum: "15";

dce_opnum: "15-18";

dce_opnum: "15, 18-20";

dce_opnum: "15, 17, 20-22";

dce_stub_data

此选项将检测光标（用于在规则处理中遍历数据包负载）放在 DCE/RPC 末节数据的开头，不考虑前面的规则选项。如果存在 DCE/RPC 末节数据，则此选项匹配。

语法： dce_stub_data;

示例： dce_stub_data;