如果您的网络中没有开启的 S7CommPlus 设备，请不要在应用于流量的网络分析策略中开启 S7CommPlus 巡检器。

S7CommPlus TCP 端口配置

绑定程序 检查器定义 S7CommPlus TCP 端口配置。有关详细信息，请参阅绑定程序检查器概述。

[
    {
        "when": {
            "role": "server",
            "proto": "tcp",
            "ports": "102"
        },
        "use": {
            "type": "s7commplus"
        }
    },
    {
        "when": {
            "role": "any",
            "service": "s7commplus"
        },
        "use": {
            "type": "s7commplus"
        }
    }
]

注	s7commplus 检查器不提供任何参数。

启用 s7commplus 检查器规则以 生成事件并在内联部署中丢弃攻击性数据包。

可以单独使用 S7Commplus 关键字或组合来创建自定义入侵规则，这些规则根据 S7Commplus 检查器检测的流量识别攻击。对于可配置的关键字，指定在允许的范围内的单个已知值或单个整数。

请注意以下提示：

• 同一规则中的多个 S7commplus 关键字都使用 AND 运算。

• 在同一规则中使用多个 s7commplus_func 或 s7commplus_opcode 关键字会否定该规则。被否定的规则无法匹配流量。要使用这些关键字搜索多个值，请创建多个规则。

s7commplus_content

使用 s7commplus_content 关键字将光标定位到 S7CommPlus 数据包负载的开头。我们建议您在 S7CommPlus 入侵规则中使用 content 或 protected_content 关键字之前设置此关键字。

语法： s7commplus_content;

示例： s7commplus_content;

s7commplus_func

使用 s7commplus_func 关键字匹配 S7Commplus 信头中的以下值之一。可以指定 S7CommPlus 参数名称或相应的十六进制代码。

类型： 字符串

语法： s7commplus_fuc:<header_parameter>;

有效值：

示例： s7commplus_fuc: createobject;

s7commplus_opcode

使用 s7commplus_opcode 关键字匹配 S7Commplus 信头中的以下值之一。可以指定 S7CommPlus 参数名称或相应的十六进制代码。

类型： 字符串

语法： s7commplus_opcode:<header_parameter>

有效值：

示例： s7commplus_opcode:0x31;