传输控制协议 (TCP) 是一种面向连接的状态传输层协议。TCP 能够通过 IP 网络在客户端和服务器之间可靠地传输有序的字节流。TCP 一次仅允许存在一个具有相同连接参数值的连接。主机操作系统管理 TCP 连接的状态。

stream_tcp 检查器提供 TCP 流跟踪、数据流规范化和数据流重组。每个流 TCP 检查器都可以处理网络中的一个或多个主机的 TCP 流量。此外，如果您有足够的有关向您的网络发送 TCP 流量的主机的信息，则可以为这些主机配置 stream_tcp 检查器。

在网络分析策略 (NAP) 中，Snort 将每个配置的 stream_tcp 检查器应用于 绑定程序 检查器配置中定义的 TCP 服务。

您可以配置多个流 TCP 检查器来处理各种操作系统和 TCP 流量。

stream_tcp 检查器配置包括：

• TCP 主机上的操作系统

• 操作系统选项：在重组期间如何处理重叠

• 流量处理选项：会话或方向中的最大字节数或分段数

• TCP 数据流重组选项：重组的最大 PDU 大小

注	在内联 IPS 模式下， stream_tcp 检查器会规范化负载流，以便始终将重叠解析为所见的第一个副本。每个流 TCP 检查器处理重复的 SYN、RST 验证和时间戳检查。

在配置 stream_tcp 检查器时，请考虑以下最佳实践：

• 不要在设备上部署感应接口，以便 Snort 只能检查流量的一端。您可以启用 stream_tcp 检查器中的 reassembly_async 参数以处理非对称流量。但是，流 TCP 检查器不能在所有情况下处理非对称流量。例如，对 HTTP HEAD 请求的响应可能会导致 HTTP 检查器不同步。在 IDS 模式下，由于缺少 TCP 确认，因此更容易规避。

  对于 IPS 模式，我们建议您仅在 Snort 可以检查流量两端时才部署 设备。

• 为您希望发送或接收 TCP 流量的每个 TCP 主机操作系统创建一个 stream_tcp 检查器。您可以在同一网络分析策略中使用多个版本的 stream_tcp 检查器。每个 stream_tcp 检查器中定义的 TCP 策略都会应用于 绑定程序 检查器中指定的 TCP 主机。

• 要启用 IPS 模式，请将 规范器 检查器中的 normalizer.tcp.ips 参数设置为 true。

• 在网络分析策略 (NAP) 的高级设置中，确认要在自定义的基于目标的 stream_tcp 检查器中标识的网络是否匹配或是其父 NAP 处理的网络、区域和 VLAN 的子集。

• 系统会为每个枝叶域构建单独的网络映射。在多域部署中，使用文字 IP 地址限制此配置可能会出现意外结果。 通过使用支持覆盖的对象，后代域管理员可为其本地环境自定义全局配置。

• 要 生成事件并在内联部署中丢弃攻击性数据包，启用 stream_tcp 检查器规则 (GID 129)。

stream_tcp 检查器收集和重组属于 TCP 会话的服务器到客户端通信数据流和/或客户端到服务器通信数据流的一部分的所有数据包。TCP 流重新组装允许 Snort 将流作为一个单独的、重新组装的实体、一个协议数据单元（PDU）来检查，而不是只检查作为给定流一部分的单个数据包。如果 PDU 很大，规则引擎会将其拆分为多个部分。

数据流重组允许 Snort 识别基于数据流的攻击，在检查个别数据包时它可能无法检测此类攻击。您可以根据网络需要指定要重新组装的通信流。例如，在监控网络服务器上的流量时，您可能只希望检查客户端流量，因为您不太可能从自己的网络服务器接收到恶意流量。

对于每个 stream_tcp 检查器，您可以在 绑定程序 配置中指定 TCP 端口列表。TCP 数据流检查器会自动且透明地包含已配置的端口，以识别和重组流量。启用自适应文件更新后，您可以列出用于识别要重组的流量的服务（以替代端口或端口组合的形式）。

在以下 Snort 检查器的 绑定程序 配置中指定 TCP 端口：

• dnp3

• ftp_server

• gtp_inspect （默认提供端口）

• http_inspect

• imap

• iec104 （默认情况下提供端口）

• mms （默认情况下提供的端口）

• Modbus （默认提供端口）

• 弹出

• sip

• smtp

• ssh

• ssl

• telnet

注	重组多种流量类型（客户端、服务器或两者）时，Snort 资源需求可能会增加。