Работа с исключениями из правил обнаружения вторжений

Пользователи с ролью Старший сотрудник службы безопасности могут добавлять правила обнаружения вторжений "Лаборатории Касперского" в исключения из проверки. Kaspersky Anti Targeted Attack Platform не будет создавать алерты при проверке по правилам обнаружения вторжений, добавленным в исключения.

Вы можете добавить в исключения только правила обнаружения вторжений "Лаборатории Касперского". Если вы не хотите применять при проверке пользовательское правило обнаружения вторжений, вы можете отключить это правило или удалить его.

Если вы хотите настроить точечное исключение, например, для выбранного адреса источника, вы можете выполнить следующие действия:

Откройте детали алерта IDS, для которого вы хотите создать точечное исключение.
Скопируйте данные IDS-алерта в формате Suricata и сохраните их любым удобным для вас способом.
Добавьте правило обнаружения вторжений "Лаборатории Касперского", по которому был создан алерт, в исключения из проверки.
Добавьте в список пользовательских правил обнаружения вторжений новое правило, созданное на основе характеристик исключенного правила "Лаборатории Касперского", одним из следующих способов:
- Если в системе уже есть пользовательские правила обнаружения вторжений, вам нужно экспортировать файл с правилами и дописать в этот файл новое правило с уточняющими условиями, используя синтаксис Suricata. Пример составления пользовательских правил обнаружения вторжений см. ниже.
- Если в системе пока нет пользовательских правил обнаружения вторжений, вам нужно создать текстовый файл и добавить в него правило с уточняющими условиями, используя синтаксис Suricata. Пример составления пользовательских правил обнаружения вторжений см. ниже.
Импортируйте файл с добавленным правилом.

Не рекомендуется использовать приведенный выше способ создания точечных исключений на регулярной основе, так как большое количество пользовательских правил обнаружения вторжений при ненадлежащем контроле может снизить уровень защиты локальной сети организации. Настоятельно рекомендуется отслеживать результаты работы созданных исключений. Также настоятельно рекомендуется проверить работу пользовательских правил в тестовой среде перед импортом. Пользовательские правила обнаружения вторжений могут вызвать проблемы производительности, в случае которых стабильная работа Kaspersky Anti Targeted Attack Platform не гарантируется.

Пользователи с ролью Аудитор могут просматривать список правил обнаружения вторжений, добавленных в исключения, и свойства выбранного правила.

Пользователям с ролью Сотрудник службы безопасности список правил обнаружения вторжений, добавленных в исключения, недоступен.

Примеры составления пользовательских правил обнаружения вторжений на основе характеристик исключенного правила "Лаборатории Касперского"

Чтобы в IDS-алерте не отображался один или несколько адресов источников и/или адресов назначения, вы можете воспользоваться оператором ! (NOT).

Пример:

Для IDS-алерта с данными:

header: alert ip any any -> any any.
flow: established.
content: example.
sid: 10000000.

Вы можете создать следующие пользовательские правила обнаружения вторжений с точечными исключениями:

alert ip !10.10.0.22 any -> any any (msg:"Example"; flow:established; content:"example"; sid:1000001;)
Правило сработает для всех источников, кроме IP-адреса 10.10.0.22, если установлено соединение (flow:established) и если в полезной нагрузке (payload) имеется строка "example".
alert ip ![10.10.0.22,10.10.0.23] any -> any any (msg:"Example"; flow:established; content:"example"; sid:1000002;)
Правило сработает для всех источников, кроме IP-адресов 10.10.0.22 и 10.10.0.23, если установлено соединение (flow:established) и если в полезной нагрузке (payload) имеется строка "example".
alert ip any any -> ![10.10.0.22,10.10.0.23] any (msg:"Example"; flow:established; content:"example"; sid:1000003;)
Правило сработает для всех получателей, кроме IP-адресов 10.10.0.22 и 10.10.0.23, если установлено соединение (flow:established) и если в полезной нагрузке (payload) имеется строка "example".
alert ip any any -> ![10.10.0.22,10.10.0.23] ![8080,8085] (msg:"Example"; flow:established; content:"example"; sid:1000004;)
Правило сработает для всех получателей, кроме IP-адресов 10.10.0.22 и 10.10.0.23 с учетом портов, если установлено соединение (flow:established) и если в полезной нагрузке (payload) имеется строка "example".
alert ip ![10.10.0.22,10.10.0.23] ![8080,8085] -> ![10.80.0.1,10.80.0.2,10.80.0.3] ![8080,8085,8090] (msg:"Example"; flow:established; content:"example"; sid:1000005;)
Правило сработает, если IP-адреса источника и назначения не входят в исключенный список (с учетом портов), если установлено соединение (flow:established) и в полезной нагрузке (payload) имеется строка "example".
alert ip ![10.10.0.22/24,10.10.0.23/16] any -> any any (msg:"Example"; flow:established; content:"example"; sid:1000006;)
Правило сработает для всех источников, кроме подсетей 10.10.0.22/24 и 10.10.0.23/16 с учетом портов, если установлено соединение (flow:established) и если в полезной нагрузке (payload) имеется строка "example".
alert ip ![10.10.0.22/24,10.10.0.23/16] any -> ![10.80.0.1/12,10.80.0.2/8] ![8080,8085] (msg:"Example"; flow:established; content:"example"; sid:1000007;)
Правило сработает, если исходная и целевая подсеть не входят в исключения, целевой порт не 8080 или 8085, если установлено соединение (flow:established) и в полезной нагрузке (payload) имеется строка "example".

В этом разделе

Просмотр таблицы правил обнаружения вторжений, добавленных в исключения

Добавление правила обнаружения вторжений в исключения

Редактирование описания правила обнаружения вторжений, добавленного в исключения

Удаление правил обнаружения вторжений из исключений

Идентификатор статьи: 247774, Последнее изменение: 21 мар. 2025 г.

В начало