カウントが高くなります。Count)ホスト上でアクティブな接続数。接続ベースのスキャンより正確です。アドレスが変更された回数。ホストでは、この数値はそれほど正確ではありません。アドレス範囲が示されます。アドレス範囲が示されます。ポートスキャンの場合は、スキャン対象のポートが変更された回数です。ポートスキャンの場合は、スキャン対象ホストに接続するために使用されたプロトコルが変更された回数です。ポートスキャンの場合は、スキャンされたポートの範囲です。プロトコル番号の範囲です。以上の開かれたポートが検出された場合にのみ表示されます。ベース攻撃とは、接続の頻度または攻撃を行うための反復試行に依存する攻撃のことです。ベース攻撃が行われていることを検出し、攻撃が発生するごとに対応できます。攻撃が収まった後は、通常の検出設定に戻すことができます。ベースの検出を設定する方法の詳細については、以下のトピックを参照してください。フィルタを含めたネットワーク分析ポリシーを設定することで、ネットワーク上のホストを対象とした過剰なアクティビティを検出できます。ベース攻撃をブロックし、その後イベントだけを生成しトラフィックをドロップしないように戻すことができます。パターンを識別し、正規の要求に対するそのトラフィックの影響を最小限に抑えようとします。ベース攻撃には次のいずれかの特性があります。任意のトラフィックで、ネットワーク上のホストに対して過剰な未完了接続が発生する。フラッド攻撃を意味します。攻撃の防止を参照してください。任意のトラフィックで、ネットワーク上のホストに対して過剰な接続が発生する。接続フラッド攻撃を意味します。同時接続の検出を設定するには、同時接続の制御を参照してください。アドレスからのトラフィックで、ルールとの一致が過剰に発生する。送信元または宛先ベースの動的ルール状態を設定するには、動的ルール状態の設定を参照してください。すべてのトラフィックで、特定のルールとの一致が過剰に発生する。ベースの動的ルール状態を設定するには、動的ルール状態の設定を参照してください。接続フラッドの検出を設定できます。フィルタを設定できます。フィルタを追加しても、効果はありません。ルールでは、クライアントを送信元の値、サーバを宛先の値として使用します。攻撃の防止」と「同時接続の制御」を参照してください。フィルタには、以下のコンポーネントが含まれます。ベース攻撃を検出した時点でイベントを生成します。インライン導入では、オプションでトラフィックをドロップすることもできます。つのうちから選択できます。新しいアクションは、開始されると、レートがその期間内に設定されたレートを下回っても、タイムアウトに達するまで継続されることに注意してください。タイムアウト期間が満了し、レートがしきい値を下回っている場合、ルールのアクションはそのルールに最初に設定されたアクションに戻ります。ポリシー全体に適用される設定の場合、アクションは、トラフィックと一致する個々のルールのアクションに戻ります。一致するアクションがなければ、アクションは停止されます。ベースの攻撃防御は、攻撃を一時的または永続的にブロックするように設定できます。設定されていればイベントが生成されますが、パケットがドロップされることはありません。アクションがアクティブな期間にパケットのドロップが実行されます。ベースのアクションは、無効なルールを有効にしたり、無効なルールと一致したトラフィックをドロップしたりできません。インタラクションを含むトラフィックに対してイベントを生成するか、イベントを生成してトラフィックをドロップすることができます。ベースのフィルタを定義できます。侵入ポリシーに列挙された最初のフィルタに最も高い優先度が割り当てられます。フィルタのアクションが実行されることに注意してください。フィルタが優先されます。次の図は、攻撃者がホストにアクセスしようとしている例を示しています。ベース攻撃防止が設定されたルールがトリガーされます。秒後にタイムアウトします。ベースのサンプリング期間にドロップされることに注意してください。レートが現在または過去のサンプリング期間のしきい値を上回っている場合は、新しいアクションが継続されます。レートがしきい値を下回っている場合のみです。攻撃防止オプションを利用します。一定期間中に認められたパケットの数を基準に、個々のホストまたはネットワーク全体を保護することができます。パッシブ導入のデバイスでは、イベントを生成できます。インライン導入のデバイスでは、不正なパケットをドロップすることもできます。タイムアウト期間の満了時にレート条件に達しなくなっていれば、イベントの生成およびパケットのドロップが停止します。秒間ブロックするように設定できます。アクティブになります。このルールを手動でアクティブにしても効果はありません。して表示され、変更されることはありません。このオプションを有効にすると、定義されたレート条件を超過した時点で、ルールによってイベントが生成されます。接続数を制限することで、サービス妨害(DoS)攻撃や、ユーザによる過剰なアクティビティを防止できます。アドレスまたはアドレス範囲で正常に行われている接続が設定された許容数に達したことを検出すると、以降の接続に対してイベントを生成します。ベースのイベント生成が続行されます。インライン導入では、レート条件がタイムアウトになるまでパケットをドロップするように設定できます。秒間ブロックするように設定できます。アクティブになります。このルールを手動でアクティブにしても効果はありません。して表示され、変更されることはありません。このオプションを有効にすると、定義されたレート条件を超過した時点で、ルールによってイベントが生成されます。キーワード、しきい値および抑制機能も使用できます。キーワードと任意に組み合わせて使用することもできます。詳細については、以下の例を参照してください。キーワードを使用すると、指定の期間内にルール一致のしきい値に達するまで、ルールはトリガーされません。キーワードが含まれている場合、システムは指定の期間、ルールのパターンに一致する着信パケットの数を追跡します。アドレスからのヒット数をカウントできます。レートがルールのレートを超過すると、そのルールに関するイベント通知が開始されます。ログインを仕掛ける例を示します。キーワードも含むルールがトリガーされます。ベース攻撃防止が設定されています。個のパケットがルールに一致しても、イベントは生成されません。キーワードで指定されたレートを超過するまで、ルールはトリガーされないためです。トリガーされることはありません。ベースの基準に一致すると、イベントが生成されて、パケットがドロップされます。ベースのタイムアウト期間が満了し、かつレートがしきい値未満になるまで続きます。アクションがタイムアウトになります。ベースのサンプリング期間にドロップされることに注意してください。ベースのアクションは続行されます。キーワードと組み合わせて使用することで、ルールのヒット数が指定のレートに達するとトラフィックのドロップが開始されるようにすることができることにも注意してください。キーワードを含めた場合の結果が同じであるかどうか、あるいは侵入ポリシーでレートとタイムアウトの設定を管理する必要があるかどうかを検討してください。詳細については、ルール状態の設定を参照してください。Protectionしきい値および抑制を使用して、ルールに関するイベント通知の数を制限するか、またはイベント通知を一切抑制することにより、過剰なイベントが生成されないようにすることができます。しきい値と抑制で使用可能なオプションの詳細については、イベントしきい値の設定および侵入ポリシー単位の抑制の設定を参照してください。アドレスに対して抑制します。ベースの基準との間の相互作用はさらに複雑になります。ログインを仕掛ける例を示します。ベース攻撃防止が設定されたルールがトリガーされます。