バイト境界に切り上げます。一緒に選択した場合、システムはこの調整の前に乗数を適用します。表を参照してください。キーワードでどのように計算するか定義するには、次の表の中から引数を選択できます。バイト順を使用します。バイト順でデータを処理します。バイト順でデータを処理します。キーワードを指定します。トラフィックのデコードを参照してください。バイト順を決定します。引数は適用されません。使用することもできます。キーワードを参照してください。文字列として指定できます。データをシステムがどのように認識するかを定義するには、次の表のいずれかの引数を選択できます。進形式で読み取ります。進形式で読み取ります。進形式で読み取ります。いう名前の変数の中に読み込みます。後でこの変数を、特定のキーワード引数の値としてルール内で指定できます。キーワードで定義した変数を指定できるキーワード引数を、次の表に列挙します。使用するには、次の手順を実行します。セクションが、選択した最後のキーワードの下に表示されます。セッションを閉じるために、アクティブ応答を開始できます。つのキーワードにより、別々の方法でアクティブ応答を開始できます。つのアクティブ応答を開始します。リセットの回数を設定することもできます。リセットは接続やセッションに影響を与えるのに間に合うまでに到着する可能性が高いため、アクティブ応答はインライン展開で最も効果を発揮します。リセット(RST)パケットを直接挿入し、通常はこれによって接続が閉じます。(パッシブ展開ではシステムがパケットを挿入できない、攻撃者がアクティブ応答を無視または回避するよう選択する可能性があるなど)さまざまな理由で、アクティブ応答はファイアウォールの代わりとして想定されていません。リセットの開始を許可しません。これにより、アクティブ応答が無限に続くことを防止できます。到達不能パケットの開始を許可しません。プリプロセッサを設定できます。追加のトラフィックが検出されると、プリプロセッサは、指定された最大値まで、追加のアクティブ応答を接続またはセッションの両端に送信します。詳細については、侵入廃棄ルールでのアクティブ応答の開始を参照してください。アクティブ応答を開始するために使用できるキーワードに固有の情報については、以下の項を参照してください。セッションにアクティブに(能動的に)応答できます。詳細については、プロトコルの指定を参照してください。到達不能パケットのどちらをアクティブ応答として使用するかを指定できます。接続を閉じることができます。到達不能引数だけを使用する必要があります。リセット引数を使用することで、パケットの送信元、宛先、またはその両方にアクティブ応答を送ることができます。到達不能引数はパケット送信元に送られます。すべてを使用するか)を指定できます。キーワードで使用できる引数を次の表に列挙します。指定することもできます。指定することもできます。指定することもできます。ネットワーク到達不能メッセージを送ります。ホスト到達不能メッセージを送ります。ポート到達不能メッセージを送ります。トラフィックを終了するために使われます。メッセージを転送します。次のように、カンマ区切りリストを使用して複数の引数を指定できます。コマンドを使用する方法については、アクティブ応答のリセット試行とインターフェイスの設定を参照してください。アクティブ応答を指定するには、次の手順を実行します。キーワードが表示されます。表にある引数を指定します。複数の引数を指定する場合は、カンマ区切りのリストを使用します。接続クライアントに送信できます。パケットを使って接続の両端へのアクティブ応答を開始します。トラフィックのアクティブ応答をトリガーとして使用しません。オプションで、次の引数を指定できます。メッセージが表示されます。メッセージのフィールドについては、ルール構造についてを参照してください。ページには次のメッセージが含まれます。ルールがトリガーとして使用されないようにしてください(結果としてアクティブ応答が無限に続く可能性があります)。ルールを十分にテストしてから実稼動環境でアクティブにするよう推奨しています。コマンドを使用する方法については、アクティブ応答のリセット試行とインターフェイスの設定を参照してください。ページを送信するには、次の手順を実行します。キーワードが表示されます。つの選択肢があります。フィールドを空白のままにします。リセットの動作を詳細に設定できます。このコマンドは、廃棄ルールによって開始されるアクティブ応答の動作にも影響を与えます(詳細については、侵入廃棄ルールでのアクティブ応答の開始を参照してください)。行にこれを挿入します。変数の使用方法については、拡張変数についてを参照してください。使用しないでください。競合または重複する設定が存在すると、システムが停止します。アクティブ応答リセット試行、アクティブ応答インターフェイス、またはその両方を指定するには、次の手順を実行します。つの形式を挿入します。次の選択肢があります。アクティブ応答の試行回数のみを指定するには、次のコマンドを挿入します。10アクティブ応答インターフェイスのみを指定するには、次のコマンドを挿入します。eth0アクティブ応答の試行回数とアクティブ応答インターフェイスの両方を指定するには、次のコマンドを挿入します。パッシブ展開でのみ効果があります。パケットをストリームに直接挿入します。つのアクティブ応答のみが送信されます。パッシブ展開でシステムからアクティブ応答を送信したり、インライン展開でアクティブ応答を挿入したりするための代替インターフェイスです。キーワードを使用すると、指定された時間内に指定された数のパケットがルールをトリガーとして使用しない限り、ルールでイベントが生成されないようにすることができます。これにより、早すぎるタイミングでルールがイベントを生成することを回避できます。アタックを示唆している可能性があります。アドレスをシステムで追跡するか、イベントをトリガーする前に検出基準が満たされるべき回数、およびカウントの継続時間を定義します。イベントのトリガーを遅らせるには、次の構文を使用します。アドレスのどちらを使用するかを指定します。インスタンスを追跡する方法を指定するには、次の表の中から引数値を選択します。アドレスによる検出基準カウント。アドレスによる検出基準カウント。アドレスのルールをトリガーすべきパケットの数を指定します。引数は、ルールでイベントを生成する前に、指定された数のパケットがルールをトリガーすべき時間枠を秒数で指定します。キーワードを使用するとします。検出するまでは、イベントを生成しません。検出しなかった場合は、イベントが生成されません。秒が経過するとカウントが再開されます。キーワードに代わるものです。キーワードは、下位互換性を維持するために引き続きサポートされていますが、侵入ポリシー内で設定されるしきい値と同じ機能です。キーワードは、パケットがルールをトリガーとして使用する前に適用される検出機能です。パケットに関してイベントを生成しません。インライン展開では、パケットを破棄するようルールで設定されていても、そのようなパケットを破棄しません。カウントの後に出現する、ルールをトリガーとして使用するパケットに関してルールはイベントを生成します。インライン展開でパケットを破棄するよう設定されている場合は、そのようなパケットを破棄します。しきい値は、検出アクションを発生させないイベント通知機能です。これは、パケットがイベントをトリガーとして使用した後に適用されます。インライン展開において、パケットを破棄するよう設定されたルールは、ルールしきい値とは無関係に、ルールをトリガーとして使用するすべてのパケットを破棄します。ベースの攻撃防御機能と任意に組み合わせて使用できることに注意してください。ルールを有効にした場合、ポリシー検証が失敗することに注意してください。ファイルのインポートを参照してください。キーワードを使用します。キーワードを使って検出するトラフィックのタイプと量を指定するときには、次の構文を使用します。つの表に、その他の使用可能な引数について説明します。つのタイプのタグ機能から選択できます。次の表に、これらのタグ機能の説明を示します。タグ引数タイプによって、同じセッションからのパケットが別のセッションからのパケットのように記録されることに注意してください。キーワードなど)を設定します。説明sessionルールをトリガーとして使用したセッション内のパケットをログに記録します。ホストルールをトリガーとして使用したパケットを送信したホストからのパケットをログに記録します。)を記録する方向修飾子を追加できます。ログに記録するトラフィック量を指定するには、次の引数を使用します。説明countルールがトリガーとして使用された後にログに記録するパケット数または秒数。引数の後に測定基準引数を使用します。次の表の中から、トラフィックの時間または量ごとにログで使用する測定基準を選択してください。秒あたり数千パケットが発生する可能性があり、大量のパケットにタグを付けるとパフォーマンスに重大な影響が及ぶ可能性があるため、必ずネットワーク環境に合わせてこの設定を調整してください。packetsルールのトリガー後に、カウントで指定されるパケット数をログに記録します。秒ルールのトリガー後に、カウントで指定される秒数の間、トラフィックを記録します。秒間にクライアントからホストに送信されるすべてのパケットがログに記録されます。キーワードを使用します。名前が付けられた状態に基づいてセッション内の後続パケットを分析することにより、システムは単一セッション内で複数のパケットに及ぶエクスプロイトを検出して警告を出すことができます。状態名は、セッションの特定部分でパケットに割り当てられるユーザ定義のラベルです。パケットの内容に基づいてパケットに状態名を付けると、警告の必要のないパケットと有害なパケットを区別しやすくなります。個の状態名を定義できます。キーワードを使用して、初期ログイン試行を構成するパケットを除去することにより、有害パケットに焦点を絞ることができます。そのルールに含めます。例を参照してください。使用すると、状態のグループに状態名を含めることができます。つの状態名は複数のグループに属することができます。グループに関連付けられていない状態は相互排他的ではないため、トリガーとして使用されたルールがグループに関連付けられていない状態を設定した場合、現在設定されている他の状態には影響がありません。例の例を参照してください。キーワードで使用できる演算子、状態、およびグループのさまざまな組み合わせを示しています。状態名には、英数字、ピリオド(.)、アンダースコア(_)、およびダッシュ(-)を含めることができます。設定state_nameオプションパケットに関する指定された状態を設定します。グループが定義されている場合は、指定されたグループ内で状態を設定します。state_name&state_nameオプションパケットに関する指定された状態を設定します。グループが定義されている場合は、指定されたグループ内で状態を設定します。指定されたグループ内でパケットに関して指定された状態を設定し、グループ内の他のすべての状態を解除します。指定されたグループ内でパケットに関して指定された状態を設定し、グループ内の他のすべての状態を解除します。unsetstate_nameグループなしパケットに関する指定された状態を解除します。state_name&state_nameグループなしパケットに関する指定された状態を解除します。指定されたグループ内のすべての状態を解除します。togglestate_nameグループなし指定された状態が設定されている場合はそれを解除し、指定された状態が解除されている場合にはそれを設定します。state_name&state_nameグループなし指定された複数の状態が設定されている場合はそれらを解除し、指定された複数の状態が解除されている場合はそれらを設定します。指定されたグループ内で設定されているすべての状態を解除し、指定されたグループ内で解除されているすべての状態を設定します。issetstate_nameグループなし指定された状態がパケット内で設定されているかどうかを判別します。state_name&state_nameグループなし指定された複数の状態がパケット内で設定されているかどうかを判別します。されたグループ内で、いずれかの状態が設定されているかどうかを判別します。指定されたグループ内で、すべての状態が設定されているかどうかを判別します。isnotsetstate_nameグループなし指定された状態がパケット内で設定されていないかどうかを判別します。state_name&state_nameグループなし指定された複数の状態がパケット内で設定されていないかどうかを判別します。state_name|state_nameグループなし指定されたいずれかの状態が、パケット内で設定されていないかどうかを判別します。入力必須パケット内でいずれかの状態が設定されていないかどうかを判別します。すべて入力必須パケット内ですべての状態が設定されていないかどうかを判別します。リセット(状態なし)オプションすべてのパケットのすべての状態を解除します。グループが指定されている場合、グループ内のすべての状態を解除します。noalert(状態なし)グループなしイベント生成を抑制するには、これを他の演算子と組み合わせて使用します。キーワードを使用するときには、次の点に注意してください。演算子を使用する場合、指定した状態は、指定したグループ以外のグループに属することができません。演算子を複数回定義して、それぞれのインスタンスで別々の状態と同じグループを指定できます。演算子を使用することはできません。演算子は、指定された状態がグループに含まれるかどうかに関係なく、その状態を評価します。割り当てに影響するすべてのルールが有効になります。)に影響し、対応するグループ名を定義するすべてのルールもまた有効になります。脆弱性について考えてみます。コマンド)で見られます。サーバにログインする必要があります。ベースのルールを作成するのは困難です。サーバにログイン済みかどうかを追跡し、ログイン済みの場合は、いずれかの攻撃が検出された時点でイベントを生成することができます。ユーザがログイン済みでない場合、攻撃によって脆弱性が悪用されることはないため、イベントが生成されません。フラグメントはこの例を示しています。ログイン確認を検索します。キーワードの効果を示しています。アラートを抑制することに注意してください。セッションが見つかる可能性があるためです。状態が設定済みでない限り、イベントを生成しません。キーワードの効果を示しています。番目のフラグメントを含むルールがトリガーとして使用し、イベントを生成します。後続パケット内コンテンツが、効力を失った状態を持つルールに一致することによって誤検出イベントが発生する可能性があります。複数のルールで設定された複数の状態名をグループに含めることでこれを回避できます。次の例は、複数の状態名をグループに含めない場合に誤検出が発生する可能性があることを示しています。フラグメントがこの順序でトリガーとして使用される場合を考えてみます。キーワードの効果を示しています。ルールでのイベント生成を抑制します。状態を設定することだからです。ルールで状態名を検査して有害コンテンツを探し、有害コンテンツが検出された時点でイベントを生成できます。ダウンロードを検出します。キーワードの効果を示しています。ルールでのイベント生成を抑制します。状態が不要になっても引き続き設定されていることに注意してください。ダウンロードが既に終了しているはずであるためです。フラグメントのコンパニオンです。キーワードの効果を示しています。ファイル内では有害とみなされるコンテンツを照合します。ファイル内に存在しないエクスプロイトに関する誤検出イベントが生成されます。演算子を使用することで、どのように誤検出を防止できるかを示しています。前の例とほぼ同じケースを考えます。つの異なる状態名が含まれるようになった点が異なります。キーワードの効果を示しています。ダウンロードを検出します。キーワードの効果を示しています。フラグメントで誤検出は発生しません。キーワードの効果を示しています。エンジンはルールの処理を停止し、イベントは生成されません。コンテンツと一致した場合でも誤検出が回避されます。タイプに基づいてイベントを生成できます。プリプロセッサを設定する必要があります。正規化オプションの選択を参照してください。オプションの両方を有効にする必要があります。オプションの選択を参照してください。タイプは非推奨になりました。トラフィックを検査することはありません。タイプを示しています。エンコードを検出します。タイプが有効になっている場合、指定された場所で二重エンコードを検出します。エンコードを検出します。エンコードを検出します。タイプと位置を識別するには、次の手順を実行します。キーワードをルールに追加します。含む)のいずれで検索するかを選択します。