Фрагментация и аномалии IP и TCP

detect_overlap

true / false; true

Перекрытие фрагментов: конфликтующие или повторяющиеся байты IPv4 и любое перекрытие IPv6.

detect_tiny_first

true / false; true

Проверяет короткий первый фрагмент.

tiny_first_min_size

Байты; 32

Минимальная длина первого фрагмента.

detect_oversized

true / false; true

Проверяет превышение предела сборки.

oversized_limit_bytes

Байты; 65535

Предельный размер собираемого IP-пакета.

detect_too_many

true / false; true

Проверяет число фрагментов.

max_fragments

Целое; 64

Допустимое число фрагментов; значения выше 128 не действуют из-за ёмкости сборки.

detect_atomic_as_frag

true / false; true

Проверяет атомарный IPv6-фрагмент в потоке фрагментов с тем же идентификатором.

ip.detect_land

true / false; true

Совпадение адресов источника и назначения.

ip.detect_smurf

true / false; true

ICMP echo к широковещательным или групповым адресам. IPv6 ff02::/16 не учитывается.

tcp.detect_stealth_scan

true / false; true

Подозрительные флаги TCP у сегментов вне сессии без данных.

tcp.stealth_scan_port_threshold

Порты; 10 при отсутствии

Число уникальных портов пары, при достижении которого фиксируется скрытое сканирование. 0 — находка по первому сегменту.

tcp.stealth_scan_idle_sec

Секунды; 10 при отсутствии

Окно простоя эпизода скрытого сканирования.

tcp.detect_backscatter

true / false; true

SYN+ACK без предшествующего SYN и завершение сбросом без обмена данными.

tcp.detect_stealth_pickup

true / false; true при отсутствии

Подозрительные сегменты с данными, подтверждённые сбросом сервера.

tcp.detect_syn_pickup

true / false; false при отсутствии

SYN с данными. При штатном TCP Fast Open может давать нежелательные находки.

tcp.detect_overlap_conflict

true / false; true при отсутствии

Различающиеся байты перекрывающихся TCP-сегментов.