Сканирование сети

Вертикальное сканирование рассматривает активность между парой адресов, горизонтальное — множество адресов назначения одного источника. Порог числа портов и временное окно нужно подбирать вместе: большой интервал учитывает более медленную разведку, но также объединяет больше штатной активности.

Таблица. Параметры anomaly.scan

ПараметрЗначенияНазначение и особенности

vertical_threshold

Сессии; 50

Число одновременных сессий пары адресов, выше которого возникает vertical или udp_vertical.

unique_dst_ports_threshold

Порты; 30

Число уникальных портов назначения пары за эпизод.

ip_protocol_threshold

Номера IP-протоколов; 30 при отсутствии

Порог разнообразия IP-протоколов пары; значимы значения до 255.

horizontal_threshold

Адреса; 100

Число адресов назначения одного источника за horizontal_window_sec.

block_threshold

Адреса; 30

Порог блочного сканирования при наличии вертикального сканирования источника.

horizontal_window_sec

Секунды; 10

Скользящее окно подсчёта адресов для horizontal и block.

window_sec

Секунды; 60

Пауза, после которой эпизод перебора портов или протоколов завершается.

Числовые пороги сравниваются по правилу «больше»: значение, равное порогу, не является превышением. Исключение — отдельно описанный порог TCP stealth_scan_port_threshold, который срабатывает при достижении. Целочисленные пороги секций допускают неотрицательные 32-битные значения, если для поля не указано иное. Ноль обычно означает нулевой порог, а не отключение проверки; для отключения используйте предусмотренный флаг.