[index] CentreCOM ARX640S コマンドリファレンス 5.0.0

ファイアウォール / 攻撃検出

  - 検出可能な攻撃と検出条件
   - IPオプション
   - DoSフラッド
    - SYN Flood
    - ICMP Flood
    - UDP Flood（UDP Ping-Pong Attack）
    - Smurf
   - ICMP
   - フラグメント攻撃
    - Maximum IP Fragment Count
    - Minimum IP Fragment Size
    - Teardrop/Teardrop2
    - Bonk/Boink
    - Jolt/Jolt2
   - ポートスキャン
    - TCP SYN Scan
    - TCP Stealth Scan
    - UDP Port Scan
   - FTPバウンス
    - IP check
    - Port check
   - IPスプーフィング
   - Ping of death
   - LAND
  - 基本設定
  - 他機能との関係（パケット処理順序）

• IPオプション
  Security、Timestamp、Loose Source Route、Strict Source Route、Record Route、Stream ID
  
• DoSフラッド
  SYN Flood、ICMP Flood、UDP Flood、Smurf
  
• ICMP
  source quench、timestamp request/reply、information request/reply、mask request/reply
  
• フラグメント攻撃
  Maximum IP Fragment Count、Minimum IP Fragment Size、Teardrop/Teardrop2、Bonk/Boink、Jolt/Jolt2
  
• ポートスキャン
  TCP SYN Scan、TCP Stealth Scan、UDP Port Scan
  
• FTPバウンス
  IP check、Port check
  
• IPスプーフィング
  
• Ping of death
  
• LAND
  

• Security
  
• Timestamp
  
• Loose Source Route
  
• Strict Source Route
  
• Record Route
  
• Stream ID
  

• 受信時
  終点IPアドレスがリミテッドブロードキャストアドレス、または、自インターフェースのディレクティドブロードキャストアドレスのどれかと一致する（ただし、32ビットマスクで設定されたインターフェースのアドレスは除外）
  
  
• 送信時
  終点IPアドレスが送信インターフェースのディレクティドブロードキャストアドレスと一致する（ただし、32ビットマスクで設定されたインターフェースのアドレスは除外）
  

• source quench（タイプ4）
  
• timestamp request（タイプ13）
  
• timestamp reply（タイプ14）
  
• information request（タイプ15）
  
• information reply（タイプ16）
  
• mask request（タイプ17）
  
• mask reply（タイプ18）
  

• IPフィルター/IP NAT機能を併用している場合
  
  • 制御フラグが1つもセットされていない
    
  • FIN/URG/PSHフラグだけがセットされている
    
  • FINフラグだけがセットされている
    
  • SYN/FINフラグだけがセットされている
    
  • SYN/RSTフラグだけがセットされている
    
  
  
• IPフィルター/IP NAT機能を併用していない場合
  
  • 制御フラグが1つもセットされていない
    
  • SYN/FINフラグだけがセットされている
    
  • SYN/RSTフラグだけがセットされている
    

• 始点IPアドレスが自インターフェースのIPアドレスと一致する
  
• 始点IPアドレスがIP NAT機能のグローバル側IPアドレスと一致する
  
• 始点IPアドレスが、受信インターフェース以外の自インターフェース配下のIPアドレスと一致する
  

*Router(config)# interface gigabitEthernet 0.1 ↓ *Router(config-pppoe-if)# ip ids in protect ↓

*Router(config)# interface gigabitEthernet 0.1 ↓ *Router(config-pppoe-if)# ip ids in ↓

*Router(config)# interface gigabitEthernet 0.1 ↓ *Router(config-pppoe-if)# no ip ids in ↓

*Router> show ip ids information ↓ IDS information: Flood Threshold In : 256 Flood Threshold Out : 256 Scan Threshold In : 64 Scan Threshold Out : 128 Max Fragment Count In : 45 Max Fragment Count Out : 45 Min Fragment Size In : 512 (bytes) Min Fragment Size Out : 512 (bytes) Interval time : 1 (mins)

*Router> show ip ids detecting ↓ vlan 1: in AttackType SourceIP DestinationIP Expire Hits icmp-flood 192.168.1.254 192.168.1.1 2 221025

*Router> show ip ids statistics vlan 1 ↓ vlan 1: Attack name In-Counter Out-Counter IP option check Security 0 0 Timestamp 0 0 Loose Source Route 0 0 Strict Source Route 0 0 Record Route 0 0 Stream ID 0 0 DoS Flood SYN Flood 0 0 ICMP Flood 215564 0 UDP Flood 0 0 Smurf 0 0 Scan TCP SYN Scan 0 0 TCP Stealth Scan 0 0 UDP Port Scan 0 0 ICMP ICMP source quench 0 0 ICMP timestamp request 0 0 ICMP timestamp reply 0 0 ICMP information request 0 0 ICMP information reply 0 0 ICMP mask request 0 0 ICMP mask reply 0 0 Fragment Attack Maximum IP Fragment Count 0 0 Minimum IP Fragment Size 0 0 Teardrop/Teardrop2 0 0 Bonk/Boink 0 0 Jolt/Jolt2 0 0 FTP Bounce IP check 0 0 Port check 0 0 IP Spoofing 0 0 Ping of death 0 0 LAND 0 0

(C) 2011 アライドテレシスホールディングス株式会社

PN: 613-001491 Rev.A