Wyłączanie nieskategoryzowanych wewnętrznych reguł Suricata w pfSense
Przetłumaczone automatycznie z angielskiego. Przeczytaj oryginał
Chcę włączyć tylko wybrane kategorie reguł. Nie chcę mieć tych wszystkich wewnętrznych reguł Suricata, ponieważ obejmują zbyt szeroki wachlarz przypadków, w tym mnóstwo fałszywych alarmów (false-positive). Jeśli ktoś chciałby prowadzić dogłębną analizę ruchu, byłyby w porządku, ale jeśli widzisz „STUN Binding Request On Non-Standard High Port” i wiesz, że to twoja kamera P2P w sieci LAN, warto wyłączyć to wszystko za jednym razem. W instalacji pfSense jest to nieco podchwytliwe.
Przejdź do Interfaces i wybierz odpowiedni interfejs. Upewnij się, że wcześniej odznaczyłeś wszystkie reguły Snort lub ET. Następnie przejdź do WAN Rules i w liście rozwijanej kategorii wybierz Active Rules. Kliknij Disable All. Teraz działasz bez żadnych domyślnych reguł i możesz włączyć tylko te, na których najbardziej ci zależy. Możesz na przykład spróbować z następującymi:
- attach_response
- botcc
- 3coresec
- ciarmy
- compromised
- deleted
- dos
- exploit / exploit_kit
- hunting
- malware
- phishing
- scan
- shellcode
- sql
- threatview_CS_c2
- tor
- user_agent
- web_client
- web_server
- web_specific_apps
- worm