Comment créer une signature de menace personnalisée

• Cela peut être fait via firewall un logiciel de capture de paquets personnalisé ou un logiciel tiers de capture / analyseur de trafic

• Exemples : longueurs des paramètres, code, réponse et valeurs de type
• La liste complète des contextes entiers et de leur utilisation peut être trouvée ici

• Exemples : charges utiles, en-têtes et modèles de bannières
• Les exigences de modèle pour les signatures personnalisées peuvent être trouvées ici
• La liste complète des contextes de chaîne et de leur utilisation peut être trouvée ici

• La liste complète des qualificatifs de contexte peut être trouvée ici

3. Créez votre nouvelle signature via un objet
Vulnérabilité personnalisée ou Antispyware Dans le , accédez à l’onglet firewallObjet > Objet personnalisé > Vulnérabilité ou Antispyware, puis sélectionnez Ajouter au bas du firewall GUI 

L’écran Signature personnalisée (Vulnérabilité ou AntiSpyware) apparaîtra à l’endroit où vous serez dans l’onglet Configuration par défaut.

Champs obligatoires à remplir :

• Menace ID
  • Pour une signature de vulnérabilité, entrez un chiffre ID compris entre 41000 et 45000. Si le s’exécute PAN-OS 10.0 ou version ultérieure, le firewall ID peut également être compris entre 6800001 et 6900000.
  • Pour une signature de logiciel espion, le ID doit être compris entre 15000 et 18000. Si le s’exécute PAN-OS 10.0 ou version ultérieure, le firewall ID peut également être compris entre 6900001 et 7000000.
• Nom : spécifiez le nom de la menace.
• Gravité - Sélectionnez la gravité de la menace.
• Direction - client à serveur, serveur à client, les deux

En passant à l’onglet Signature, laissez l’option de signature définie sur standard (sauf si vous créez une combinaison / signature par force brute).Ajoutez une signature à l’aide du bouton Ajouter en bas de cette fenêtre.

Cela affichera la fenêtre Standard

• Standard - Entrez un nom pour identifier la signature dans le champ.
• Commentaire - Entrez une description facultative.
• Correspondance de conditions ordonnées - Si l’ordre dans lequel les firewall tentatives de correspondance des définitions de signature est important, maintenez l’option sélectionnée.
• Étendue - indiquez si cette signature s’applique à une session complète ou à une transaction unique.

Ajoutez une condition en cliquant sur Ajouter et conditionner ou Ajouter ou Condition en bas de la fenêtre. Cela tirera une fenêtre Nouvelle condition :

• Si vous utilisez un contexte de chaîne, sélectionnez Pattern Match, puis fournissez une expression régulière Pattern. Si vous le souhaitez, vous pouvez également ajouter une paire qualificateur de contexte/valeur
  • Vous pouvez également sélectionner Annuler pour spécifier les conditions dans lesquelles la signature personnalisée ne se déclenche pas.
• Si vous utilisez un contexte entier, sélectionnez Égal à, Inférieur à ou Supérieur à, puis entrez la valeur de correspondance souhaitée.

Cliquez OK pour terminer

4. Ajoutez une exception pour activer cette signature, puis validez votre signature Cliquez sur votre profil de sécurité Vulnérabilité (ou Antispyware) existant, puis sous l’onglet Exceptions, recherchez la menace de votre signature
et activez-la ID .

Validez vos modifications

5. Testez votre signature 

• Recréez le trafic que vous essayez de déclencher avec la signature
• Vérifiez l’onglet Surveiller > Journaux > Menace pour vérifier la correspondance du trafic sur la signature de menace personnalisée.

• Si nécessaire, affinez votre signature en ajoutant des motifs ou des conditions supplémentaires à la signature
• Répétez