Catégories de règles de signature IDPS du pare-feu Azure
Les fournisseurs d’identité du pare-feu Azure comprennent plus de 50 catégories qui peuvent être attribuées à des signatures individuelles. Le tableau suivant répertorie les définitions de chaque catégorie.
Catégories
| Category | Description |
|---|---|
| 3CORESec | Cette catégorie concerne les signatures générées automatiquement à partir des listes rouges IP de l’équipe 3CORESec. Ces listes rouges sont générées par 3CORESec en fonction de l’activité malveillante de leur miel. |
| ActiveX | Cette catégorie est destinée aux signatures qui protègent contre les attaques contre les contrôles Microsoft ActiveX et exploitent les vulnérabilités dans les contrôles ActiveX. |
| Adware-PUP | Cette catégorie est destinée aux signatures permettant d’identifier les logiciels utilisés pour le suivi des publicités ou d’autres types d’activités liées aux logiciels espions. |
| Réponse d’attaque | Cette catégorie est destinée aux signatures permettant d’identifier les réponses indicatives de l’intrusion—par exemple, mais sans s’y limiter, le téléchargement de fichiers LMHost, la présence de certaines bannières web et la détection de la commande Metasploit Meterpreter Kill. Ces signatures sont conçues pour intercepter les résultats d’une attaque réussie. Par exemple, ID = racine ou des messages d’erreur indiquant un compromis peut être survenu. |
| Botcc (commande et contrôle bot) | Cette catégorie concerne les signatures générées automatiquement à partir de plusieurs sources de botnets actifs connus et confirmés, ainsi que d’autres hôtes de commande et de contrôle (C2). Cette catégorie est mise à jour quotidiennement. La source de données principale de la catégorie est Shadowserver.org. |
| Port Botcc groupé | Cette catégorie est destinée aux signatures comme celles de la catégorie Botcc, mais regroupées par port de destination. Les règles regroupées par port peuvent offrir une plus grande fidélité que les règles non regroupées par port. |
| Conversation | Cette catégorie est destinée aux signatures qui identifient le trafic lié à de nombreux clients de conversation tels que IRC (Internet Relay Chat). Le trafic de conversation peut être un indicateur de l’activité d’archivage possible par les acteurs des menaces. |
| CIArmy | Cette catégorie est utilisée pour les signatures générées à l’aide des règles IP de l’intelligence collective pour le blocage. |
| Exploration de monnaie | Cette catégorie est destinée aux signatures avec des règles détectant les logiciels malveillants, qui effectue de l’exploration de monnaie. Ces signatures peuvent également détecter certains logiciels d’exploration de monnaie légitimes (bien que souvent indésirables). |
| Compromis | Cette catégorie concerne les signatures basées sur une liste d’hôtes compromis connus. Cette liste est confirmée et mise à jour quotidiennement. Les signatures de cette catégorie peuvent varier d’une à plusieurs centaines de règles en fonction des sources de données. Les sources de données de cette catégorie proviennent de sources de données privées mais hautement fiables. |
| Événements en cours | Cette catégorie est destinée aux signatures avec des règles développées en réponse à des campagnes actives et courtes, ainsi qu’à des éléments de profil élevé qui sont censés être temporaires. Par exemple, les campagnes de fraude liées aux catastrophes. Les règles de cette catégorie ne sont pas destinées à être conservées dans l’ensemble de règles, ou doivent être encore testées avant d’être considérées comme destinées à être incluses. La plupart du temps, il s’agit de signatures simples pour l’URL binaire Storm du jour, de signatures pour intercepter les CLSID des applications vulnérables nouvellement détectées où nous n’avons pas de détail sur le code malveillant, et ainsi de suite. |
| Service de nom de domaine (DNS) | Cette catégorie est destinée aux signatures avec des règles pour les attaques et les vulnérabilités concernant le DNS. Cette catégorie est également utilisée pour les règles liées à l’abus de DNS, telles que le tunneling. |
| DOS | Cette catégorie concerne les signatures qui détectent les tentatives de déni de service (DoS). Ces règles sont destinées à intercepter les activités DoS entrantes et à fournir une indication de l’activité DoS sortante. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| Supprimer | Cette catégorie concerne les signatures servant à bloquer les adresses IP sur la liste DROP (Don’t Route or Peer, Ne pas router ou appairer) Spamhaus. Les règles de cette catégorie sont mises à jour quotidiennement. |
| Dshield | Cette catégorie est destinée aux signatures basées sur des attaquants identifiés par Dshield. Les règles de cette catégorie sont mises à jour quotidiennement à partir de la liste DShield des principaux attaquants, qui est fiable. |
| Attaque | Cette catégorie est destinée aux signatures qui protègent contre les attaques directes qui, autrement, ne sont pas couvertes dans une catégorie de service spécifique. Cette catégorie est l’endroit où se trouvent les attaques spécifiques contre les vulnérabilités telles que celles contre Microsoft Windows. Les attaques avec leur propre catégorie, telles que l’injection de code SQL, ont leur propre catégorie. |
| Exploit-Kit | Cette catégorie est destinée aux signatures de détection de l’activité liée aux kits d’exploitation de leur infrastructure et à leur remise. |
| FTP | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au protocole FTP. Cette catégorie comprend également des règles qui détectent les activités FTP non malveillantes, telles que les connexions à des fins de journalisation. |
| Jeux | Cette catégorie est destinée aux signatures qui identifient le trafic de jeu et les attaques contre ces jeux. Les règles couvrent les jeux tels que World of Warcraft, StarCraft et d’autres jeux en ligne populaires. Alors que les jeux et leur trafic ne sont pas malveillants, ils sont souvent indésirables et interdits par une stratégie sur les réseaux d’entreprise. |
| Chasse | Cette catégorie est destinée aux signatures qui fournissent des indicateurs qui, lorsqu’ils sont mis en correspondance avec d’autres signatures, peuvent être utiles pour la recherche de menaces dans un environnement. Ces règles peuvent fournir des faux positifs sur le trafic légitime et inhiber les performances. Ils sont uniquement recommandés pour une utilisation dans le cadre d’une recherche active de menaces potentielles dans l’environnement. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| ICMP | Cette catégorie concerne les signatures liées aux attaques et aux vulnérabilités relatives au protocole ICMP (Internet Control Message Protocol). |
| ICMP_info | Cette catégorie concerne les signatures liées aux événements spécifiques au protocole ICMP, généralement associées à des opérations normales à des fins de journalisation. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| IMAP | Cette catégorie concerne les signatures liées aux attaques, exploitations et aux vulnérabilités relatives au protocole IMAP (Internet Message Access Protocol). Cette catégorie comprend également des règles qui détectent les activités IMAP non malveillantes à des fins de journalisation. |
| Inapproprié | Cette catégorie est destinée aux signatures permettant d’identifier les activités potentiellement liées aux sites pornographiques ou inappropriés pour un environnement de travail. Avertissement : cette catégorie peut avoir un impact significatif sur les performances et un taux élevé de faux positifs. |
| Informations | Cette catégorie est destinée aux signatures permettant de fournir des événements de niveau audit qui sont utiles pour la corrélation et l’identification d’une activité intéressante, qui peut ne pas être malveillante par nature, mais qui est souvent observée dans des programmes malveillants et autres menaces. Par exemple, en téléchargeant un fichier exécutable sur HTTP par adresse IP plutôt que par nom de domaine. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| JA3 | Cette catégorie est destinée aux signatures d’empreintes de certificats SSL malveillants à l’aide de hachages JA3. Ces règles sont basées sur les paramètres de négociation de négociation SSL par les clients et les serveurs. Ces règles peuvent avoir un taux élevé de faux positifs, mais elles peuvent être utiles pour la chasse aux menaces ou les environnements de détonation de logiciels malveillants. |
| Programme malveillant | Cette catégorie est destinée aux signatures de détection des logiciels malveillants. Les règles de cette catégorie détectent les activités liées aux logiciels malveillants détectés sur le réseau, y compris les programmes malveillants en transit, les logiciels malveillants actifs, les infections de logiciels malveillants, les attaques de logiciels malveillants et la mise à jour de ces logiciels. Il s’agit également d’une catégorie très importante et il est vivement recommandé de l’exécuter. |
| Divers | Cette catégorie concerne les signatures non couvertes dans d’autres catégories. |
| Programme malveillant mobile | Cette catégorie est destinée aux signatures qui indiquent un logiciel malveillant associé à des systèmes d’exploitation mobiles et de tablette, tels que Google Android, Apple iOS, etc. Les logiciels malveillants détectés et associés aux systèmes d’exploitation mobiles sont généralement placés dans cette catégorie plutôt que dans les catégories standard comme les programmes malveillants. |
| NETBIOS | Cette catégorie concerne les signatures liées aux attaques, aux codes malveillants et aux vulnérabilités associées à NetBIOS. Cette catégorie comprend également des règles qui détectent les activités NetBIOS non malveillantes à des fins de journalisation. |
| P2P | Cette catégorie concerne les signatures pour l’identification du trafic P2P (peer-to-peer) et des attaques contre celle-ci. Le trafic P2P identifié comprend le storrents, eDonkey, BitTorrent, Gnutella et LimeWire, entre autres. Le trafic P2P n’est pas fondamentalement malveillant, mais il est souvent très propre aux entreprises. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| Hameçonnage | Cette catégorie concerne les signatures qui détectent l’activité de hameçonnage des informations d’identification. Cela comprend les pages d’accueil affichant le hameçonnage des informations d’identification et la soumission réussie des informations d’identification dans les sites d’hameçonnage. |
| Policy | Cette catégorie concerne les signatures qui peuvent indiquer des violations d’une stratégie de l’organisation. Cela peut inclure des protocoles sujets à des abus, et d’autres transactions au niveau de l’application, qui peuvent présenter un intérêt. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent changer cela en personnalisant ces signatures spécifiques avec le mode Alerter et refuser. |
| POP3 | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au protocole POP3 (Post Office Protocol 3.0). Cette catégorie comprend également des règles qui détectent les activités POP3 non malveillantes à des fins de journalisation. |
| RPC | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités relatives à l’appel de procédure distante (RPC). Cette catégorie comprend également des règles qui détectent les activités RPC non malveillantes à des fins de journalisation. |
| SCADA | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au contrôle et à l’acquisition de données (SCADA). Cette catégorie comprend également des règles qui détectent les activités SCADA non malveillantes à des fins de journalisation. |
| SCAN | Cette catégorie est destinée aux signatures permettant de détecter la reconnaissance et les détections à partir d’outils tels que Nessus, Nikto et d’autres outils d’analyse de port. Cette catégorie peut être utile pour détecter une activité de violation précoce et un mouvement latéral après infection au sein d’une organisation. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent changer cela en personnalisant ces signatures spécifiques avec le mode Alerter et refuser. |
| Code Shell | Cette catégorie concerne les signatures pour la détection du code shell distant. Le code shell distant est utilisé lorsqu’un attaquant souhaite cibler un processus vulnérable s’exécutant sur un autre ordinateur sur un réseau local ou un intranet. En cas d’exécution réussie, le code shell peut fournir à l’attaquant l’accès à l’ordinateur cible sur le réseau. Les codes shell distant utilisent normalement des connexions de socket TCP/IP standard pour permettre à l’attaquant d’accéder au shell sur la machine cible. Ce code shell peut être catégorisé en fonction de la configuration de cette connexion : si le code shell peut établir cette connexion, il s’agit d’un code de « shell inversé » ou de « connexion en retour » parce que le code shell se connecte à la machine de l’attaquant. |
| SMTP | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au protocole SMTP (Simple Mail Transfer Protocol). Cette catégorie comprend également des règles qui détectent les activités SMTP non malveillantes à des fins de journalisation. |
| SNMP | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au protocole SNTP (Simple Network Management). Cette catégorie comprend également des règles qui détectent les activités SMTP non malveillantes à des fins de journalisation. |
| SQL | Cette catégorie concerne les signatures liées aux attaques, aux codes malveillants et aux vulnérabilités associées au SQL (Structured Query Language). Cette catégorie comprend également des règles qui détectent les activités SQL non malveillantes à des fins de journalisation. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent changer cela en personnalisant ces signatures spécifiques avec le mode Alerter et refuser. |
| TELNET | Cette catégorie concerne les signatures liées aux attaques, aux codes malveillants et aux vulnérabilités associées à TELNET. Cette catégorie comprend également des règles qui détectent les activités TELNET non malveillantes à des fins de journalisation. |
| TFTP | Cette catégorie concerne les signatures liées aux attaques, aux attaques et aux vulnérabilités associées au protocole TFTP (Trivial File Transport Protocol). Cette catégorie comprend également des règles qui détectent les activités TFTP non malveillantes à des fins de journalisation. |
| TOR | Cette catégorie concerne les signatures pour l’identification du trafic vers et depuis les nœuds de sortie TOR en fonction de l’adresse IP. Remarque : Toutes les signatures de cette catégorie sont définies comme « Alerter uniquement ». Par conséquent, par défaut, le trafic correspondant à ces signatures n’est pas bloqué, même si le mode IDPS est défini sur « Alerter et refuser ». Les clients peuvent remplacer ce comportement en personnalisant ces signatures spécifiques en mode « Alerter et refuser ». |
| Agents utilisateurs | Cette catégorie est destinée aux signatures permettant de détecter les agents utilisateur suspects et anormaux. Les agents utilisateurs malveillants connus sont placés dans la catégorie programmes malveillants. |
| VOIP | Cette catégorie concerne les signatures pour les attaques et les vulnérabilités associées à la voix sur IP (VOIP), y compris SIP, H.323 et RTP, entre autres. |
| Client web | Cette catégorie concerne les signatures pour les attaques et les vulnérabilités associées aux clients Web, tels que les navigateurs Web, ainsi que les applications côté client telles que CURL, WGET et autres. |
| Serveur web | Cette catégorie est destinée aux signatures permettant de détecter les attaques contre l’infrastructure de serveur web, comme APACHE, TOMCAT, NGINX, Microsoft Internet Information Services (IIS) et d’autres logiciels de serveur web. |
| Applications web spécifiques | Cette catégorie est destinée aux signatures permettant de détecter les attaques et les vulnérabilités dans des applications web spécifiques. |
| WORM | Cette catégorie est destinée aux signatures détectant les activités malveillantes qui tentent automatiquement de se répandre sur Internet ou au sein d’un réseau en exploitant une vulnérabilité classée comme catégorie de ver informatique. Alors que le code malveillant lui-même est généralement identifié dans la catégorie d’exploitation ou de protocole, une autre entrée de cette catégorie peut être faite si le logiciel malveillant réel qui s’engage à la propagation de type ver peut également être identifié. |
Étapes suivantes
- Pour plus d’informations sur les fonctionnalités de Pare-feu Azure Premium, consultez Fonctionnalités de Pare-feu Azure Premium.