IPS protocol parsing question \ feature request

Hi aners,

yes, you can create such a rule. Basically any rule can be added to the ruleset by using the "Local rules" feature. You can also get an automatic alert on the rule.
For performance reasons, the packet that caused the alert is not stored on ASL though.

Regards,
Stephan
  

Thanks stephan,

I really need your help here.
How do you use the local rule feature ?
Can i download some documentation on the IPS feature ?
thanks
aner  

To add a new rule, go to "Intrusion Prevention->Rules" and select "New rule".
Enter the following fields there:

Description: any description that helps you recognize the rule afterwards
Selector: the IP address and port properties of the rule in Snort syntax (protocol, source IP, source port, "->", destination IP, destination port)
Filter: the actual content recognition in Snort syntax

Example:
Description: Telnet test rule
Selector: tcp any any -> any 23
Filter: content:"Username";

After clicking on "Add local rule", the new rule can be found in the "local" group and used in the same way as any other rule.

For more information on Snort syntax, take a look at http://www.snort.org
More information on the ASL IPS can be found in the on-line help.

Stephan
    

Thanks stephan !

I managed to add the rule.
2 more questions (if you have time to answer) :
1. how do i see /modify the local rules i just added ?
2. Where can i view the alerts?

aner  

Thanks stephan !

I managed to add the rule.
2 more questions (if you have time to answer) :
1. how do i see /modify the local rules i just added ?
2. Where can i view the alerts?

aner  

Hi aners,

you can find the newly added rule in the "local" group. Currently it is not possible to re-edit it though.
Alerting is enabled in the "Notification Levels" section. Depending on whether you made your rule a drop or alert rule, you need to enable notifications for "Detected" or "Dropped". Make sure that your e-mail notification address is entered in "System->Settings->Administrator contact".

Stephan