f5networks.f5_modules.bigip_firewall_dos_vector module – Управление конфигурацией векторов атак в профиле AFM DoS

allow_advertisement

логическое значение

Указывает, что адреса, идентифицированные для внесения в чёрный список, объявляются маршрутизаторам BGP.

Варианты:

• false
• true

attack_ceiling

строка

Задаёт абсолютный максимально допустимый порог для пакетов этого типа.

Если задано это значение, скорость передачи пакетов ограничивается указанным количеством пакетов в секунду.

Чтобы не задавать жёсткое ограничение и разрешить автоматическим порогам управлять всеми ограничениями скорости, задайте значение infinite.

attack_floor

строка

Задаёт количество пакетов в секунду, необходимое для обнаружения атаки.

Эти настройки задают абсолютный минимальный порог количества пакетов, которое должно быть разрешено до обнаружения атаки.

Со временем автоматические пороги обнаружения адаптируются к трафику и использованию ЦП системой, поэтому этот нижний порог атаки становится менее значимым.

Это значение не может превышать значение attack_floor.

auto_blacklist

логическое значение

Автоматически добавляет обнаруженных злоумышленников в чёрный список.

Чтобы включить этот параметр, необходимо также включить bad_actor_detection.

Этот параметр не поддерживается вектором dns-malformed.

Этот параметр не поддерживается вектором qdcount.

Варианты:

• false
• true

bad_actor_detection

логическое значение

Указывает, включено ли обнаружение злоумышленников для вектора, если оно доступно.

Чтобы включить параметр auto_blacklist, необходимо включить этот параметр.

Этот параметр не поддерживается вектором dns-malformed.

Этот параметр не поддерживается вектором qdcount.

Варианты:

• false
• true

blacklist_detection_seconds

целое число

Время в секундах до добавления в чёрный список.

blacklist_duration

целое число

Продолжительность действия чёрного списка в секундах.

detection_threshold_eps

псевдонимы: rate_threshold

строка

Указывает, сколько пакетов в секунду система должна обнаружить в трафике, чтобы выявить эту атаку.

detection_threshold_percent

псевдонимы: rate_increase

строка

Указывает пороговое процентное увеличение трафика за определённое время, которое система должна обнаружить, чтобы выявить эту атаку.

Вектор tcp-half-open не поддерживает этот параметр.

mitigation_threshold_eps

псевдонимы: rate_limit

строка

Задаёт максимальное количество пакетов этого типа в секунду, разрешённое системой для вектора.

Система отбрасывает пакеты, когда уровень трафика превышает ограничение скорости.

name

строка / обязательный

Задаёт имя вектора, который нужно изменить.

Векторы, поставляемые вместе с устройством, являются «жёстко заданными»: список векторов известен системе, и пользователи не могут добавлять новые. Пользователи могут изменять только существующие векторы; по умолчанию все они отключены.

Если задано bad-icmp-chksum, настраивается вектор безопасности сети «Bad ICMP Checksum».

Если задано bad-icmp-frame, настраивается вектор безопасности сети «Bad ICMP Frame».

Если задано bad-igmp-frame, настраивается вектор безопасности сети «Bad IGMP Frame».

Если задано bad-ip-opt, настраивается вектор безопасности сети «IP Option Illegal Length».

Если задано bad-ipv6-hop-cnt, настраивается вектор безопасности сети «Bad IPv6 Hop Count».

Если задано bad-ipv6-ver, настраивается вектор безопасности сети «Bad IPv6 Version».

Если задано bad-sctp-chksum, настраивается вектор безопасности сети «Bad SCTP Checksum».

Если задано bad-tcp-chksum, настраивается вектор безопасности сети «Bad TCP Checksum».

Если задано bad-tcp-flags-all-clr, настраивается вектор безопасности сети «Bad TCP Flags (All Cleared)».

Если задано bad-tcp-flags-all-set, настраивается вектор безопасности сети «Bad TCP Flags (All Flags Set)».

Если задано bad-ttl-val, настраивается вектор безопасности сети «Bad IP TTL Value».

Если задано bad-udp-chksum, настраивается вектор безопасности сети «Bad UDP Checksum».

Если задано bad-udp-hdr, настраивается вектор безопасности сети «Bad UDP Header (UDP Length > IP Length or L2 Length)».

Если задано bad-ver, настраивается вектор безопасности сети «Bad IP Version».

Если задано arp-flood, настраивается вектор безопасности сети «ARP Flood».

Если задано flood, настраивается вектор безопасности сети «Single Endpoint Flood».

Если задано igmp-flood, настраивается вектор безопасности сети «IGMP Flood».

Если задано igmp-frag-flood, настраивается вектор безопасности сети «IGMP Fragment Flood».

Если задано ip-bad-src, настраивается вектор безопасности сети «Bad Source».

Если задано ip-err-chksum, настраивается вектор безопасности сети «IP Error Checksum».

Если задано ip-len-gt-l2-len, настраивается вектор безопасности сети «IP Length > L2 Length».

Если задано ip-other-frag, настраивается вектор безопасности сети «IP Fragment Error».

Если задано ip-overlap-frag, настраивается вектор безопасности сети «IP Fragment Overlap».

Если задано ip-short-frag, настраивается вектор безопасности сети «IP Fragment Too Small».

Если задано ip-uncommon-proto, настраивается вектор безопасности сети «IP Uncommon Proto».

Если задано ip-unk-prot, настраивается вектор безопасности сети «IP Unknown Protocol».

Если задано ipv4-mapped-ipv6, настраивается вектор безопасности сети «IPv4 Mapped IPv6».

Если задано ipv6-atomic-frag, настраивается вектор безопасности сети «IPv6 Atomic Fragment».

Если задано ipv6-bad-src, настраивается вектор безопасности сети «Bad IPv6 Addr».

Если задано ipv6-len-gt-l2-len, настраивается вектор безопасности сети «IPv6 Length > L2 Length».

Если задано ipv6-other-frag, настраивается вектор безопасности сети «IPv6 Fragment Error».

Если задано ipv6-overlap-frag, настраивается вектор безопасности сети «IPv6 Fragment Overlap».

Если задано ipv6-short-frag, настраивается вектор безопасности сети «IPv6 Fragment Too Small».

Если задано l2-len-ggt-ip-len, настраивается вектор безопасности сети «L2 Length >> IP Length».

Если задано l4-ext-hdrs-go-end, настраивается вектор безопасности сети «No L4 (Extension Headers Go To Or Past The End of Frame)».

Если задано land-attack, настраивается вектор безопасности сети «LAND Attack».

Если задано no-l4, настраивается вектор безопасности сети «No L4».

Если задано no-listener-match, настраивается вектор безопасности сети «No Listener Match».

Если задано non-tcp-connection, настраивается вектор безопасности сети «Non TCP Connection».

Если задано payload-len-ls-l2-len, настраивается вектор безопасности сети «Payload Length < L2 Length».

Если задано routing-header-type-0, настраивается вектор безопасности сети «Routing Header Type 0».

Если задано syn-and-fin-set, настраивается вектор безопасности сети «SYN && FIN Set».

Если задано tcp-ack-flood, настраивается вектор безопасности сети «TCP BADACK Flood».

Если задано tcp-hdr-len-gt-l2-len, настраивается вектор безопасности сети «TCP Header Length > L2 Length».

Если задано tcp-hdr-len-too-short, настраивается вектор безопасности сети «TCP Header Length Too Short (Length < 5)».

Если задано hdr-len-gt-l2-len, настраивается вектор безопасности сети «Header Length > L2 Length».

Если задано hdr-len-too-short, настраивается вектор безопасности сети «Header Length Too Short».

Если задано bad-ext-hdr-order, настраивается вектор безопасности сети «IPv6 Extended Headers Wrong order».

Если задано ext-hdr-too-large, настраивается вектор безопасности сети «IPv6 extension header too large».

Если задано hop-cnt-low, настраивается вектор безопасности сети «IPv6 hop count <= <tunable>».

Если задано host-unreachable, настраивается вектор безопасности сети «Host Unreachable».

Если задано icmp-frag, настраивается вектор безопасности сети «ICMP Fragment».

Если задано icmp-frame-too-large, настраивается вектор безопасности сети «ICMP Frame Too Large».

Если задано icmpv4-flood, настраивается вектор безопасности сети «ICMPv4 flood».

Если задано icmpv6-flood, настраивается вектор безопасности сети «ICMPv6 flood».

Если задано ip-frag-flood, настраивается вектор безопасности сети «IP Fragment Flood».

Если задано ip-low-ttl, настраивается вектор безопасности сети «TTL <= <tunable>».

Если задано ip-opt-frames, настраивается вектор безопасности сети «IP Option Frames».

Если задано ipv6-ext-hdr-frames, настраивается вектор безопасности сети «IPv6 Extended Header Frames».

Если задано ipv6-frag-flood, настраивается вектор безопасности сети «IPv6 Fragment Flood».

Если задано opt-present-with-illegal-len, настраивается вектор безопасности сети «Option Present With Illegal Length».

Если задано sweep, настраивается вектор безопасности сети «Sweep».

Если задано tcp-bad-urg, настраивается вектор безопасности сети «TCP Flags-Bad URG».

Если задано tcp-half-open, настраивается вектор безопасности сети «TCP Half Open».

Если задано tcp-opt-overruns-tcp-hdr, настраивается вектор безопасности сети «TCP Option Overruns TCP Header».

Если задано tcp-psh-flood, настраивается вектор безопасности сети «TCP PUSH Flood».

Если задано tcp-rst-flood, настраивается вектор безопасности сети «TCP RST Flood».

Если задано tcp-syn-flood, настраивается вектор безопасности сети «TCP SYN Flood».

Если задано tcp-syn-oversize, настраивается вектор безопасности сети «TCP SYN Oversize».

Если задано tcp-synack-flood, настраивается вектор безопасности сети «TCP SYN ACK Flood».

Если задано tcp-window-size, настраивается вектор безопасности сети «TCP Window Size».

Если задано tidcmp, настраивается вектор безопасности сети «TIDCMP».

Если задано too-many-ext-hdrs, настраивается вектор безопасности сети «Too Many Extension Headers».

Если задано dup-ext-hdr, настраивается вектор безопасности сети «IPv6 Duplicate Extension Headers».

Если задано fin-only-set, настраивается вектор безопасности сети «FIN Only Set».

Если задано ether-brdcst-pkt, настраивается вектор безопасности сети «Ethernet Broadcast Packet».

Если задано ether-multicst-pkt, настраивается вектор безопасности сети «Ethernet Multicast Packet».

Если задано ether-mac-sa-eq-da, настраивается вектор безопасности сети «Ethernet MAC Source Address == Destination Address».

Если задано udp-flood, настраивается вектор безопасности сети «UDP Flood».

Если задано unk-ipopt-type, настраивается вектор безопасности сети «Unknown Option Type».

Если задано unk-tcp-opt-type, настраивается вектор безопасности сети «Unknown TCP Option Type».

Если задано a, настраивается вектор защиты протокола DNS «DNS A Query».

Если задано aaaa, настраивается вектор защиты протокола DNS «DNS AAAA Query».

Если задано any, настраивается вектор защиты протокола DNS «DNS ANY Query».

Если задано axfr, настраивается вектор защиты протокола DNS «DNS AXFR Query».

Если задано cname, настраивается вектор защиты протокола DNS «DNS CNAME Query».

Если задано dns-malformed, настраивается вектор защиты протокола DNS «dns-malformed».

Если задано dns-nxdomain-query, настраивается вектор защиты протокола DNS «dns-nxdomain-query».

Если задано dns-response-flood, настраивается вектор защиты протокола DNS «dns-response-flood».

Если задано dns-oversize, настраивается вектор защиты протокола DNS «dns-oversize».

Если задано ixfr, настраивается вектор защиты протокола DNS «DNS IXFR Query».

Если задано mx, настраивается вектор защиты протокола DNS «DNS MX Query».

Если задано ns, настраивается вектор защиты протокола DNS «DNS NS Query».

Если задано other, настраивается вектор защиты протокола DNS «DNS OTHER Query».

Если задано ptr, настраивается вектор защиты протокола DNS «DNS PTR Query».

Если задано qdcount, настраивается вектор защиты протокола DNS «DNS QDCOUNT Query».

Если задано soa, настраивается вектор защиты протокола DNS «DNS SOA Query».

Если задано srv, настраивается вектор защиты протокола DNS «DNS SRV Query».

Если задано txt, настраивается вектор защиты протокола DNS «DNS TXT Query».

Если задано ack, настраивается вектор защиты протокола SIP «SIP ACK Method».

Если задано bye, настраивается вектор защиты протокола SIP «SIP BYE Method».

Если задано cancel, настраивается вектор защиты протокола SIP «SIP CANCEL Method».

Если задано invite, настраивается вектор защиты протокола SIP «SIP INVITE Method».

Если задано message, настраивается вектор защиты протокола SIP «SIP MESSAGE Method».

Если задано notify, настраивается вектор защиты протокола SIP «SIP NOTIFY Method».

Если задано options, настраивается вектор защиты протокола SIP «SIP OPTIONS Method».

Если задано other, настраивается вектор защиты протокола SIP «SIP OTHER Method».

Если задано prack, настраивается вектор защиты протокола SIP «SIP PRACK Method».

Если задано publish, настраивается вектор защиты протокола SIP «SIP PUBLISH Method».

Если задано register, настраивается вектор защиты протокола SIP «SIP REGISTER Method».

Если задано sip-malformed, настраивается вектор защиты протокола SIP «sip-malformed».

Если задано subscribe, настраивается вектор защиты протокола SIP «SIP SUBSCRIBE Method».

Если задано uri-limit, настраивается вектор защиты протокола SIP «uri-limit».

Варианты:

• "bad-icmp-chksum"
• "bad-icmp-frame"
• "bad-igmp-frame"
• "bad-ip-opt"
• "bad-ipv6-hop-cnt"
• "bad-ipv6-ver"
• "bad-sctp-chksum"
• "bad-tcp-chksum"
• "bad-tcp-flags-all-clr"
• "bad-tcp-flags-all-set"
• "bad-ttl-val"
• "bad-udp-chksum"
• "bad-udp-hdr"
• "bad-ver"
• "arp-flood"
• "flood"
• "igmp-flood"
• "igmp-frag-flood"
• "ip-bad-src"
• "ip-err-chksum"
• "ip-len-gt-l2-len"
• "ip-other-frag"
• "ip-overlap-frag"
• "ip-short-frag"
• "ip-uncommon-proto"
• "ip-unk-prot"
• "ipv4-mapped-ipv6"
• "ipv6-atomic-frag"
• "ipv6-bad-src"
• "ipv6-len-gt-l2-len"
• "ipv6-other-frag"
• "ipv6-overlap-frag"
• "ipv6-short-frag"
• "l2-len-ggt-ip-len"
• "l4-ext-hdrs-go-end"
• "land-attack"
• "no-l4"
• "no-listener-match"
• "non-tcp-connection"
• "payload-len-ls-l2-len"
• "routing-header-type-0"
• "syn-and-fin-set"
• "tcp-ack-flood"
• "tcp-hdr-len-gt-l2-len"
• "tcp-hdr-len-too-short"
• "hdr-len-gt-l2-len"
• "hdr-len-too-short"
• "bad-ext-hdr-order"
• "ext-hdr-too-large"
• "hop-cnt-low"
• "host-unreachable"
• "icmp-frag"
• "icmp-frame-too-large"
• "icmpv4-flood"
• "icmpv6-flood"
• "ip-frag-flood"
• "ip-low-ttl"
• "ip-opt-frames"
• "ipv6-ext-hdr-frames"
• "ipv6-frag-flood"
• "opt-present-with-illegal-len"
• "sweep"
• "tcp-bad-urg"
• "tcp-half-open"
• "tcp-opt-overruns-tcp-hdr"
• "tcp-psh-flood"
• "tcp-rst-flood"
• "tcp-syn-flood"
• "tcp-syn-oversize"
• "tcp-synack-flood"
• "tcp-window-size"
• "tidcmp"
• "too-many-ext-hdrs"
• "dup-ext-hdr"
• "fin-only-set"
• "ether-brdcst-pkt"
• "ether-multicst-pkt"
• "ether-mac-sa-eq-da"
• "udp-flood"
• "unk-ipopt-type"
• "unk-tcp-opt-type"
• "a"
• "aaaa"
• "any"
• "axfr"
• "cname"
• "dns-malformed"
• "dns-nxdomain-query"
• "dns-response-flood"
• "dns-oversize"
• "ixfr"
• "mx"
• "ns"
• "other"
• "ptr"
• "qdcount"
• "soa"
• "srv"
• "txt"
• "ack"
• "bye"
• "cancel"
• "invite"
• "message"
• "notify"
• "options"
• "other"
• "prack"
• "publish"
• "register"
• "sip-malformed"
• "subscribe"
• "uri-limit"

partition

строка

Раздел устройства, в котором выполняется управление ресурсами.

По умолчанию: "Common"

per_source_ip_detection_threshold

строка

Задаёт количество пакетов в секунду, необходимое для идентификации IP-адреса как адреса злоумышленника.

per_source_ip_mitigation_threshold

строка

Задаёт ограничение скорости для исходного IP-адреса, идентифицированного как адрес злоумышленника.

profile

строка / обязательный

Задаёт имя профиля, в котором требуется управлять векторами.

Имя device-config зарезервировано для использования этим модулем.

Управлять векторами можно в профилях DoS или в конфигурации устройства. Если указать профиль «device-config», модуль настроит указанные векторы непосредственно в конфигурации устройства.

provider

словарь

добавлено в f5networks.f5_modules 1.0.0

Объект dict, содержащий сведения о подключении.

auth_provider

строка

Настраивает поставщика аутентификации, используемого для получения токенов аутентификации с удалённого устройства.

Этот параметр применяется в основном при работе с устройствами BIG-IQ.

no_f5_teem

логическое значение

Если yes, телеметрические данные TEEM не отправляются в F5.

Этот параметр можно не указывать, задав переменную среды F5_TELEMETRY_OFF.

Ранее использовавшаяся переменная F5_TEEM устарела, поскольку её название было неоднозначным.

Варианты:

• false ← (по умолчанию)
• true

password

псевдонимы: pass, pwd

строка / обязательный

Пароль учётной записи пользователя, используемой для подключения к BIG-IP или BIG-IQ.

Этот параметр можно не указывать, задав переменную среды F5_PASSWORD.

server

строка / обязательный

Имя хоста BIG-IP или BIG-IQ.

Этот параметр можно не указывать, задав переменную среды F5_SERVER.

server_port

целое число

Порт сервера BIG-IP.

Этот параметр можно не указывать, задав переменную среды F5_SERVER_PORT.

По умолчанию: 443

timeout

целое число

Задаёт время ожидания в секундах при обмене данными с сетевым устройством — для установления соединения или отправки команд. Если время ожидания истечёт до завершения операции, модуль сообщит об ошибке.

transport

строка

Настраивает транспортное соединение, используемое для подключения к удалённому устройству.

Варианты:

• "rest" ← (по умолчанию)

user

string / обязательно

Имя пользователя для подключения к BIG-IP или BIG-IQ. Этот пользователь должен иметь права администратора на устройстве.

Этот параметр можно не указывать, задав переменную окружения F5_USER.

validate_certs

boolean

Если значение равно no, SSL-сертификаты не проверяются. Используйте этот параметр только на сайтах, которыми вы лично управляете и где используются самоподписанные сертификаты.

Этот параметр можно не указывать, задав переменную окружения F5_VALIDATE_CERTS.

Варианты:

• false
• true ← (по умолчанию)

simulate_auto_threshold

boolean

Указывает, что результаты текущих автоматических пороговых значений записываются в журнал, однако применяются ручные пороговые значения, а автоматические пороговые значения не вызывают никаких действий.

Вектор sweep не поддерживает этот параметр.

Варианты:

• false
• true

state

string

Если state имеет значение mitigate, вектор применяет ограничения и пороговые значения.

Если state имеет значение detect-only, вектор не применяет ограничения и пороговые значения (ограничение частоты, отбрасывание и т. д.), но по-прежнему учитывается в журналах и статистике.

Если state имеет значение disabled, вектор не применяет ограничения и пороговые значения, но по-прежнему учитывается в журналах и статистике.

Если state имеет значение learn-only, вектор не «обнаруживает» атаки. Выполняется только обучение и сбор статистики.

Варианты:

• "mitigate"
• "detect-only"
• "learn-only"
• "disabled"

threshold_mode

string

Вектор dns-malformed не поддерживает значения fully-automatic и stress-based-mitigation для этого параметра.

Вектор qdcount не поддерживает значения fully-automatic и stress-based-mitigation для этого параметра.

Вектор sip-malformed не поддерживает значения fully-automatic и stress-based-mitigation для этого параметра.

Варианты:

• "manual"
• "stress-based-mitigation"
• "fully-automatic"

allow_advertisement

boolean

Новое значение параметра «Разрешить внешнее объявление».

Возвращается: changed

Пример: true

attack_ceiling

string

Новое значение параметра «Верхний порог атаки EPS».

Возвращается: changed

Пример: "infinite"

attack_floor

string

Новое значение параметра «Нижний порог атаки EPS».

Возвращается: changed

Пример: "infinite"

auto_blacklist

boolean

Новое значение параметра «Автоматический черный список».

Возвращается: changed

Пример: false

bad_actor_detection

boolean

Новое значение параметра «Обнаружение нарушителей».

Возвращается: changed

Пример: false

blacklist_category

string

Новое значение параметра «Имя категории».

Возвращается: changed

Пример: "/Common/cloud_provider_networks"

blacklist_detection_seconds

integer

Новое значение параметра «Время обнаружения продолжительной атаки».

Возвращается: changed

Пример: 60

blacklist_duration

integer

Новое значение параметра «Продолжительность действия категории».

Возвращается: changed

Пример: 14400

detection_threshold_eps

string

Новое значение параметра «Порог обнаружения EPS».

Возвращается: changed

Пример: "infinite"

detection_threshold_percent

string

Новое значение параметра «Порог обнаружения в процентах».

Возвращается: changed

Пример: "infinite"

mitigation_threshold_eps

string

Новое значение параметра «Порог смягчения последствий EPS».

Возвращается: changed

Пример: "infinite"

per_source_ip_detection_threshold

string

Новое значение параметра «Порог обнаружения EPS для каждого IP-адреса источника».

Возвращается: changed

Пример: "23"

per_source_ip_mitigation_threshold

string

Новое значение параметра «Порог смягчения последствий EPS для каждого IP-адреса источника».

Возвращается: changed

Пример: "infinite"

simulate_auto_threshold

boolean

Новое значение параметра «Имитация автоматического порогового значения».

Возвращается: changed

Пример: false

state

string

Новое состояние вектора.

Возвращается: changed

Пример: "mitigate"

threshold_mode

string

Новое значение параметра «Порог смягчения последствий EPS».

Возвращается: changed

Пример: "infinite"