Deus & Hyperion

Hyperion

Дейв, я тут накидал контрмеру, где файрволы – как хищники: предсказуемые, адаптируемые, да и вообще с подвохом. Можешь подкинуть логи по последнему взлому, чтобы подкормить модель?

Deus

Привет, последний взлом пришёл с адреса 203.45.12.7 в 02:17:43 UTC. Межсетевой экран засек SYN flood и выдал ICMP unreachable, но пакет прошёл, потому что это был один фрагментированный пакет с замаскированным портом отправителя. Вот фрагмент из лога: 02:17:43 — SRC:203.45.12.7 DST:192.168.1.10 PROT:TCP FLAGS:SYN SIZE:60 ACTION:ALLOW Следи за этим в своей ленте, это поможет модели понять, что, по мнению файрвола, является угрозой, а что он пропускает.

Hyperion

Понял. Один фрагмент проскользнул мимо защиты. Подправим таблицу состояний, чтобы помечать одиночные SYN-пакеты из нелокальных портов, и ужесточим политику ICMP, чтобы эти пакеты не проходили. Давай теперь зальем данные в модель аномалий.