{{indexmenu_n>4}}
====== Обнаружение SSH брутфорс атак с использованием триггеров в QoE ======

[[dpi:qoe_analytics:qoe_gui:offline_analytics:triggers_and_notifications|Триггеры]] используются для поиска данных в QoE Stor по заданным параметрам. После срабатывания триггера возможно одно из действий:
  * уведомление в GUI
  * HTTP действие
  * отправка email

Необходимые опции СКАТ DPI:
  * [[dpi:dpi_options:opt_statistics]]
  * [[dpi:dpi_options:opt_notify]]
Необходимые дополнительные модули:
  * [[dpi:dpi_components:dpiui|]]
  * [[dpi:qoe_analytics:implementation_administration|]]

===== Системный триггер на обнаружение SSH брутфорс атак =====

Триггер на обнаружение SSH брутфорс атак (Имя - "ssh bruteforce") является системным и доступен в разделе QoE Аналитика → Триггеры и нотификации (по умолчанию выключен).

=== Общая информация триггера ===

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_common.png?600 |}}

  * Название триггера "ssh bruteforce";
  * Дни недели - все;
  * Частота проверки - 10 минут;
  * Частота срабатывания триггера - 0;
  * Даты и время начала/окончания работы настраиваются при необходимости.

<note>Каждый день периодичностью в 10 минут будет происходить проверка по условиям описанным ниже.</note>

=== Запросы ===

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_queries.png?600 |}}

Для данного тригера установлен не редактируемый запрос со следующими параметрами:

  * Таблица для сканирования: Сырой полный нетфлоу → Таблицы → Обнаружение атак → SSH брутфорс;
  * Период с: сейчас - 30 минут
  * Период по: сейчас - 20 минут


=== Условия ===

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_conditions.png?600 |}}

  * Добавить "+" 2 поля
  * Связка – И
  * Функция – avg для 1 поля, max для 2 поля
  * Серия в 1 поле – Время жизни сессии к абоненту, мс <= 20
  * Серия во 2 поле – Сессий на абонента >= 1500


<note>Мы задали условия для срабатывания триггера: Средняя продолжительность SSH-сессии к абоненту меньше 20мс и количество SSH-сессий для абонента больше 1500 за обрабатываемый период времени.</note>

=== Обработка ошибок ===

{{ :dpi:qoe_analytics:cases:network_health:triggers_setup:ddos_error.png?600 |}}

  * В поле "Если нет данных" — Нет данных
  * В поле "Если ошибка выполнения или тайм-аут" — Сохранить последнее состояние

<note>В данной конфигурации при отсутсвии ошибок данные не будут сохранены, в случае, если ошибки есть - сохранится информация о подозрительной активности.</note>

=== Действия ===
== E-mail действие ==

{{ :dpi:qoe_analytics:cases:network_health:triggers_setup:ddos_email.png?600 |}}

  * Для автоматического заполнения — кликнуть по иконке {{:dpi:qoe_analytics:cases:network_health:file-code.svg|}} (автоматическое заполнение формы)
  * В поле "Кому" — указать адрес электронной почты
  * При этой настройке, при срабатывании триггера на указанный адрес электронной почты будет отправлена вся информация о нотификации: ИД, название триггера, статус, ссылка на отчет (сохраненное состояние)

== Нотификация ==
{{ :dpi:qoe_analytics:cases:network_health:triggers_setup:ddos_notification.png?600 |}}

  * Для автоматического заполнения — кликнуть {{:dpi:qoe_analytics:cases:network_health:file-code.svg|}} (автоматическое заполнение формы)
  * Выбрать тип нотификации — "Предупреждение"
  * При этой настройке будет создана нотификация в СКАТ

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_alerting.png?600 |}}

Получить ссылку на отчет можно через меню нотификаций

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_notofication.png?400 |}}

Выбрать нотификацию
Выбрать — "Детали"

{{ :dpi:qoe_analytics:cases:network_health:triggers_ssh_bruteforce:dpiui2_triggers_bruteforce_notofication_details.png?400 |}}

Перейти по ссылке на отчет — отчет откроется в новом окне браузера.

== HTTP действие ==

{{ :dpi:qoe_analytics:cases:network_health:triggers_setup:ddos_http.png?600 |}}

Для автоматического заполнения — кликнуть {{:dpi:qoe_analytics:cases:network_health:file-code.svg|}} (автоматическое заполнение формы)
Выбрать метод наиболее приемлемый для вашей ticket-системы и ввести URL адрес