Interpretando Filtros Manuais¶

Parâmetros¶

Escopo Global¶

any » Tudo, o mesmo que 0.0.0.0/0 e ::/0.

Direcionamento de Fluxo¶

src » Origem.
dst » Destino.

Protocolo e Controle¶

proto » Protocolo de comunicação (TCP, UDP, ICMP, ICMP6, GRE, etc).
ttl » Valor de Time-to-Live (TTL) do pacote, indicando quantos saltos ele ainda pode fazer antes de ser descartado.

Portas de Serviço¶

port » Número da porta.
port in » Números das portas.
src port » Porta de origem.
dst port » Porta de destino.
src port in [range] » Lista de portas de origem.
dst port in [range] » Lista de portas de destino.

Campos [range] você pode adicionar mais de um valor [ valor-1 valor-2 valor-3 ]

Rede e Prefixos¶

net » Prefixo de rede.
src net » Prefixo de rede de origem.
dst net » Prefixo de rede de destino.

Endereçamento IP¶

ip » Endereço IP.
ip in [range] » Lista IPs ou prefixos.
src ip » Endereço IP de origem.
dst ip » Endereço IP de destino.
src ip in [range] » Lista IPs ou prefixos de origem.
dst ip in [range] » Lista IPs ou prefixos de destino.

Sistemas Autônomos (AS)¶

as » AS (Sistema Autônomo).
as in [range] » Lista de AS.
src as » AS de origem.
dst as » AS de destino.
src as in [range] » Lista de AS de origens.
dst as in [range] » Lista de AS de destinos.

Geolocalização¶

geo » País.
geo in [range] » Lista de países.
src geo » País de origem.
dst geo » País de destino.
src geo in [range] » Lista países de origem.
dst geo in [range] » Lista países de destino.

Roteamento e Saltos¶

bgpnext ip » Próximo IP BGP. O endereço do próximo salto no caminho BGP.
next ip » Próximo IP. O próximo endereço IP no caminho da rota (Next Hop).

Interfaces de Hardware¶

if [número] » Interface. Identifica uma interface específica pelo seu número SNMP.
in if [número] » Interface de entrada (Ingress).
out if [número] » Interface de saída (Egress).

Tradução de Endereços (NAT)¶

nat ip » Endereço IP traduzido/compartilhado.
src nat ip » Endereço IP de origem traduzido.
dst nat ip » Endereço IP de destino traduzido.
src nat port » Porta de origem traduzida.
dst nat port » Porta de destino traduzida.
src nat port in [range] » Lista de portas de origem traduzidas.
dst nat port in [range] » Lista de portas de destino traduzidas.
nat net » Prefixo de rede traduzida.
src nat net » Prefixo de rede de origem traduzida.
dst nat net » Prefixo de rede de destino traduzida.

Operadores¶

Os operadores são usados para combinar ou modificar filtros para refinar a busca de dados:

AND » Operador lógico AND (E).
NOT » Operador lógico NOT (NÃO).
OR » Operador lógico OR (OU).

Exemplos¶

IP¶

Filtra o tráfego pelo IP especificado, tanto em origem quanto em destino.
- ip 10.0.168.9
Filtra o tráfego com destino ao IP especificado.
- dst ip 10.0.168.9
Filtra o tráfego com destino ao endereço IPv6 especificado.
- dst ip 2001:db8:bebe:cafe::9
Filtra o tráfego com destino a qualquer um dos IPs especificados.
- dst ip 10.0.168.9 OR dst ip 2001:db8:bebe:cafe::9
Filtra o tráfego com destino a qualquer um dos IPs na lista especificada.
- dst ip in [10.0.168.9 2001:db8:bebe:cafe::9]
Filtra tráfego para o IP 10.0.168.9 na porta de destino 443.
- dst ip 10.0.168.9 AND dst port 443
Filtra tráfego para o IP 10.0.168.9 na porta 443, independente de ser porta de origem ou destino.
- dst ip 10.0.168.9 AND port 443
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443 ou 8080.
- dst ip 10.0.168.9 AND (dst port 443 OR dst port 8080)
Filtra tráfego para os IPs 10.0.168.9 ou 2001:db8:bebe:cafe::9 nas portas de destino 443 ou 8080.
- (dst ip 10.0.168.9 OR dst ip 2001:db8:bebe:cafe::9) AND (dst port 443 OR dst port 8080)
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443 ou 8080.
- dst ip 10.0.168.9 AND dst port in [443 8080]
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443, 8080 ou 25.
- dst ip 10.0.168.9 AND dst port in [443 8080 25]
Filtra tráfego para o IP 10.0.168.9 nas portas de destino menores ou iguais a 1024.
- dst ip 10.0.168.9 AND dst port <= 1024
Filtra tráfego para o IP 10.0.168.9 em um range de portas de destino de 0 a 1024.
- dst ip 10.0.168.9 AND dst port >= 0 AND dst port <= 1024
Filtra tráfego para o IP 10.0.168.18 em um range de portas de destino de 8000 a 9000-
- dst ip 10.0.168.18 AND dst port >= 8000 AND dst port <= 9000
Filtra tráfego para o IP 10.0.168.2 que usa o protocolo UDP.
- dst ip 10.0.168.2 AND proto UDP
Filtra tráfego para o IP 10.0.168.2 que usa o protocolo TCP.
- dst ip 10.0.168.2 AND proto TCP
Filtra tráfego para o IP 10.0.168.2 nas portas de destino de 0 a 1024 que usa o protocolo UDP
- dst ip 10.0.168.2 AND dst port >= 0 AND dst port <= 1024 AND proto UDP
Filtra tráfego para o IP 10.0.168.27 que usa o protocolo ICMP.
- dst ip 10.0.168.27 AND proto ICMP

NET¶

Filtra tráfego associado à rede 10.0.170.0/24.
- net 10.0.170.0/24
Filtra tráfego com destino à rede 10.0.170.0/24.
- dst net 10.0.170.0/24
Filtra tráfego originado da rede 10.0.170.0/24.
- src net 10.0.170.0/24
Filtra tráfego associado às redes 10.0.170.0/24 ou 10.0.171.0/24.
- (net 10.0.170.0/24 OR net 10.0.171.0/24)
Filtra tráfego destinado à rede 10.0.170.0/24 usando o protocolo ICMP.
- dst net 10.0.170.0/24 AND proto ICMP
Filtra tráfego destinado à rede 10.0.170.0/24 usando o protocolo GRE.
- dst net 10.0.170.0/24 AND proto GRE
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo UDP.
- dst net 10.0.168.0/21 AND proto UDP
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo UDP, excluindo tráfego de origem na porta 443.
- dst net 10.0.168.0/21 AND proto UDP AND not src port in [443]
Filtra tráfego destinado ao IP 10.0.168.9 na porta 8080 utilizando o protocolo TCP.
- dst ip 10.0.168.9 AND dst port 8080 AND proto TCP
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo TCP, excluindo tráfego originado nas portas 443 e 80.
- dst net 10.0.168.0/21 AND proto TCP AND not src port in [443 80]
Filtra tráfego destinado à rede 10.0.170.0/24 utilizando o protocolo ICMP.
- dst net 10.0.170.0/24 AND proto ICMP

ICMP¶

Tipos de ICMP

0: Echo Reply: Resposta a um echo request (ping).
3: Destination Unreachable: O destino não é alcançável, com códigos de 0 a 15 detalhando a razão.
4: Source Quench: Pedido para reduzir a velocidade de envio de mensagens (obsoleto).
5: Redirect: Instrui a mudança de rota, com códigos de 0 a 3.
8: Echo Request: Usado para verificar a acessibilidade de um host (ping).
9 e 10: Router Advertisement e Router Solicitation: Para descoberta automática de roteadores.
11: Time Exceeded: O TTL de um pacote expirou, com códigos 0 e 1.
12: Parameter Problem: Problema nos parâmetros, com códigos de 0 a 2.
13 e 14: Timestamp e Timestamp Reply: Para sincronização de tempo.

Códigos de ICMP

0: Rede inalcançável.
1: Host inalcançável.
2: Protocolo inalcançável.
3: Porta inalcançável.
4: Fragmentação necessária e DF marcado.
5: Falha no roteamento de origem.
Echo Request (ICMP tipo 8, código 0)
- dst net 10.0.170.0/24 AND proto ICMP AND icmp-type 8 AND icmp-code 0
Time Exceeded (ICMP tipo 11)
- dst net 10.0.170.0/24 AND proto ICMP AND icmp-type 11

Duração da Conexão¶

Os valores de duração são expressas em milissegundos. Abaixo estão alguns exemplos de conversões de duração:

50000: 5 segundos
100000: 10 segundos
150000: 15 segundos
300000: 30 segundos
600000: 1 minuto
1200000: 2 minutos
3000000: 5 minutos

Para filtrar conexões baseadas em sua duração, você pode usar o parâmetro duration. Por exemplo:

Filtrar conexões que duram pelo menos 1 minuto:
- duration >= 60000
Filtrar tráfego para o IP 10.0.168.9 na porta 8080 usando TCP que dura pelo menos 1 minuto
- dst ip 10.0.168.9 AND dst port 8080 AND proto TCP AND duration >= 60000

ASN (Sistema Autônomo)¶

Exemplos de filtros baseados em ASN:

Filtra tráfego associado ao ASN 15169 (Google).
- as 15169
Filtra tráfego originado do ASN 15169.
- src as 15169
Filtra tráfego destinado a qualquer um dos ASNs especificados.
- dst as 15169 OR dst as 36040 OR dst as 396982
Filtra tráfego destinado a uma lista de ASNs.
- dst as in [15169 36040 396982]
Filtra tráfego destinado a ASNs dentro de um intervalo específico.
- dst as >= 13335 AND dst as <= 15169

Bytes (Transferências de Dados)¶

Exemplos de filtros para identificar transferências de dados significativas:

Tráfego TCP para a porta 80 com transferências superiores a 1MB.
- proto TCP AND dst port 80 AND bytes > 1M
- proto TCP AND dst port 80 AND bytes > 1048576
Tráfego TCP para a porta 80 com transferências superiores a 10MB.
- proto TCP AND dst port 80 AND bytes > 10M
- proto TCP AND dst port 80 AND bytes > 10485760
Tráfego TCP para a porta 80 com transferências superiores a 100MB.
- proto TCP AND dst port 80 AND bytes > 100M
- proto TCP AND dst port 80 AND bytes > 104857600
Tráfego TCP para as portas 80 e 443 com transferências superiores a 100MB.
- proto TCP AND dst port in [80 443] AND bytes > 100M
- proto TCP AND dst port in [80 443] AND bytes > 104857600
Tráfego TCP para as portas 80 e 443 com transferências superiores a 500MB.
- proto TCP AND dst port in [80 443] AND bytes > 500M
- proto TCP AND dst port in [80 443] AND bytes > 524288000
Tráfego TCP para as portas 80 e 443 com transferências superiores a 1GB.
- proto TCP AND dst port in [80 443] AND bytes > 1G
- proto TCP AND dst port in [80 443] AND bytes > 1073741824

Identificação de grandes transferências de dados de sua rede:

Grandes transferências de dados (> 500MB) da rede 10.0.168.0/21 com duração superior a 50 segundos.
- src net 10.0.168.0/21 AND proto TCP AND bytes > 500M AND duration > 50000
Grandes transferências de dados (> 500MB) saindo de múltiplas redes, com duração superior a 50 segundos.
- (src net 10.0.168.0/21 OR src net 10.5.220.0/22 OR src net 10.186.204.0/22 OR src net 2001:db8::/32) AND proto TCP AND bytes > 524288000 AND duration > 50000
Tráfego UDP de saída da rede 10.0.168.0/21 para portas não comuns com pequenos payloads, possível indicador de atividade maliciosa ou de reconhecimento.
- src net 10.0.168.0/21 AND proto UDP AND not dst port in [53 123 161] AND bytes < 200

Flags TCP¶

As flags TCP são utilizadas para controlar o estado de uma conexão e são críticas para a análise do comportamento da rede:

S (SYN): Inicia uma conexão TCP.
A (ACK): Confirma o recebimento de dados.
F (FIN): Indica o término do envio de dados.
R (RST): Reinicia a conexão TCP de forma abrupta.
P (PSH): Solicita que os dados sejam enviados imediatamente.
U (URG): Indica que os dados no pacote são urgentes.
X: Todas as flags ativadas (representação para diagnóstico ou testes).

Início de uma conexão TCP.
- flags S
Estabelecimento de uma conexão TCP.
- flags SA
Envio de dados em uma conexão estabelecida.
- flags PA
Finalização de uma conexão estabelecida.
- flags FA
Sintaxe para obter fluxos com apenas a flag SYN ativada.
- flags S AND not flags AFRPU
Detecção de varredura SYN na porta SSH.
- flags S AND not flags AFRPU AND dst port 22
Filtro para varredura SYN em SSH para a rede 10.0.170.0/24.
- flags S AND not flags AFRPU AND dst port 22 AND dst net 10.0.170.0/24
Detecção de varredura SYN nas portas 22, 23, 80, 443 na rede 10.0.170.0/24.
- flags S AND not flags AFRPU AND dst port in [22 23 80 443] AND dst net 10.0.170.0/24
Detecção de tráfego com flags SYN em certas portas e com mais de 96KB de dados.
- flags S AND not flags AFRPU AND dst port in [22 23 80 443] AND dst net 10.0.170.0/24 bytes > 98304
Identificação de encerramento abrupto de conexões na rede 10.0.168.0/21.
- flags RA AND dst net 10.0.168.0/21
Identificando um IP compartilhado com range de porta entre 1000 e 2000.
- xip 249.0.0.200 and src xport >= 1000 and src xport <= 2000

Outros¶

Aqui vai mais alguns exemplos ótimo para vôce configurar no data_traffic_analysis.json e criar gatilhos

Tráfego QUIC + DoH (DNS over HTTPS)
- proto UDP and (port 80 or port 443)
Tráfego TCP
- proto TCP
Tráfego UDP
- proto UDP
Tráfego SYN
- flags S
Tráfego TCP SYN Sem Resposta
- flags S and not flags A
Tráfego TCP SYN+ACK
- flags A and flags S
Tráfego TCP SYN
- flags S
Tráfego de Pacotes TCP Reset (RST)
- flags R
Tráfego TCP ACK Sessões Ativas
- flags A and not flags S
Tráfego UDP Geral (exceto Web)
- proto UDP and not (port 80 or port 443)
Tráfego DNS
- port 53
Tráfego Anômalo Porta 0 (TCP/UDP)
- (proto TCP and port 0) or (proto UDP and port 0)
Tráfego de Túneis
- proto GRE or proto L2TP or proto ESP or proto AH
Tráfego IPsec
- proto ESP or proto AH
Tráfego ICMP
- proto ICMP or proto ICMP6
Tráfego HTTP
- proto TCP and port 80
Tráfego HTTPS
- proto TCP and port 443
Tráfego de E-Mails
- proto TCP and (port 25 or port 110 or port 143 or port 465 or port 585 or port 587 or port 993 or port 995)
Tráfego Web (HTTP/HTTPS)
- proto TCP and (port 80 or port 443)
Tráfego SSH
- proto TCP and port 22
Tráfego VoIP SIP
- port 5060
Tráfego de Horário de Rede (NTP)
- proto UDP and port 123
Tráfego Monitoramento SNMP
- proto UDP and (port 161 or port 162)
Tráfego de Conexões Desktop Remoto (RDP)
- port 3389
Tráfego UPnP (SSDP)
- proto UDP and port 1900
Tráfego compartilhamento de Arquivos (NetBIOS)
- proto TCP and port 139
Tráfego de Amplificação Memcached
- proto UDP and port 11211 and bytes > 1400
Tráfego Amplificação Chargen
- port 19
Autenticação LDAP
- proto TCP and port 389
Consultas LDAP (UDP)
- proto UDP and port 389
Filtro de tráfego TCP/UDP excluindo portas 80 e 443, sem pacotes SYN e flags de controle, focado em identificar possíveis ataques fora de tráfego web.
- in if 87 and not flags S and not flags AFRPU and (proto tcp or proto udp) and not port in [80 443]
- not flags S and not flags AFRPU and (proto tcp or proto udp) and not port in [80 443]
Filtra tráfego destinado aos servidores DNS da Google (8.8.8.8 8.8.4.4) e Cloudflare (1.1.1.1 1.0.0.1) na porta 53 utilizando UDP.
- dst ip in [1.1.1.1 8.8.8.8 8.8.4.4 1.0.0.1] AND dst port 53 AND proto UDP
Filtra tráfego destinado aos ASNs 13335 (Cloudflare) e 15169 (Google) na porta 53 utilizando UDP.
- dst as in [13335 15169] AND dst port 53 AND proto UDP
Identifica tráfego destinado à rede 10.0.170.0/24 na porta 0, incomum para comunicação regular.
- dst net 10.0.170.0/24 AND dst port 0
Filtra tráfego destinado à rede 10.0.170.0/24 na porta 0, excluindo o protocolo GRE.
- dst net 10.0.170.0/24 AND dst port 0 AND not proto GRE
Filtra tráfego destinado à rede 10.0.168.0/21 na porta 0, excluindo os protocolos GRE e ICMP, indicando atividade potencialmente suspeita ou não convencional.
- dst net 10.0.168.0/21 AND dst port 0 AND not proto GRE AND not proto ICMP

ASN Reservadors¶

ASN	Desc.	RFC
0	RESERVED BY	RFC7607
23456	AS_TRANS	RFC6793
64496-64511	FOR DOCUMENTATION AND SAMPLE CODE	RFC5398
64512-65534	FOR PRIVATE USE	RFC6996
65535	RESERVED	RFC7300
65536-65551	FOR DOCUMENTATION AND SAMPLE CODE	RFC5398
4200000000-4294967294	FOR PRIVATE USE	RFC6996
4294967295	RESERVED	RFC7300
65552-157371	IANA RESERVED ASNS	-

Protocolos¶

Nº	Keyword	Protocol
0	HOPOPT	IPv6 Hop-by-Hop Option
1	ICMP	Internet Control Message Protocol
2	IGMP	Internet Group Management Protocol
3	GGP	Gateway-to-Gateway Protocol
4	IP-in-IP	IP in IP (encapsulation)
5	ST	Internet Stream Protocol
6	TCP	Transmission Control Protocol
7	CBT	Core-based trees
8	EGP	Exterior Gateway Protocol
9	IGP	Interior gateway protocol (any private interior gateway, for example Cisco’s IGRP)
10	BBN-RCC-MON	BBN RCC Monitoring
11	NVP-II	Network Voice Protocol
12	PUP	Xerox PUP
13	ARGUS	ARGUS
14	EMCON	EMCON
15	XNET	Cross Net Debugger
16	CHAOS	Chaos
17	UDP	User Datagram Protocol
18	MUX	Multiplexing
19	DCN-MEAS	DCN Measurement Subsystems
20	HMP	Host Monitoring Protocol
21	PRM	Packet Radio Measurement
22	XNS-IDP	XEROX NS IDP
23	TRUNK-1	Trunk-1
24	TRUNK-2	Trunk-2
25	LEAF-1	Leaf-1
26	LEAF-2	Leaf-2
27	RDP	Reliable Data Protocol
28	IRTP	Internet Reliable Transaction Protocol
29	ISO-TP4	ISO Transport Protocol Class 4
30	NETBLT	Bulk Data Transfer Protocol
31	MFE-NSP	MFE Network Services Protocol
32	MERIT-INP	MERIT Internodal Protocol
33	DCCP	Datagram Congestion Control Protocol
34	3PC	Third Party Connect Protocol
35	IDPR	Inter-Domain Policy Routing Protocol
36	XTP	Xpress Transport Protocol
37	DDP	Datagram Delivery Protocol
38	IDPR-CMTP	IDPR Control Message Transport Protocol
39	TP++	TP++ Transport Protocol
40	IL	IL Transport Protocol
41	IPv6	IPv6 Encapsulation (6to4 and 6in4)
42	SDRP	Source Demand Routing Protocol
43	IPv6-Route	Routing Header for IPv6
44	IPv6-Frag	Fragment Header for IPv6
45	IDRP	Inter-Domain Routing Protocol
46	RSVP	Resource Reservation Protocol
47	GRE	Generic Routing Encapsulation
48	DSR	Dynamic Source Routing Protocol
49	BNA	Burroughs Network Architecture
50	ESP	Encapsulating Security Payload
51	AH	Authentication Header
52	I-NLSP	Integrated Net Layer Security Protocol
53	SwIPe	SwIPe
54	NARP	NBMA Address Resolution Protocol
55	MOBILE	IP Mobility (Min Encap)
56	TLSP	Transport Layer Security Protocol (using Kryptonet key management)
57	SKIP	Simple Key-Management for Internet Protocol
58	IPv6-ICMP	ICMP for IPv6
59	IPv6-NoNxt	No Next Header for IPv6
60	IPv6-Opts	Destination Options for IPv6
61		Any host internal protocol
62	CFTP	CFTP
63		Any local network
64	SAT-EXPAK	SATNET and Backroom EXPAK
65	KRYPTOLAN	Kryptolan
66	RVD	MIT Remote Virtual Disk Protocol
67	IPPC	Internet Pluribus Packet Core
68		Any distributed file system
69	SAT-MON	SATNET Monitoring
70	VISA	VISA Protocol
71	IPCU	Internet Packet Core Utility
72	CPNX	Computer Protocol Network Executive
73	CPHB	Computer Protocol Heart Beat
74	WSN	Wang Span Network
75	PVP	Packet Video Protocol
76	BR-SAT-MON	Backroom SATNET Monitoring
77	SUN-ND	SUN ND PROTOCOL-Temporary
78	WB-MON	WIDEBAND Monitoring
79	WB-EXPAK	WIDEBAND EXPAK
80	ISO-IP	International Organization for Standardization Internet Protocol
81	VMTP	Versatile Message Transaction Protocol
82	SECURE-VMTP	Secure Versatile Message Transaction Protocol
83	VINES	VINES
84	TTP	TTP (Transaction Transport Protocol) (obsoleted March 2023)
84	IPTM	Internet Protocol Traffic Manager
85	NSFNET-IGP	NSFNET-IGP
86	DGP	Dissimilar Gateway Protocol
87	TCF	TCF
88	EIGRP	EIGRP
89	OSPF	Open Shortest Path First
90	Sprite-RPC	Sprite RPC Protocol
91	LARP	Locus Address Resolution Protocol
92	MTP	Multicast Transport Protocol
93	AX.25	AX.25
94	OS	KA9Q NOS compatible IP over IP tunneling
95	MICP	Mobile Internetworking Control Protocol
96	SCC-SP	Semaphore Communications Sec. Pro
97	ETHERIP	Ethernet-within-IP Encapsulation
98	ENCAP	Encapsulation Header
99		Any private encryption scheme
100	GMTP	GMTP
101	IFMP	Ipsilon Flow Management Protocol
102	PNNI	PNNI over IP
103	PIM	Protocol Independent Multicast
104	ARIS	IBM’s ARIS (Aggregate Route IP Switching) Protocol
105	SCPS	SCPS (Space Communications Protocol Standards)
106	QNX	QNX
107	A/N	Active Networks
108	IPComp	IP Payload Compression Protocol
109	SNP	Sitara Networks Protocol
110	Compaq-Peer	Compaq Peer Protocol
111	IPX-in-IP	IPX in IP
112	VRRP	Virtual Router Redundancy Protocol, Common Address Redundancy Protocol (not IANA assigned)
113	PGM	PGM Reliable Transport Protocol
114		Any 0-hop protocol
115	L2TP	Layer Two Tunneling Protocol Version 3
116	DDX	D-II Data Exchange (DDX)
117	IATP	Interactive Agent Transfer Protocol
118	STP	Schedule Transfer Protocol
119	SRP	SpectraLink Radio Protocol
120	UTI	Universal Transport Interface Protocol
121	SMP	Simple Message Protocol
122	SM	Simple Multicast Protocol
123	PTP	Performance Transparency Protocol
124	IS-IS over IPv4	Intermediate System to Intermediate System (IS-IS) Protocol over IPv4
125	FIRE	Flexible Intra-AS Routing Environment
126	CRTP	Combat Radio Transport Protocol
127	CRUDP	Combat Radio User Datagram
128	SSCOPMCE	Service-Specific Connection-Oriented Protocol in a Multilink and Connectionless Environment
129	IPLT
130	SPS	Secure Packet Shield
131	PIPE	Private IP Encapsulation within IP
132	SCTP	Stream Control Transmission Protocol
133	FC	Fibre Channel
134	RSVP-E2E-IGNORE	Reservation Protocol (RSVP) End-to-End Ignore
135	Mobility Header	Mobility Extension Header for IPv6
136	UDPLite	Lightweight User Datagram Protocol
137	MPLS-in-IP	Multiprotocol Label Switching Encapsulated in IP
138	manet	MANET Protocols
139	HIP	Host Identity Protocol
140	Shim6	Site Multihoming by IPv6 Intermediation
141	WESP	Wrapped Encapsulating Security Payload
142	ROHC	Robust Header Compression
143	Ethernet	Segment Routing over IPv6
144	AGGFRAG	AGGFRAG Encapsulation Payload for ESP
145	NSH Network Service Header