Filtros

Parâmetros

src » Origem.
dst » Destino.

proto » Protocolo de comunicação. (TCP, UDP, ICMP, etc).

port » Número da porta.
port in » Números das portas.
src port » Porta de origem.
dst port » Porta de destino.
src port in » Lista portas de origems.
dst port in » Lista portas de destinos.

net » Prefixo de rede.
src net » Prefixo de rede de origem.
dst net » Prefixo de rede de destino.

ip » Endereço IP.
ip in » Lista IPs.
src ip » Endereço IP de origem.
dst ip » Endereço IP de destino.
dst ip in » Lista IPs de destino.
src ip in » Lista IPs de destino.

as » AS (Sistema Autônomo).
as in » Lista de AS.
src as » AS de origem.
dst as » AS de destino.
src as in » Lista de AS de origens.
dst as in » Lista de AS de destinos.

bgpnext ip » Próximo IP BGP. O próximo endereço IP no caminho BGP.
next ip » Próximo IP. O próximo endereço IP no caminho da rota.

if número » Interface. Identifica uma interface específica pelo seu número SNMP.
in if número » Interface de entrada.
out if número » Interface de saída.

xip » Endereço IP compartilhado.
src xip » Endereço IP de origem compartilhado.
dst xip » Endereço IP de destino compartilhado.

Operadores

Os operadores são usados para combinar ou modificar filtros para refinar a busca de dados:

  • AND » Operador lógico AND (E).
  • NOT » Operador lógico NOT (NÃO).
  • OR » Operador lógico OR (OU).

Exemplos

IP

ip 10.0.168.9
Filtra o tráfego pelo IP especificado, tanto em origem quanto em destino.

dst ip 10.0.168.9
Filtra o tráfego com destino ao IP especificado.

dst ip 2001:db8:bebe:cafe::9
Filtra o tráfego com destino ao endereço IPv6 especificado.

dst ip 10.0.168.9 OR dst ip 2001:db8:bebe:cafe::9
Filtra o tráfego com destino a qualquer um dos IPs especificados.

dst ip in [10.0.168.9 2001:db8:bebe:cafe::9]
Filtra o tráfego com destino a qualquer um dos IPs na lista especificada.

dst ip 10.0.168.9 AND dst port 443
Filtra tráfego para o IP 10.0.168.9 na porta de destino 443.

dst ip 10.0.168.9 AND port 443
Filtra tráfego para o IP 10.0.168.9 na porta 443, independente de ser porta de origem ou destino.

dst ip 10.0.168.9 AND (dst port 443 OR dst port 8080)
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443 ou 8080.

(dst ip 10.0.168.9 OR dst ip 2001:db8:bebe:cafe::9) AND (dst port 443 OR dst port 8080)
Filtra tráfego para os IPs 10.0.168.9 ou 2001:db8:bebe:cafe::9 nas portas de destino 443 ou 8080.

dst ip 10.0.168.9 AND dst port in [443 8080]
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443 ou 8080.

dst ip 10.0.168.9 AND dst port in [443 8080 25]
Filtra tráfego para o IP 10.0.168.9 nas portas de destino 443, 8080 ou 25.

dst ip 10.0.168.9 AND dst port <= 1024
Filtra tráfego para o IP 10.0.168.9 nas portas de destino menores ou iguais a 1024.

dst ip 10.0.168.9 AND dst port >= 0 AND dst port <= 1024
Filtra tráfego para o IP 10.0.168.9 em um range de portas de destino de 0 a 1024.

dst ip 10.0.168.18 AND dst port >= 8000 AND dst port <= 9000
Filtra tráfego para o IP 10.0.168.18 em um range de portas de destino de 8000 a 9000.

dst ip 10.0.168.2 AND proto UDP
Filtra tráfego para o IP 10.0.168.2 que usa o protocolo UDP.

dst ip 10.0.168.2 AND proto TCP
Filtra tráfego para o IP 10.0.168.2 que usa o protocolo TCP.

dst ip 10.0.168.2 AND dst port >= 0 AND dst port <= 1024 AND proto UDP
Filtra tráfego para o IP 10.0.168.2 nas portas de destino de 0 a 1024 que usa o protocolo UDP.

dst ip 10.0.168.27 AND proto ICMP
Filtra tráfego para o IP 10.0.168.27 que usa o protocolo ICMP.

NET

net 10.0.170.0/24
Filtra tráfego associado à rede 10.0.170.0/24.

dst net 10.0.170.0/24
Filtra tráfego com destino à rede 10.0.170.0/24.

src net 10.0.170.0/24
Filtra tráfego originado da rede 10.0.170.0/24.

(net 10.0.170.0/24 OR net 10.0.171.0/24)
Filtra tráfego associado às redes 10.0.170.0/24 ou 10.0.171.0/24.

dst net 10.0.170.0/24 AND proto ICMP
Filtra tráfego destinado à rede 10.0.170.0/24 usando o protocolo ICMP.

dst net 10.0.170.0/24 AND proto GRE
Filtra tráfego destinado à rede 10.0.170.0/24 usando o protocolo GRE.

dst net 10.0.168.0/21 AND proto UDP
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo UDP.

dst net 10.0.168.0/21 AND proto UDP AND not src port in [443]
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo UDP, excluindo tráfego de origem na porta 443.

dst ip 10.0.168.9 AND dst port 8080 AND proto TCP
Filtra tráfego destinado ao IP 10.0.168.9 na porta 8080 utilizando o protocolo TCP.

dst net 10.0.168.0/21 AND proto TCP AND not src port in [443 80]
Filtra tráfego destinado à rede 10.0.168.0/21 usando o protocolo TCP, excluindo tráfego originado nas portas 443 e 80.

dst net 10.0.170.0/24 AND proto ICMP
Filtra tráfego destinado à rede 10.0.170.0/24 utilizando o protocolo ICMP.

ICMP

dst net 10.0.170.0/24 AND proto ICMP AND icmp-type 8 AND icmp-code 0
Echo Request (ICMP tipo 8, código 0)

dst net 10.0.170.0/24 AND proto ICMP AND icmp-type 11
Time Exceeded (ICMP tipo 11)

Tipos de ICMP

  • 0: Echo Reply: Resposta a um echo request (ping).
  • 3: Destination Unreachable: O destino não é alcançável, com códigos de 0 a 15 detalhando a razão.
  • 4: Source Quench: Pedido para reduzir a velocidade de envio de mensagens (obsoleto).
  • 5: Redirect: Instrui a mudança de rota, com códigos de 0 a 3.
  • 8: Echo Request: Usado para verificar a acessibilidade de um host (ping).
  • 9 e 10: Router Advertisement e Router Solicitation: Para descoberta automática de roteadores.
  • 11: Time Exceeded: O TTL de um pacote expirou, com códigos 0 e 1.
  • 12: Parameter Problem: Problema nos parâmetros, com códigos de 0 a 2.
  • 13 e 14: Timestamp e Timestamp Reply: Para sincronização de tempo.

Códigos de ICMP

  • 0: Rede inalcançável.
  • 1: Host inalcançável.
  • 2: Protocolo inalcançável.
  • 3: Porta inalcançável.
  • 4: Fragmentação necessária e DF marcado.
  • 5: Falha no roteamento de origem.

Duração da Conexão

Os valores de duração são expressas em milissegundos. Abaixo estão alguns exemplos de conversões de duração:

  • 50000: 5 segundos
  • 100000: 10 segundos
  • 150000: 15 segundos
  • 300000: 30 segundos
  • 600000: 1 minuto
  • 1200000: 2 minutos
  • 3000000: 5 minutos

Para filtrar conexões baseadas em sua duração, você pode usar o parâmetro duration. Por exemplo:

duration >= 60000
Filtrar conexões que duram pelo menos 1 minuto:

dst ip 10.0.168.9 AND dst port 8080 AND proto TCP AND duration >= 60000
Filtrar tráfego para o IP 10.0.168.9 na porta 8080 usando TCP que dura pelo menos 1 minuto

ASN (Sistema Autônomo)

Exemplos de filtros baseados em ASN:

as 15169
Filtra tráfego associado ao ASN 15169 (Google).

src as 15169
Filtra tráfego originado do ASN 15169.

dst as 15169 OR dst as 36040 OR dst as 396982
Filtra tráfego destinado a qualquer um dos ASNs especificados.

dst as in [15169 36040 396982]
Filtra tráfego destinado a uma lista de ASNs.

dst as >= 13335 AND dst as <= 15169
Filtra tráfego destinado a ASNs dentro de um intervalo específico.

Bytes (Transferências de Dados)

Exemplos de filtros para identificar transferências de dados significativas:

proto TCP AND dst port 80 AND bytes > 1048576
Tráfego TCP para a porta 80 com transferências superiores a 1MB.

proto TCP AND dst port 80 AND bytes > 10485760
Tráfego TCP para a porta 80 com transferências superiores a 10MB.

proto TCP AND dst port 80 AND bytes > 104857600
Tráfego TCP para a porta 80 com transferências superiores a 100MB.

proto TCP AND dst port in [80 443] AND bytes > 104857600
Tráfego TCP para as portas 80 e 443 com transferências superiores a 100MB.

proto TCP AND dst port in [80 443] AND bytes > 524288000
Tráfego TCP para as portas 80 e 443 com transferências superiores a 500MB.

proto TCP AND dst port in [80 443] AND bytes > 1073741824
Tráfego TCP para as portas 80 e 443 com transferências superiores a 1GB.

Identificação de grandes transferências de dados de sua rede:

src net 10.0.168.0/21 AND proto TCP AND bytes > 524288000 AND duration > 50000
Grandes transferências de dados (> 500MB) da rede 10.0.168.0/21 com duração superior a 50 segundos.

(src net 10.0.168.0/21 OR src net 10.5.220.0/22 OR src net 10.186.204.0/22 OR src net 2001:db8::/32) AND proto TCP AND bytes > 524288000 AND duration > 50000
Grandes transferências de dados (> 500MB) saindo de múltiplas redes, com duração superior a 50 segundos.

src net 10.0.168.0/21 AND proto UDP AND not dst port in [53 123 161] AND bytes < 200
Tráfego UDP de saída da rede 10.0.168.0/21 para portas não comuns com pequenos payloads, possível indicador de atividade maliciosa ou de reconhecimento.

Flags TCP

As flags TCP são utilizadas para controlar o estado de uma conexão e são críticas para a análise do comportamento da rede:

  • S (SYN): Inicia uma conexão TCP.
  • A (ACK): Confirma o recebimento de dados.
  • F (FIN): Indica o término do envio de dados.
  • R (RST): Reinicia a conexão TCP de forma abrupta.
  • P (PSH): Solicita que os dados sejam enviados imediatamente.
  • U (URG): Indica que os dados no pacote são urgentes.
  • X: Todas as flags ativadas (representação para diagnóstico ou testes).

flags S
Início de uma conexão TCP.

flags SA
Estabelecimento de uma conexão TCP.

flags PA
Envio de dados em uma conexão estabelecida.

flags FA
Finalização de uma conexão estabelecida.

flags S AND not flags AFRPU
Sintaxe para obter fluxos com apenas a flag SYN ativada.

flags S AND not flags AFRPU AND dst port 22
Detecção de varredura SYN na porta SSH.

flags S AND not flags AFRPU AND dst port 22 AND dst net 10.0.170.0/24
Filtro para varredura SYN em SSH para a rede 10.0.170.0/24.

flags S AND not flags AFRPU AND dst port in [22 23 80 443] AND dst net 10.0.170.0/24
Detecção de varredura SYN nas portas 22, 23, 80, 443 na rede 10.0.170.0/24.

flags S AND not flags AFRPU AND dst port in [22 23 80 443] AND dst net 10.0.170.0/24 bytes > 98304
Detecção de tráfego com flags SYN em certas portas e com mais de 96KB de dados.

flags RA AND dst net 10.0.168.0/21
Identificação de encerramento abrupto de conexões na rede 10.0.168.0/21.

Outros

dst ip in [1.1.1.1, 8.8.8.8, 8.8.4.4, 1.0.0.1] AND dst port 53 AND proto UDP
Filtra tráfego destinado aos servidores DNS da Google (8.8.8.8, 8.8.4.4) e Cloudflare (1.1.1.1, 1.0.0.1) na porta 53 utilizando UDP.

dst as in [13335, 15169] AND dst port 53 AND proto UDP
Filtra tráfego destinado aos ASNs 13335 (Cloudflare) e 15169 (Google) na porta 53 utilizando UDP.

dst net 10.0.170.0/24 AND dst port 0
Identifica tráfego destinado à rede 10.0.170.0/24 na porta 0, incomum para comunicação regular.

dst net 10.0.170.0/24 AND dst port 0 AND not proto GRE
Filtra tráfego destinado à rede 10.0.170.0/24 na porta 0, excluindo o protocolo GRE.

dst net 10.0.168.0/21 AND dst port 0 AND not proto GRE AND not proto ICMP
Filtra tráfego destinado à rede 10.0.168.0/21 na porta 0, excluindo os protocolos GRE e ICMP, indicando atividade potencialmente suspeita ou não convencional.

ASN Reservadors

ASN Desc. RFC
0 RESERVED BY RFC7607
23456 AS_TRANS RFC6793
64496-64511 FOR DOCUMENTATION AND SAMPLE CODE RFC5398
64512-65534 FOR PRIVATE USE RFC6996
65535 RESERVED RFC7300
65536-65551 FOR DOCUMENTATION AND SAMPLE CODE RFC5398
4200000000-4294967294 FOR PRIVATE USE RFC6996
4294967295 RESERVED RFC7300
65552-157371 IANA RESERVED ASNS -