ARAKIS

Szczególy klastra: RPC DCOM probe (port 135/TCP)

Nazwa:	RPC DCOM probe (port 135/TCP)
Data:	2006-11-16 11:30:32
Poziom klasyfikacji:	Attack
Rdzeń:	a26b51f9dd5297b37e393ff0610c0dea
Porty:	135/TCP
Unikalnych źródeł:	2415
Rozmiar sygnatury:	64
Sygnatura klastra:
alert tcp $EXTERNAL_NET any -> $HOME_NET 135 (msg:"RPC DCOM probe (port 135/TCP)"; flow:to_server,es\ tablished; content:"H\|00 00 00 7f 00 00 00 d0 16 d0 16 00 00 00 00 01 00 00 00 01 00 01 00 a0 01 00 \ 00 00 00 00 00 c0 00 00 00 00 00 00\|F\|00 00 00 00 04\|]\|88 8a eb 1c c9 11 9f e8 08 00\|+\|10\|H`\|02 00 0\ 0 00\|";)

Publiczne strony ARAKISa zawierają jedynie zbiorcze statystyki dotyczące klastra. Każdy klaster posiada nazwę, poziom klasyfikacji, listę portów których dotyczy, liczbę unikalnych źródłowych IP wysyłających dane o podobnej charakterystyce, wielkość końcowej sygnatury i końcową „super” sygnaturę klastra wyrażoną w postaci regułki snort. Sygnatura ta jest wspólna dla wszystkich przepływów tworzących klaster i jest potencjalnie sygnaturą nowego zagrożenia np. exploita lub robaka.