ARAKIS

Szczególy klastra: [P2P] BitTorrent traffic

Nazwa:	[P2P] BitTorrent traffic
Data:	2011-12-25 06:30:30
Poziom klasyfikacji:	Normal
Rdzeń:	[P2P] BitTorrent traffic
Porty:	11639/TCP
Unikalnych źródeł:	10
Rozmiar sygnatury:	53
Sygnatura klastra:
alert tcp $EXTERNAL_NET any -> $HOME_NET 11639 (msg:"[P2P] BitTorrent traffic"; flow:to_server,estab\ lished; content:"\|13\|BitTorrent protocolex\|00 00 00 10 00 01 7f\|F\|fd c6\|V\|19 a9\|6\|d8 87 f9\|.\|c6\|J\|e6\ \|<\|97 da b0 eb\|-BC01";)

Publiczne strony ARAKISa zawierają jedynie zbiorcze statystyki dotyczące klastra. Każdy klaster posiada nazwę, poziom klasyfikacji, listę portów których dotyczy, liczbę unikalnych źródłowych IP wysyłających dane o podobnej charakterystyce, wielkość końcowej sygnatury i końcową „super” sygnaturę klastra wyrażoną w postaci regułki snort. Sygnatura ta jest wspólna dla wszystkich przepływów tworzących klaster i jest potencjalnie sygnaturą nowego zagrożenia np. exploita lub robaka.