بالتفصيل، تعمل الوسوم على النحو التالي:

- `<petabi_rules> </petabi_rules>`: يحدد هذا جميع القواعد لملف القواعد هذا. يجب أن يكون هناك مجموعة واحدة فقط من هذه الوسوم تفتح وتغلق جميع تيارات الحركة المحددة.
    - `<rule > </rule>`: يحدد قاعدة واحدة. يمكن لقاعدة واحدة أن تولد عددًا عشوائيًا من تيارات الحركة أو الحزم. يمكن أن يكون أي عدد من القواعد في ملف واحد.
        - الخيارات:
            - name: اسم هذه القاعدة. في الغالب للتوثيق، لا وظيفة حقيقية.
        - `<traffic_stream> </traffic_stream>`: يعرف تيار الحركة حركة بين نقطتي نهاية. جميع الحزم المحددة داخل تيار حركة واحد ستشترك في نفس نقاط النهاية. يمكن تحديد أي عدد من تيارات الحركة لقاعدة معينة. قد يكون لتيارات الحركة المختلفة داخل نفس القاعدة نقاط نهاية مختلفة أو لا اعتمادًا على الإعدادات أدناه.
            - الخيارات:
                - typets: تحديد نوع تيار الحركة الذي سنستخدمه لتوليد الحزمة. حاليًا، لدينا Standard وScanAttack وBackgroundTraffic.
                - scantype: 1 == مسح SYN (افتراضي) 2 == مسح اتصال. يُستخدم مع ScanAttack.
                - target: تحديد عنوان IP الهدف لهجوم المسح.
                - targetports: لهجوم المسح. قدم قائمة مفصولة بفواصل من المنافذ المحتملة، أو منفذ بداية واحد. وإلا سيتم مسح المنافذ عشوائيًا. إذا تم توفير منفذ بداية واحد، فسيتم مسح المنافذ بالترتيب من تلك النقطة إلى 65535، وبعدها سيعود إلى نقطة البداية. يُستخدم هذا الخيار مع typets كـ 'ScanAttack'
                - srcport: تحديد منفذ المصدر لهجوم المسح. عشوائي افتراضيًا
                - duration: النافذة، أو المدة، بالثواني لهجوم المسح إذا كان typets هو 'ScanAttack'
                - intensity: كثافة هجوم المسح إذا كان typets هو 'ScanAttack'
                - offset: الإزاحة قبل بدء هجوم المسح. يُستخدم أيضًا عند إدراج عمليات مسح متعددة في الحركة.
                - replychance: احتمالية أن يكون للمسح رد. بمعنى آخر، احتمالية أن يكون المنفذ الهدف مفتوحًا (افتراضي 20%). يُستخدم مع ScanAttack.
                - proto: يحدد بروتوكول تيار الحركة هذا. يجب أن يكون TCP أو UDP أو ICMP (لم يُختبر).
                - src: عنوان IP المصدر. قد يكون عنوانًا بتنسيق xxx.xxx.xxx.xxx، أو $EXTERNAL_NET (لعناوين خارجية – يفترض تعيين شبكة منزلية)، أو $HOME_NET، أو any (يختار عنوان IP عشوائيًا).
                - dst: عنوان IP الوجهة. نفس عنوان IP المصدر.
                - sport: منفذ المصدر (يفترض TCP أو UDP). يمكن استخدام تنسيق منفذ snort والذي يمكن أن يكون قائمة مفصولة بفواصل بين قوسين (أي [80,88,89])، أو نطاق (أي [10:1000])، أو any (أي اختيار عشوائي من 0-65535).
                - dport: منفذ الوجهة كما في sport.
                - handshake: سيولد مصافحة TCP في بداية الدفق. إذا تم استبعاده، فلن تكون هناك مصافحة. القيم الصالحة هي true أو false. الافتراضي هو false.
                - latency: ضبط متوسط زمن الانتظار بين الحزم (بالميكروثانية).
                - teardown: سيغلق الدفق عند إرسال كل الحركة عن طريق إضافة تفكيك TCP في نهاية دفق الحركة. القيم الصالحة هي true أو false. الافتراضي هو false.
                - synch: تيارات الحركة متزامنة أم لا. عندما تكون true، يجب أن ينتهي تيار حركة واحد قبل بدء تيار الحركة التالي. عندما تكون false، سيتم تنفيذ جميع التيارات المتجاورة التي تكون false (أي غير متزامنة) في نفس الوقت.
                - tcp_overlap: القيمة الافتراضية هي false. عندما تكون true، سيتم إلحاق محتوى إضافي بالحزمة الثانية وسيتم تقليل رقم تسلسل TCP بمقدار واحد لمحاكاة رقم التسلسل المتداخل لـ TCP.
                - ipv: تعيين IPv4 أو IPv6. الخيارات الصالحة هي 4 أو 6. الافتراضي هو 4.
                - out_of_order: وصول الحزم بشكل عشوائي خارج الترتيب. لاحظ أن هذا يعمل فقط مع الحزم التي تستخدم خيار 'times'. علاوة على ذلك، يجب استخدام هذا الخيار أيضًا مع ack بحيث تظهر الإقرارات المكررة المناسبة في تتبع الحركة. القيم الصالحة هي true أو false. الافتراضي هو false.
                - out_of_order_prob: تعيين احتمالية وصول الحزم خارج الترتيب. على سبيل المثال، 10 يعني أن هناك فرصة بنسبة 10% لكل حزمة للوصول خارج الترتيب. تصل الحزم خارج الترتيب بعد جميع الحزم التي في الترتيب. علاوة على ذلك، يتم خلطها بشكل عشوائي أيضًا. وبالتالي، إذا تم تحديد أن الحزمتين 2 و5 من أصل 10 حزم خارج الترتيب، فستصلان في النهاية من بين الحزم العشر (الخانتان 9 و10) وستكونان بترتيب عشوائي (أي قد تأتي 5 قبل 2 أو العكس). يجب أن تكون القيمة بين 1 و99. الافتراضي هو 50.
                - packet_loss: إسقاط الحزم بشكل عشوائي (أي عدم وصولها). يعمل هذا فقط مع خيار 'times'. علاوة على ذلك، يجب استخدام هذا الخيار أيضًا مع تعيين خيار ack على true بحيث تظهر الإقرارات المكررة في تتبع الحركة. القيم الصالحة هي من 1 إلى 99 تمثل احتمالية إسقاط الحزمة. لاحظ أن إسقاط الحزمة يحدث فقط على الحزم الحاملة للبيانات، وليس على الإقرارات.
                - ack: أن تتبع كل حزمة بيانات في هذا التدفق بإقرار من الخادم. القيم الصالحة هي true أو false. الافتراضي هو false.
                - percentage: ينطبق هذا فقط على BackgroundTraffic ويجب أن يكون هناك قاعدة واحدة فقط من BackgroundTraffic في ملف قواعد أو دليل. تشير النسبة المئوية إلى النسبة المئوية لتيار حركة الخلفية المراد إنشاؤه في إجمالي تيار الحركة.
                - http: التوزيع النسبي لبروتوكولات تطبيقات http في تيار حركة الخلفية.
                - ftp: التوزيع النسبي لبروتوكولات تطبيقات ftp في تيار حركة الخلفية.
                - pop: التوزيع النسبي لبروتوكولات تطبيقات pop في تيار حركة الخلفية.
                - smtp: التوزيع النسبي لبروتوكولات تطبيقات smtp في تيار حركة الخلفية.
                - imap: التوزيع النسبي لبروتوكولات تطبيقات imap في تيار حركة الخلفية.
            - `<pkt > </pkt>`: يحدد هذا التوجيه إما حزمة فردية أو سلسلة من الحزم. يمكن استخدام ميزة times لتوليد عدة حزم بتوجيه `<pkt> </pkt>`. وإلا، فمن الضروري تحديد كل حزمة في كل اتجاه بشكل صريح.
                - الخيارات:
                    - dir: اتجاه الحزمة. القيم الصالحة هي to server أو to client. يعتبر عنوان IP المصدر الأولي هو العميل، وعنوان IP الوجهة الأولي هو الخادم. وبالتالي، 'to server' ترسل حزمة من العميل إلى الخادم و'to client' ترسل حزمة من الخادم إلى العميل. الافتراضي هو to server.
                    - content: تعبير عادي يحدد محتوى هذه الحزمة. يعتمد حجم الحزمة على التعبير العادي.
                    - fragment: ما إذا كان سيتم تجزئة هذه الحزمة أم لا. يعمل فقط مع ipv4. يجب أن تكون قيمته أكبر من 2. سينشئ عددًا من الأجزاء بقدر ما هو صالح أو كما هو محدد (أيهما أصغر). القيمة الافتراضية هي 0 مما يعني عدم وجود أجزاء.
                    - ack: إرسال إقرار لهذه الحزمة أم لا. القيم الصالحة هي true أو false. الافتراضي هو false.
                    - split: تقسيم المحتوى بين العدد المحدد من الحزم. افتراضيًا، يتم إرسال كل المحتوى في حزمة واحدة (الأجزاء استثناء صغير لهذه القاعدة).
                    - times: إرسال هذه الحزمة x مرة. القيمة الافتراضية هي 1، والقيمة الموجبة سترسل بالضبط x حزمة (ربما مع إقرارات إذا كان ack صحيحًا)، بينما الرقم السالب سيرسل عددًا عشوائيًا من الحزم بين 1 وabs(-x).
                    - ttl: تعيين قيمة وقت الحياة للحزمة. افتراضيًا، سيولد sniffles قيمة TTL عشوائية.
                    - ttl_expiry: محاكاة هجوم انتهاء صلاحية TTL عن طريق تقسيم الحزم إلى حزم متعددة مع حزمة ضارة واحدة بين حزمتين جيدتين. افتراضيًا، القيمة هي 0 (لا توجد حزمة ضارة). إذا كانت القيمة غير صفرية، فسيقوم بإدراج حزمة ضارة بهذه ttl تساوي قيمة ttl_expiry. إذا تم تعيين قيمة ttl، فسيتم تعيين الحزمة الجيدة بقيمة ttl جديدة

ملاحظات نهائية: تنسيق القاعدة الجديد هو مجرد بداية وقد يحتوي على مشاكل. يرجى تنبيهي إلى أي تناقضات أو أخطاء. علاوة على ذلك، القصد هو توسيع الخيارات لتوفير المزيد والمزيد من الوظائف حسب الحاجة. يرجى الاتصال بي بالميزات المرغوبة. أخيرًا، يتم توفير هذا المنتج كما هو. لا يوجد ضمان للوظيفة أو الدقة. لا تتردد في تفريع هذا المشروع لتلبية احتياجاتك الخاصة.

الاعتمادات:
--------

تم تقديم هذا التطبيق لك من قبل Petabi, Inc., حيث نصنع حلول أمان موثوقة وواقعية وسريعة حقًا.

المؤلفون:

- Victor C. Valgenti
- Min Sik Kim
- Tu Le
- Moosuk Pyun

الميزات الجديدة:
-------------

- 11/21/2014: الإصدار 1.4.0 تمت إضافة تقسيم الحركة وtraffobot لتوليد حركة ثنائية الاتجاه. تم إصلاح خطأ حيث تم طرح استثناء عندما يمكن أن تتناسب كمية الحركة المولدة في استدعاء كتابة حركة واحد. تم إعادة التنسيق وتمكين الاستخدام. أخيرًا، تمت إضافة اختبارات وحدة لـ traffobot وتحليل XML.

- 02/03/2015: الإصدار 2.0. تمت إعادة كتابة كيفية عمل الدفق بالكامل لتقليل متطلبات الذاكرة عند توليد تدفقات كبيرة باستخدام قواعد خاصة. حاليًا، يمكن التعامل مع حوالي 2-3 مليون تدفق متزامن قبل أن تتباطأ الأمور. لقد أضفت بعض الميزات للمساعدة عند إنشاء تدفقات كبيرة. أولاً، قم بالتوليد بشيء مثل تزامن 2-3 مليون تدفق. أيضًا، لا تستخدم teardown لهذه التدفقات. جزء من التدفقات سيستمر من البداية حتى نهاية الالتقاط بينما سيتم إغلاق الباقي كل فترة دفعية. سأعمل على جعل هذا أكثر كفاءة، لكن إدارة جميع الخيارات المعقدة في Sniffles الآن لا يمكن فعلها بتكلفة زهيدة في الذاكرة. الحل الوحيد الآخر هو الحصول على جهاز أقوى مع ذاكرة وصول عشوائي أكبر. يحتوي هذا الإصدار أيضًا على مجموعة متنوعة من الإصلاحات.

- 02/11/2015: تمت إضافة احتمالية للحزم خارج الترتيب للسماح بضبط تواتر الحزم خارج الترتيب.

- 03/05/2015: تم تغيير تفكيك TCP إلى تسلسل تفكيك قياسي. الآن يُسمح بتوزيع المحتوى عبر حزم متعددة دون استخدام الأجزاء.

- 04/09/2015: تم إصلاح حركة المسح، كانت معطلة جزئيًا خلال أحد التغييرات السابقة. الطابع الزمني لبدء pcap الآن افتراضيًا للوقت الحالي ويمكن تعيينه باستخدام خيار -g. أخيرًا، الحزمة الثالثة في المصافحة ثلاثية الاتجاهات لـ TCP ستحمل بيانات الآن إذا كان العميل سيرسل البيانات أولاً.

- 05/22/2015: تمت إعادة كتابة تحليل القاعدة لتبسيط القدرة على توسيع محلل القاعدة لاستيعاب المزيد من التنسيقات. تم تضمين تنقل nfa وpcre مباشرة في sniffles. تم تنظيف الكود وإعداده للجمهور.

- 05/27/2015: تم تحديث التوثيق، ودمج مكتبات pcre وبناء nfa لجعل sniffles حزمة قائمة بذاتها. تمت إضافة مولد التعبير العادي ومولد القاعدة العشوائية كجزء من حزمة Sniffles. تم تحديث الإصدار إلى 3.0.0 ونشره على github.

- 08/12/2015: تم تنفيذ عدد كبير من إصلاحات الأخطاء والميزات الجديدة. تم تغيير كيفية التعامل مع التدفقات والجريانات بشكل أساسي للسماح بتحسين التوسعية. تمت إضافة زمن انتقال لكل تدفق. تم تحديث التوثيق.

مولد التعبير العادي
============================

هذا مولد تعبير عادي بسيط.
يقوم بإنشاء تعبيرات عادية إما بشكل عشوائي تمامًا، أو بناءً على سلسلة من التوزيعات.
عناصر التحكم التي يمكن وضعها على كيفية إنشاء التعبيرات العادية هي هيكلية وليست سياقية. بمعنى آخر، لا يوجد جهد لجعل رموز سلسلة معينة تظهر في التعبيرات العادية المولدة. ومع ذلك، يمكن تعديل التوزيعات الاحتمالية للتأثير على أنواع الميزات الموجودة في القواعد مثل فئات الأحرف، التبديل، التكرار، إلخ.

التثبيت
-------

سيتم تثبيته تلقائيًا مع باقي Sniffles.

الخيارات
-------

regexgen – مولد التعبير العادي العشوائي.

    الاستخدام: regexgen [-C توزيع الأحرف] [-c عدد التعبير العادي]
    [-D توزيع الفئة] [-f ملف الإخراج re]
    [-l لامدا لتوليد الطول] [-M أقصى طول للتعبير العادي]
    [-m أدنى طول للتعبير العادي] [-n احتمالية النفي]
    [-o فرصة الخيارات] [-R فرصة التكرار] [-r توزيع التكرار]
    [-t توزيع النوع الهيكلي للتعبير العادي] [-?] [-g]

-    -C توزيع الأحرف: يحدد هذا إمكانية رؤية أحرف أو أنواع أحرف معينة. انظر شرحًا موجزًا للتوزيعات أدناه للحصول على أمثلة حول كيفية استخدام هذا. افتراضيًا، هذا التوزيع هو توزيع متساوٍ. يحتوي هذا التوزيع على خمس فتحات: أحرف ASCII، الأحرف الثنائية بتنسيق \x00، الحروف الأبجدية (أحرف كبيرة أو صغيرة)، الأرقام، وفئات الاستبدال (مثل \w). مثال على الإدخال لهذا سيكون "10,20,10,40,20" مما يعني فرصة بنسبة 10% أن أي حرف مولود سيأتي من 10% ASCII، 20% ثنائي، 10% حروف، إلخ. ملاحظة واحدة هي أن أحرف ASCII التي قد تسبب مشاكل مع التعبير العادي (مثل `[' أو '{') يتم تحويلها إلى تمثيل سداسي عشري (\x3b على سبيل المثال).
-    -c عدد التعبيرات العادية المراد إنشاؤها. الافتراضي هو واحد.
-    -D توزيع الفئة: يوجد فتحتان فقط في توزيع الفئة. الفتحة الأولى هي احتمالية أن تتكون الفئة من عدد من الأحرف المولدة عشوائيًا. الفتحة الثانية هي احتمالية أن تتكون الفئة من نطاقات (مثل a-z).
-    -f اسم ملف الإخراج. يحدد هذا اسم الملف حيث يتم تخزين التعبيرات العادية. الافتراضي هو ملف باسم rand.re في دليل العمل الحالي.
-    -g المجموعات: ستحتوي جميع التعبيرات العادية على بادئة مشتركة مع تعبير عادي واحد على الأقل أو أكثر (طالما أن هناك أكثر من تعبير عادي واحد). البادئة المشتركة هي مجرد تعبير عادي هو نفسه لمجموعة معينة من التعبيرات العادية. العدد الإجمالي للبادئات المشتركة المحتملة هو من 1 إلى نصف حجم التعبيرات العادية المراد إنشاؤها. القيمة الافتراضية لهذا الخيار هي false. لا يأخذ هذا الخيار معاملات.
-    -l لامدا للطول: هذا هو متوسط الطول لتوزيع أسي لأطوال التعبير العادي. القيمة الافتراضية هي 10.
-    -M أقصى طول للتعبير العادي: اجعل التعبيرات العادية بطول هيكلي لا يتجاوز هذا أو أقصر. افتراضيًا، الحد الأقصى للطول غير محدود.
-    -m أدنى طول للتعبير العادي: اجعل التعبيرات العادية بطول لا يقل عن هذا أو أطول. افتراضيًا إلى 3، وسيستخدم تلقائيًا قيمة 1 إذا كان الإدخال صفرًا أو أقل.
-    -n احتمالية النفي: احتمالية أن تكون فئة الأحرف فئة نفي ([^xyz]) بدلاً من فئة أحرف عادية ([xyz]). الاحتمالية الافتراضية هي 50%.
-    -o فرصة الخيارات: هذه هي فرصة إلحاق خيار بالتعبير العادي. الخيارات الحالية هي 'i' و'm' و's'. تتم إضافة عدد عشوائي من الخيارات إلى القائمة مع اختيار تلك الخيارات من خلال توزيع منتظم.
-    -R فرصة التكرار: فرصة حدوث التكرار بعد إضافة أي مكون هيكلي إلى التعبير العادي.
-    -r توزيع التكرار: توزيع هياكل التكرار. الفتحات هي: صفر إلى واحد (?)، صفر إلى العديد (*)، واحد إلى العديد (+) والعد ({x,y}).
-    -t توزيع النوع الهيكلي للتعبير العادي: توزيع المكونات الهيكلية الأساسية للتعبير العادي. تتكون هذه من ثلاث فتحات، أو فئات: الأحرف والفئات والتبديل. لاحظ أن التبديل سيولد ببساطة تعبيرًا عاديًا أصغر يصل إلى حجم الطول المتبقي للتعبير العادي. بمعنى آخر، سيؤدي التبديل إلى ضم عدة تعبيرات عادية أصغر في التعبير العادي الكلي. يستخدم التبديل نفس المنهجية بالضبط في إنشاء تلك التعبيرات العادية الأصغر.
-   -? طباعة هذه المساعدة.

    سينشئ هذا المولد تعبيرات عادية عشوائية. من الممكن ضبط الهياكل داخل التعبيرات العادية لتوزيع احتمالي، ولكن حاليًا ليس المحتوى. هذا مرغوب فيه لاستكشاف أقصى تنوع في التعبيرات العادية المحتملة (وإن لم تكن بالضرورة تعبيرات عادية واقعية).
    تتم معالجة التوزيعات عن طريق إنشاء قائمة من الاحتمالات للإمكانيات المختلفة، أو الفتحات، لتوزيع معين. تتم إضافتها كوسائط سطر أوامر باستخدام قائمة سلسلة بسيطة مثل: "10,30,40,20". يجب أن تحتوي القائمة على عدد من القيم بقدر عدد الفتحات. يجب أن يكون مجموع جميع القيم في القائمة 100 ويجب ألا يكون هناك أي كسور. القيمة في كل فتحة هي احتمالية اختيار تلك الفتحة. على سبيل المثال، توزيع النوع الهيكلي الأساسي للتعبير العادي له ثلاث فتحات. الفتحة الأولى هي احتمالية أن يكون النوع الهيكلي التالي حرفًا (حيث يمكن أن يكون الحرف حرفًا أو رقمًا أو ثنائيًا أو ASCII أو فئة استبدال (مثل \w)). الفتحة الثانية مخصصة لفئات الأحرف مثل [ab@%] أو [^123] أو [a-z]. الفتحة الأخيرة هي احتمالية حدوث التبديل مثل (ab|cd). باستخدام هذه الفتحات الثلاث، يمكنك ضبط عدد المرات التي تريد أن تظهر فيها الهياكل في تعبيراتك العادية. على سبيل المثال، سيؤدي الأمر regexgen -c 10 -t "80,10,10" إلى إنشاء 10 تعبيرات عادية حيث 80% من الهياكل المستخدمة ستكون أحرفًا، و10% ستكون فئات أحرف، و10% تبديل.

مولد القاعدة العشوائية
=====================

يوفر مولد القاعدة العشوائية وسيلة لإنشاء عدد من القواعد المولدة عشوائيًا لاختبار منصة معينة. حاليًا، تفي القواعد المولدة إما بتنسيق قاعدة Snort أو هي مجرد سطور من النص. لكي يعمل مولد القاعدة العشوائية، يجب أن يكون لديك مجموعة من الميزات المحددة. يمكن العثور على مثال للميزات في مجلد example_features وهي موصوفة أدناه.

التثبيت
-------

يتم تثبيته تلقائيًا مع Sniffles

ملاحظة: يستخدم مولد القاعدة العشوائية مولد التعبير العادي العشوائي لإنشاء محتوى من أي نوع.الخيارات
-------

مولد القواعد العشوائي

الاستخدام: rulegen -c [عدد القواعد] -f [مجموعة الميزات]
        -o [ملف الإخراج] [-s]

- -c  عدد القواعد: عدد القواعد التي سيتم توليدها.
      القيمة الافتراضية هي واحد.
- -f  مجموعة الميزات: الملف الذي يحتوي على وصف مجموعة الميزات.
      يرجى الاطلاع على الوثائق لمزيد من الشرح حول
      مجموعات الميزات وكيفية وصفها.
- -o  ملف الإخراج: ملف الإخراج الذي تُكتب إليه القواعد.
      القيمة الافتراضية هي rules.txt
- -s  تنسيق قواعد Snort: كتابة القواعد بتنسيق قواعد Snort.
      لا توجد معلمات، الإعداد الافتراضي هو إيقاف. عند إيقاف التشغيل، يتم تحويل القواعد فقط
      إلى تنسيق سلسلة نصية، أيًا كان ذلك بناءً على
      محلل الميزات.

مجموعة الميزات
-----------

تُستخدم الميزات لوصف الجوانب المحتملة للقواعد المستخدمة في
IDS. على سبيل المثال، قد يستخدم مرشح الحزم قواعد تستهدف
عنوان المصدر والوجهة لـ IP. في هذه الحالة، سيكون من الممكن
إنشاء مجموعة ميزات تصف كيفية إنشاء عناوين المصدر والوجهة
لـ IP. بشكل أكثر تحديدًا، نفرّق
بين القواعد البسيطة والقواعد المعقدة. الفرق
بين هذين النوعين هو وجود الرموز المبهمة. على سبيل
المثال، إذا كان لدينا رمز مبهم * يعني أي
عنوان IP، فيمكننا القول إن * يمثل رمزًا مبهمًا.
علاوة على ذلك، نعلم أن القاعدة يمكنها أيضًا استخدام رمز غير مبهم،
مثل 192.168.1.1. وهذا سيمثل عنوان IP بسيطًا نظرًا
لأنه عنوان IP ثابت واحد دون أي رمز مبهم محتمل.
ثم نحدد أيضًا نطاق الميزات
الخاصة (أي عناوين IP عبر أكثر من 4 مليارات
عنوان IPv4 محتمل، أو مجرد مجموعة فرعية من ذلك).

تحدد الميزات في النهاية جميع جوانب أي قاعدة
عشوائية. بالنظر إلى مجموعة ميزات وتنسيق قاعدة صالح،
يصبح من الممكن توليد عدد عشوائي
من القواعد التي تستخدم تلك الميزات. بهذه الطريقة، يمكن
توليد مجموعات قواعد اختبارية تفحص IDS عبر
متجه غالبًا ما يتم تجاهله.

يتم تعريف الميزات في قائمة مفصولة بفاصلة منقوطة، سمة واحدة لكل سطر
type=feature; قائمة من الوسائط في أزواج key=value، قوائم باستخدام تنسيق
python (أي [a, ..., z]). تحدد الميزة أجزاء محددة من
تنسيق القاعدة المستهدف. يمكن توسيع الميزات لإضافة وظائف إضافية.
اختياريًا، يمكن توسيع قدرة الميزات عن طريق إنشاء
تنسيق قاعدة جديد.

أنواع الميزات الحالية:

1. Feature -- ميزة عامة
2. Content -- ميزة المحتوى
3. IP -- ميزة IP
4. Protocol -- ميزة البروتوكول

يجب كتابة القوائم المبهمة كقوائم مثل [x:y]
لنطاق، [x,y] لقائمة، {x1,x2,x3} لمجموعة
أو مجرد * لرمز بديل أو خيار واحد مماثل.

مثال حول القائمة المبهمة:```
ambiguity_list=[[2:9]]
it will generate [3:4], [5:6], etc (any [x:y] such that
x <= y and x >= 2 and y > x and y <= 9).

ambiguity_list=[[3,20]]
it will generate [3,9,10], [3,4,8,12], etc (any list [x1,x2,x3,..]
such that all values falling between 3 and 20.

ambiguity_list=[{5,6,10}]
it will generate a subset of {5,6,10} such as {5,10}, {5}.

ambiguity_list=[[2:9],[3,20],{5,6,11}]
it will pick one of [2:9], [3,20], and {5,6,11} and
generate a corresponding instance (see above)

ما سبق يحدد ميزتين، ميزة بروتوكول وميزة عنوان IP المصدر. يُسمى البروتوكول proto، وهو مهم فقط لمنسق القواعد، والبروتوكولات الصالحة هي: IP وTCP وUDP وICMP. تُعرّف ميزة IP على أنها IPv4 وستكون جميع القواعد معقدة. تعقيد IP هو بالفعل جزء من الفئة ولا يحتاج إلى إضافته في تعريف الميزة. سيؤدي ذلك إلى إنشاء عناوين IP باستخدام تدوين CIDR.

سمات الميزة العامة:

- Feature_name: سمة إعلامية، قد تكون ذات قيمة لمنسق القواعد.
- lower_bound: الحد الأدنى للقيم الممكنة. يفترض أن الميزة رقمية.
- upper_bound: عكس lower_bound.
- complexity_prob: احتمال استخدام ميزات معقدة لقاعدة. من 0 إلى 100. القيمة الافتراضية 0. عند استخدام ميزات معقدة، يتم اختيار تدوين غامض عشوائيًا من قائمة الغموض، أو إذا كانت الميزة تحدد غموضًا محددًا (مثل عناوين IP) فسيتم استخدام ذلك. عندما لا تستخدم الميزات المعقدة، يتم إنشاء قيمة باستخدام الحدود، أو، في حالة المحتوى (Content)، باستخدام مجموعة من قيم التوزيع التي ستقيد السلسلة الناتجة إلى سلسلة من أحرف ASCII.
- ambiguity_list: قائمة بالتدوينات الغامضة المحتملة. قائمة مفصولة بفواصل باستخدام تنسيق بايثون (أي [a, b, c]).
- toString(): يطبع مثيلاً لقاعدة معينة بهذه المجموعة الخاصة من الميزات.

ميزة المحتوى (Content Feature) -- ترث من Feature:
- regex: صحيح أو خطأ. إذا كان صحيحًا، فسيستخدم تنسيق pcre للتعبير العادي (regex) بالإضافة إلى إمكانية إضافة الخيارات i أو s أو m إلى التعبير العادي.
- length: يحدد متوسط طول المحتوى الذي تم إنشاؤه.
- min_regex_length: يحدد الحد الأدنى لطول التعبير العادي.

ميزة البروتوكول (Protocol Feature) -- ترث من Feature:
- proto_list: يحدد قائمة البروتوكولات الممكنة، كقائمة مفصولة بفواصل (أي [TCP, UDP]).

ميزة IP (IP Feature) -- ترث من Feature:
- version: 4 للإصدار الرابع من IP، 6 للإصدار السادس. القيمة الافتراضية 4.

تدوين غامض للنطاقات والقوائم والمجموعات:

تدوين النطاق:
  [x:y] يعني من x إلى y (شامل).

تدوين القائمة:
  [x,y] يعني قائمة بعدد عشوائي من القيم حيث كل قيمة أكبر من أو تساوي x وأصغر من أو تساوي y.

تدوين المجموعة:
  {x1,x2,x3,x4} يعني مجموعة من القيم x1, x2, x3, x4. سينتج مجموعة فرعية من المجموعة الأصلية.

يرجى الاطلاع على أمثلة مجموعات الميزات في مجلد example_features لمزيد من الأمثلة.
سيتم إضافة المزيد من التفاصيل بالإضافة إلى النظرية الأكاديمية وراء ذلك لاحقًا.