IPS が正常に signature を検知しているかどうか初期導入などの際に
気になることがあると思います。通常、show event でイベントが出力
される事によって signature の検知を確認すると思います。
しかし、signature の event-action に produce-alert/produce-verbose-alert が
含まれていない場合には、signature を検知しても show event には表示されません。
そこで知っておくと便利なコマンドが、以下のコマンドです。
このコマンドにより、どの signature がどれくらい検知したのかを確認する事ができます。
※注意: この signature カウントはIPS内部で使用しているカウンターの為、必ずしも show event
で表示される signature(produce-alert設定されている) の検知回数と一緒にならない事に留意してください。
------
sensor# show statistics virtual-sensor | inc Sig
Name of current Signature-Defintion instance = sig0
The Signature Database Statistics.
SigEvent Preliminary Stage Statistics
Number of Active SigEventDataNodes = 1
Per-Signature SigEvent count since reset
Sig 6251.0 = 14
Sig 2000.0 = 108
Sig 2004.0 = 108
SigEvent Action Override Stage Statistics
SigEvent Action Filter Stage Statistics
SigEvent Action Handling Stage Statistics.
