# Правило СОВ со сценарием на NGFW 6
# Симптомы

*Требуется реализовать следующий функционал - если обнаруживается атака СОВ, начинает работать сценарий и через правило МСЭ блокируется трафик с адреса. Сценарий сработает для одного пользователя. Я правильно понимаю, что IP адрес подходит под описание "пользователь" ?* 

# Решение

Пользователь в данном случае подразумевается IP адрес. То есть если вы создаёте сценарий для одного пользователя, он сработает для этого IP адреса. Следовательно и правило со сценарием будет работать для этого адреса.

Для реализации данного функционала необходимо выполнить следующее:

1\) Создать сценарий для одного пользователя, в условиях указать СОВ. (для проверки укажите уровень Низкий, под который подпадает BlackSun), указать временные ограничения, например 10 минут и количество сработок 1 за 1 минуту.

![](https://sd.usergate.com/attachments/5/W/5WInSi6PuCQYe1ps_tc/NTU1MDA4LjYyOTQzMDA3MjgxNzIyNDAyOTI2NzU3.png)![](https://sd.usergate.com/attachments/3/_/3_SRKreDpa4JZT1y_tc/MjI3NjIuMjYzNTEyMzEyODExNzIyNDAyOTA4MjQ3.png)

2\) Создать правило СОВ с профилем в котором есть BlackSun

![](https://sd.usergate.com/attachments/9/9/99TpG2_gcYyyac_F_tc/NDA0Mzk1LjUwNDk0OTQ3NDA3MTcyMjQwMjk4NDM0Nw.png)

![](https://sd.usergate.com/attachments/I/B/IBs8osKfCuDHT_6K_tc/NzE3Mzk2LjA0OTAwNjY5MDkxNzIyNDAyOTY0MDI4.png)

3\) Создать правило Межсетевого экрана с действием запретить и созданным сценарием

![](https://sd.usergate.com/attachments/J/5/J5l4L0OXO1KaUZKA_tc/NjgwMzQuNjE5Njk2NzEyNzYxNzIyNDAzMDE2Mzk2.png)

Затем протестируйте функционал, выполнив проверку согласно статьи [https://sd.usergate.com/articles/215](https://sd.usergate.com/articles/215)

Перейдите в журнал СОВ и проверьте, что СОВ отработал.
Затем попробуйте перейти на любой сайт с данного клиента, чтобы удостовериться в наличии блокировки. Следом перейдите с другого клиента, чтобы удостоверится в отсутствии блокировки.

#