搜索
《云安全产品配置与应用》之入侵检测篇——产品配置与实践《云安全产品配置与应用》课程之入侵检测篇本讲主要内容任务目标任务1：学习天融信入侵检测引擎配置子任务A：IDS管理口的配置子任务B：IDS监听口的配置任务2：学习天融信入侵检测管理中心配置子任务A：探头的添加以及下发和执行子任务B：查看各个类型事件日志以及统计信息子任务C：查看IDS监控事件子任务D：IDS日志数据库的配置子任务E：自定义事件规则子任务F：配置多层分级管理子任务G：与防火墙的联动子任务H：设置网络流量统计学习目标掌握入侵检测系统的部署掌握入侵检测基本功能配置《云安全产品配置与应用》课程之入侵检测篇IDS引擎配置PC串口线接COM口1.用串口线把管理机和IDS的COM口连接起来；《云安全产品配置与应用》课程之入侵检测篇2.在管理机上打开超级终端，进行IDS引擎的配置；（默认用户名：admin；密码：talent）IDS引擎配置《云安全产品配置与应用》课程之入侵检测篇此时我们先对IDS引擎进行管理口的配置3.选择“系统管理”—“网络配置”—“IP配置”,然后配置管理口的ip地址，子网掩码，网关。IDS引擎配置-管理口配置《云安全产品配置与应用》课程之入侵检测篇IDS引擎配置-监听口配置管理口配置好了之后，我们就进行IDS的监听口的配置4.返回主界面，选择“引擎管理”—“引擎控制”—编辑当前配置”—“探头配置”。将“监听网卡”选择为所需要的抓包口，“响应网卡”选择为上面配置的管理口接口。《云安全产品配置与应用》课程之入侵检测篇监听口和控制口都配置好了，就可以将IDS引擎上线了。监听口接交换机的镜像端，控制口接IDS管理主机（本案例中我们接到核心交换机的内外区域VLAN上任意一个接口上，只要与IDS管理中心路由可达即可）。以上就完成了IDS引擎的操作，接下来我们介绍IDS控制主机的安装方法。《云安全产品配置与应用》课程之入侵检测篇在管理主机上安装、配置IDS客户端：1.安装客户端；IDS管理中心配置-客户端的安装《云安全产品配置与应用》课程之入侵检测篇2.登陆客户端，进行配置；（默认用户名：admin，密码：talent）IDS管理中心配置-客户端的安装《云安全产品配置与应用》课程之入侵检测篇探头配置：选择“资产”“引擎”，单击“添加”按钮，进行探头配置；名称”和“组”自己填写，ip地址填入IDS控制口的ip，端口用默认的2002，“类型”选择自动获取，如果获取不成功，查看IDS的控制口与管理机之间链接是否正常，能否ping通，再看ip地址是否填写正确；“策略”选择自动刷新探头，刷新出来后给这个探头分配策略。IDS管理中心配置-探头的添加《云安全产品配置与应用》课程之入侵检测篇《云安全产品配置与应用》课程之入侵检测篇探头配置好后，单击“确定”保存，然后就可以将刚才所选的配置下发到IDS引擎上了。单击“同步”，依顺序选择“下发策略”，“应用策略”。IDS管理中心配置-策略的下发和执行《云安全产品配置与应用》课程之入侵检测篇这样IDS管理中心就基本配置完成了，大家可以在实时和历史事件中看到数据。IDS管理中心配置-策略的下发和执行《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，实时显示引擎检测到的事件。实时事件窗口只能显示环境设置的日志窗口页大小中指定数量的事件。通过双击历史事件中的特定事件，可以查看关于该事件的详细内容。IDS管理中心配置-入侵检测日志《云安全产品配置与应用》课程之入侵检测篇通过点击图中所示位置，可以查看监控日志。IDS管理中心配置-监控日志《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示POP3,SMTP,IMAP等邮件监控相关日志。通过双击特定事件，可以查看详细内容。IDS管理中心配置-邮件监控日志《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示Messenger监控(MSN)相关日志。通过双击可以查看关于该事件的详细说明。IDS管理中心配置-Messenger日志《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示通过FTP或MSN传输文件的日志。IDS管理中心配置-文件传输日志《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示入侵检测统计，按风险级别、规则组显示入侵检测日志统计。IDS管理中心配置-入侵检测统计《云安全产品配置与应用》课程之入侵检测篇流量统计、网络流量统计、入侵流量统计、实时流量统计等点击图中红色标记位置，进入网络流量统计界面。流量统计分为web。IDS管理中心配置-网络流量统计《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示引擎状态的实时监控信息。实时监控引擎的状态，包括CPU、内存等资源使用率，当前会话数、流量、丢包数等。详细查看引擎的各种状态信息。IDS管理中心配置-实时监控《云安全产品配置与应用》课程之入侵检测篇点击图中红色标记位置，显示会话监控，实时显示当前会话。可以通过条件查询窗口指定各种条件进行查询。IDS管理中心配置-会话监控《云安全产品配置与应用》课程之入侵检测篇天融信IDS日志可以保存到数据库中，数据库类型支持MSACCESS和MSSQLSERVER两种类型；（一般采用sql数据库）在管理主机上安装好sql2000后，使用我们提供的数据库生成器即可；在【资产】－【环境设置】中“日志目录”的设置必须与创建数据库时在数据库服务器上所指定的路径完全相同，否则“连接测试”提示成功，但不能正常连接到数据库服务器如：在创建数据库时指定的目录是“c:\log\”，那么在环境设置中也必须指定为“c:\log\”。IDS管理中心配置-日志保存数据库的配置《云安全产品配置与应用》课程之入侵检测篇IDS管理中心配置-日志保存数据库的配置《云安全产品配置与应用》课程之入侵检测篇打开策略编辑器，点击“事件→组→自定义”结点点击上图右下框的“添加”按钮，出现下图，用户通过此窗口定义自定义事件的属性。自定义的事件集，可以在探头策略那里进行选择，然后下发给IDS引擎IDS管理中心配置-自定义事件《云安全产品配置与应用》课程之入侵检测篇NGIDS引擎ANGIDS引擎CNGIDS引擎B多级控制台管理三级管理中心二级管理中心一级管理中心大型分布式网络环境下需要进行分级管理用户需要进行多层分级管理如何设置？IDS管理中心配置-多层分级管理《云安全产品配置与应用》课程之入侵检测篇上级管理中心设置在资产菜单中点击引擎添加，选择类型为下级管理中心，输入要管理的下级控制台的IP地址，注意要保证两个控制台可以通讯上级管理中心端的配置：IDS管理中心配置-多层分级管理《云安全产品配置与应用》课程之入侵检测篇下级管理中心设置下级管理控制台的配置：首先添加一个可管理的引擎，IP地址输入引擎的管理地址，并添加相应的策略。IDS管理中心配置-多层分级管理《云安全产品配置与应用》课程之入侵检测篇下级管理中心设置点击资产菜单中的环境设置页，打开分级管理，选中本控制台作为下级管理中心，并输入上级管理中心的地址。同时可以在下面的属性页中选择一些通讯的策略。IDS管理中心配置-多层分级管理《云安全产品配置与应用》课程之入侵检测篇这样，在上级的管理中心可以看到下级管理控制台发来的入侵日志：IDS管理中心配置-多层分级管理《云安全产品配置与应用》课程之入侵检测篇第一步：点击引擎菜单中的引擎控制，打开防火墙联动证书窗口，导入防火墙生成的联动证书文件—Key_file_ids应用。IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇第二步：点击策略编辑器中的响应按钮，打开响应对话框，编辑“天融信防火墙”属性。IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇此窗口为防火墙响应属性页，用户可以对其响应属性进行修改。点击最下方对话框中的“天融信防火墙”，在响应对象中会出现“天融信防火墙”，点击出现右边对话框中的响应方式IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇双击编辑天融信防火墙的对象属性，输入防火墙的IP地址和密钥文件名：注：此处的密钥文件名必须与引擎控制中导入的文件名称一致IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇双击右边对话框编辑响应对象属性。管理员可在下面的窗口中对天融信防火墙的响应方式进行设置：注：为使响应方式的修改生效，须先去掉响应方式前面方框中的选中标记，之后再重新选中IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇在策略编辑器中针对需要防火墙阻断的事件，选择天融信防火墙的响应方式，即可对相应的事件实现防火墙阻断。（“策略”中选择该事件，然后在右边对话框中点击“添加”）注：建议采用添加响应方式，不要改变默认的响应“常规日志”IDS管理中心配置-与防火墙的联动《云安全产品配置与应用》课程之入侵检测篇如果要生成相应的网络流量统计数据，必须要在策略编辑器的参数选项中进行设置，控制台程序默认是不打开这些参数的，因为它会占用很多磁盘空间，因此由用户来选择是否记录流量。在网络流量统计属性页中选中相应的参数。IDS管理中心配置-设置网络流量统计《云安全产品配置与应用》课程之入侵检测篇在添加引擎时需要选中引擎状态中的网络统计选项，这样才会进行网络统计：IDS管理中心配置-设置网络流量统计《云安全产品配置与应用》课程之入侵检测篇本讲主要内容任务目标任务1：学习天融信入侵检测引擎配置子任务A：IDS管理口的配置子任务B：IDS监听口的配置任务2：学习天融信入侵检测管理中心配置子任务A：探头的添加以及下发和执行子任务B：查看各个类型事件日志以及统计信息子任务C：查看IDS监控事件子任务D：IDS日志数据库的配置子任务E：自定义事件规则子任务F：配置多层分级管理子任务G：与防火墙的联动子任务H：设置网络流量统计学习目标掌握入侵检测系统的部署掌握入侵检测基本功能配置