3-3-02《信息安全产品配置与应用》课程-入侵检测篇-ID.

《云安全产品配置与应用》之入侵检测篇——产品配置与实践在管理主机上安装、配置IDS客户端：1.安装客户端；IDS管理中心配置-客户端的安装2.登陆客户端，进行配置；（默认用户名：admin，密码：talent）IDS管理中心配置-客户端的安装探头配置：选择“资产”“引擎”，单击“添加”按钮，进行探头配置；名称”和“组”自己填写，ip地址填入IDS控制口的ip，端口用默认的2002，“类型”选择自动获取，如果获取不成功，查看IDS的控制口与管理机之间链接是否正常，能否ping通，再看ip地址是否填写正确；“策略”选择自动刷新探头，刷新出来后给这个探头分配策略。IDS管理中心配置-探头的添加探头配置好后，单击“确定”保存，然后就可以将刚才所选的配置下发到IDS引擎上了。单击“同步”，依顺序选择“下发策略”，“应用策略”。IDS管理中心配置-策略的下发和执行这样IDS管理中心就基本配置完成了，大家可以在实时和历史事件中看到数据。IDS管理中心配置-策略的下发和执行点击图中红色标记位置，实时显示引擎检测到的事件。实时事件窗口只能显示环境设置的日志窗口页大小中指定数量的事件。通过双击历史事件中的特定事件，可以查看关于该事件的详细内容。IDS管理中心配置-入侵检测日志通过点击图中所示位置，可以查看监控日志。IDS管理中心配置-监控日志点击图中红色标记位置，显示POP3,SMTP,IMAP等邮件监控相关日志。通过双击特定事件，可以查看详细内容。IDS管理中心配置-邮件监控日志点击图中红色标记位置，显示Messenger监控(MSN)相关日志。通过双击可以查看关于该事件的详细说明。IDS管理中心配置-Messenger日志点击图中红色标记位置，显示通过FTP或MSN传输文件的日志。IDS管理中心配置-文件传输日志点击图中红色标记位置，显示入侵检测统计，按风险级别、规则组显示入侵检测日志统计。IDS管理中心配置-入侵检测统计流量统计、网络流量统计、入侵流量统计、实时流量统计等点击图中红色标记位置，进入网络流量统计界面。流量统计分为web。IDS管理中心配置-网络流量统计点击图中红色标记位置，显示引擎状态的实时监控信息。实时监控引擎的状态，包括CPU、内存等资源使用率，当前会话数、流量、丢包数等。详细查看引擎的各种状态信息。IDS管理中心配置-实时监控点击图中红色标记位置，显示会话监控，实时显示当前会话。可以通过条件查询窗口指定各种条件进行查询。IDS管理中心配置-会话监控天融信IDS日志可以保存到数据库中，数据库类型支持MSACCESS和MSSQLSERVER两种类型；（一般采用sql数据库）在管理主机上安装好sql2000后，使用我们提供的数据库生成器即可；在【资产】－【环境设置】中“日志目录”的设置必须与创建数据库时在数据库服务器上所指定的路径完全相同，否则“连接测试”提示成功，但不能正常连接到数据库服务器如：在创建数据库时指定的目录是“c:\log\”，那么在环境设置中也必须指定为“c:\log\”。IDS管理中心配置-日志保存数据库的配置IDS管理中心配置-日志保存数据库的配置打开策略编辑器，点击“事件→组→自定义”结点点击上图右下框的“添加”按钮，出现下图，用户通过此窗口定义自定义事件的属性。自定义的事件集，可以在探头策略那里进行选择，然后下发给IDS引擎IDS管理中心配置-自定义事件NGIDS引擎ANGIDS引擎CNGIDS引擎B多级控制台管理三级管理中心二级管理中心一级管理中心大型分布式网络环境下需要进行分级管理用户需要进行多层分级管理如何设置？IDS管理中心配置-多层分级管理上级管理中心设置在资产菜单中点击引擎添加，选择类型为下级管理中心，输入要管理的下级控制台的IP地址，注意要保证两个控制台可以通讯上级管理中心端的配置：IDS管理中心配置-多层分级管理下级管理中心设置下级管理控制台的配置：首先添加一个可管理的引擎，IP地址输入引擎的管理地址，并添加相应的策略。IDS管理中心配置-多层分级管理下级管理中心设置点击资产菜单中的环境设置页，打开分级管理，选中本控制台作为下级管理中心，并输入上级管理中心的地址。同时可以在下面的属性页中选择一些通讯的策略。IDS管理中心配置-多层分级管理这样，在上级的管理中心可以看到下级管理控制台发来的入侵日志：IDS管理中心配置-多层分级管理第一步：点击引擎菜单中的引擎控制，打开防火墙联动证书窗口，导入防火墙生成的联动证书文件—Key_file_ids应用。IDS管理中心配置-与防火墙的联动第二步：点击策略编辑器中的响应按钮，打开响应对话框，编辑“天融信防火墙”属性。IDS管理中心配置-与防火墙的联动此窗口为防火墙响应属性页，用户可以对其响应属性进行修改。点击最下方对话框中的“天融信防火墙”，在响应对象中会出现“天融信防火墙”，点击出现右边对话框中的响应方式IDS管理中心配置-与防火墙的联动双击编辑天融信防火墙的对象属性，输入防火墙的IP地址和密钥文件名：注：此处的密钥文件名必须与引擎控制中导入的文件名称一致IDS管理中心配置-与防火墙的联动双击右边对话框编辑响应对象属性。管理员可在下面的窗口中对天融信防火墙的响应方式进行设置：注：为使响应方式的修改生效，须先去掉响应方式前面方框中的选中标记，之后再重新选中IDS管理中心配置-与防火墙的联动在策略编辑器中针对需要防火墙阻断的事件，选择天融信防火墙的响应方式，即可对相应的事件实现防火墙阻断。（“策略”中选择该事件，然后在右边对话框中点击“添加”）注：建议采用添加响应方式，不要改变默认的响应“常规日志”IDS管理中心配置-与防火墙的联动如果要生成相应的网络流量统计数据，必须要在策略编辑器的参数选项中进行设置，控制台程序默认是不打开这些参数的，因为它会占用很多磁盘空间，因此由用户来选择是否记录流量。在网络流量统计属性页中选中相应的参数。IDS管理中心配置-设置网络流量统计在添加引擎时需要选中引擎状态中的网络统计选项，这样才会进行网络统计：IDS管理中心配置-设置网络流量统计本讲主要内容任务目标任务1：学习天融信入侵检测引擎配置子任务A：IDS管理口的配置子任务B：IDS监听口的配置任务2：学习天融信入侵检测管理中心配置子任务A：探头的添加以及下发和执行子任务B：查看各个类型事件日志以及统计信息子任务C：查看IDS监控事件子任务D：IDS日志数据库的配置子任务E：自定义事件规则子任务F：配置多层分级管理子任务G：与防火墙的联动子任务H：设置网络流量统计学习目标掌握入侵检测系统的部署掌握入侵检测基本功能配置