啟明星辰入侵檢測設(shè)備配置文檔

1、啟明星辰入侵檢測設(shè)備配置說明系統(tǒng)集成室啟明星辰入侵檢測設(shè)備配置說明天闐 NT600-TC-BRP第 1章 設(shè)備概述與工作流程介紹1.1 設(shè)備概述入侵檢測設(shè)備是一個典型的"窺探設(shè)備"。 它不跨接多個物理網(wǎng)段（通常只有一個監(jiān)聽端口），無須轉(zhuǎn)發(fā)任何流量，而只需要在網(wǎng)絡(luò)上被動的、無聲息的收集它所關(guān)心的報文即可。對收集來的報文，入侵檢測設(shè)備提取相應(yīng)的流量統(tǒng)計特征值， 并利用內(nèi)置的入侵知識庫，與這些流量特征進行智能分析比較匹配。根據(jù)預(yù)設(shè)的閥值，匹配耦合度較高的報文流量將被認為是進攻，入侵檢測系統(tǒng)將根據(jù)相應(yīng)的配置進行報警或進行有限度的反擊。不同于防火墻，IDS 入侵檢測設(shè)備是一個監(jiān)聽設(shè)備

2、，沒有跨接在任何鏈路上，無須網(wǎng)絡(luò)流量流經(jīng)它便可以工作。因此，對 IDS 的部署， 唯一的要求是：IDS 應(yīng)當掛接在所有所關(guān)注流量都必須流經(jīng)的鏈路上。典型拓撲：1.2 IDS 工作流程介紹入侵檢測系統(tǒng)的工作流程大致分為以下幾個步驟：1 . 信息收集入侵檢測的第一步是信息收集，內(nèi)容包括網(wǎng)絡(luò)流量的內(nèi)容、用戶連接活動的狀態(tài)和行為。2 .信號分析對上述收集到的信息，一般通過三種技術(shù)手段進行分析：模式匹配， 統(tǒng)計分析和完整性分析。其中前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。具體的技術(shù)形式如下所述：1） .模式匹配，模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，從

3、而發(fā)現(xiàn)違背安全策略的行為。2） .統(tǒng)計分析，分析方法首先給信息對象（如用戶、連接、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。 測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進行比較，任何觀察值在正常偏差之外時，就認為有入侵發(fā)生。3） .完整性分析，完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓?，包括文件和目錄的?nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被特絡(luò)伊化的應(yīng)用程序方面特別有效。完整性分析利用強有力的加密機制，稱為消息摘要函數(shù)（例如MD5 ） ，能識別及其微小的變化。第 2 章 啟明星辰入侵檢測設(shè)備的安裝介紹2.1 產(chǎn)品外觀從左到右分別是：管理口

4、，USB 口， 1-5 業(yè)務(wù)口2.2 安裝與配置步驟產(chǎn)品安裝與部署步驟包括：控制中心安裝和引擎安裝部署?？刂浦行男枰惭b在一臺PC上，即需要為IDS入侵檢測設(shè)備配置一臺專門的工作站。這里提到的引擎就是指入侵檢測設(shè)備。2.2.1 控制中心的安裝步驟1) 準備一臺工作站，安裝上 win server操作系統(tǒng)，可以是 Windows Server2008 R2 Standard 64 位或者是Windows Server 2012 R2 standard 64位， (現(xiàn)場測試時， Win7 64位操作系統(tǒng)不能通過HTTP方式配置引擎)；2) SQL server數(shù)據(jù)庫安裝：在隨機附帶的安裝光盤中有S

5、QL server數(shù)據(jù)庫安裝包，具體步驟如下：雙擊“SQL Server 2008 Express.e”xe ，等待一會，進入SQL Server安裝中心- 18 -界面：點擊“安裝”，選擇“全新 SQL Server獨立安裝或向現(xiàn)有安裝添加功能”一項：點擊“確定”進入產(chǎn)品密鑰界面：點擊“下一步”按鈕 ，進入許可條款界面，勾選“我接受許可條款（ A）點擊“安裝”按鈕：選擇所要安裝的功能以及共享功能目錄后，點擊“下一步”按鈕，進入實例配置界面：（如有疑問，參考附件中天闐入侵檢測與管理系統(tǒng)V7040用戶安裝手冊25-29 業(yè)步驟）選擇混合模式，并添加管理員，點擊下一步：點擊下一步，然后選擇安裝，安

6、裝完成后選擇關(guān)閉即可：需要注意的是：數(shù)據(jù)庫管理軟件安裝完成后打開程序Microsoft SQL Server 2008 > 配置工具 > Sql Server 配置管理器 > SQL Server Configuration Manager > SQLServer 2008 網(wǎng)絡(luò)配置> SQLEXPRES的協(xié)議中的 STCP/IP狀態(tài)為已啟用，如果是禁用狀態(tài)，請將該狀態(tài)改為已啟用，并且修改TCP端口為8080， 然后在 SQL Server2008 服務(wù) > 選擇SQL Server (MSSQLSERVE R>) 右鍵選擇重新啟動數(shù)據(jù)庫安裝完成并重啟

7、服務(wù)后查看打開控制面板> 性能維護> 管理工具 > 服務(wù)， 查看SQL Server（MSSQLSERV服務(wù)，ER） 點擊到登陸頁面查看登陸身份是否為本地系統(tǒng)如果不是請調(diào)整到本地服務(wù)。3）天闐入侵檢測與管理系統(tǒng)V7.0安裝點擊運行 “天闐入侵檢測與管理系統(tǒng).exe”，安裝提示點擊下一步，選擇好安裝目錄，點擊安裝即可。啟明星辰入侵檢測設(shè)備配置說明系統(tǒng)集成室其中需要配置業(yè)務(wù)數(shù)據(jù)導入工具，然后點擊導入：導入完成后，進行數(shù)據(jù)庫配置和服務(wù)端口配置：啟明星辰入侵檢測設(shè)備配置說明系統(tǒng)集成室點擊確定，彈出“配置修改成功”，等待全部安裝完成后，重啟計算機。2.2.2 引擎安裝配置步驟1）將工作

8、站與IDS入侵檢測設(shè)備的管理口相連，管理口的默認IP地址是：00，用戶名密碼分別是：adm/venus70，用 http 方式登錄到引擎中。（現(xiàn)場使用IE瀏覽器無法顯示頁面內(nèi)容，更換成谷歌瀏覽器之后可以正常顯示）2）登錄成功之后，選擇常用配置-組件管理-引擎配置-點擊“新建”按鈕，添加引擎：3）事件庫更新：從官網(wǎng)下載最新的對應(yīng)型號設(shè)備的事件庫文件，進行更新。4）策略定制和下發(fā)：在常用配置-> 策略管理-> 策略集 -> 點擊“新建”：選擇需要的事件進行提交：提交完成后，在組件管理-> 組件狀態(tài)管理-> 選擇需要應(yīng)用到的網(wǎng)絡(luò)引擎，進行策略下發(fā)和應(yīng)用。2.2.3 業(yè)務(wù)配置選擇其中一個業(yè)務(wù)口，將其接入所要檢測的網(wǎng)絡(luò)中，一般是接入到交換機中，布線完成后，需要在交換機上做鏡像口配置，用于統(tǒng)計監(jiān)視各端口網(wǎng)絡(luò)流量。不同型號的交換機配置命令不同，詳細信息參考附件中天闐入侵檢測與管理系統(tǒng)V7040用戶安裝