启明星辰入侵检测设备配置文档

启明星辰入侵检测设备配置说明 天阗NT600-TC-BRP 第1章 设备概述与工作流程介绍 1.1设备概述 入侵检测设备是一个典型的窥探设备。它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只须要在网络上被动的、无声息的收集它所关切的报文即可。对收集来的报文，入侵检测设备提取相应的流量统计特征值，并利用内置的入侵学问库，与这些流量特征进行智能分析比较匹配。依据预设的阀值，匹配耦合度较高的报文流量将被认为是进攻，入侵检测系统将依据相应的配置进行报警或进行有限度的反击。不同于防火墙，IDS入侵检测设备是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是IDS应当挂接在全部所关注流量都必需流经的链路上。 典型拓扑 1.2 IDS工作流程介绍 入侵检测系统的工作流程大致分为以下几个步骤 1.信息收集 入侵检测的第一步是信息收集，内容包括网络流量的内容、用户连接活动的状态和行为。 2.信号分析 对上述收集到的信息，一般通过三种技术手段进行分析模式匹配，统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。 具体的技术形式如下所述 1.模式匹配，模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发觉违反平安策略的行为。 2.统计分析，分析方法首先给信息对象（如用户、连接、文件、书目和设备等）创建一个统计描述，统计正常运用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何视察值在正常偏差之外时，就认为有入侵发生。 3.完整性分析，完整性分析主要关注某个文件或对象是否被更改，包括文件和书目的内容与属性，它在发觉被更改的、被特络伊化的应用程序方面特殊有效。完整性分析利用强有力的加密机制，称为消息摘要函数（例如MD5），能识别与其微小的改变。 第2章 启明星辰入侵检测设备的安装介绍 2.1产品外观 从左到右分别是管理口，USB口，1-5业务口 2.2安装与配置步骤 产品安装与部署步骤包括限制中心安装和引擎安装部署。限制中心须要安装在一台PC上，即须要为IDS入侵检测设备配置一台特地的工作站。这里提到的引擎就是指入侵检测设备。 2.2.1限制中心的安装步骤 1） 打算一台工作站，安装上win server操作系统，可以是Windows Server 2008 R2 Standard 64 位或者是Windows Server 2012 R2 standard 64 位，（现场测试时，Win7 64位操作系统不能通过 方式配置引擎）； 2）SQL server数据库安装在随机附带的安装光盘中有SQL server数据库安装包，具体步骤如下 双击“SQL Server 2008 Express.” ，等待一会，进入 SQL Server 安装中心界面 点击“安装”，选择“全新 SQL Server 独立安装或向现有安装添加功能”一项 点击“确定”进入产品密钥界面 点击“下一步”按钮 ，进入许可条款界面，勾选“我接受许可条款（A） ” 点击“安装”按钮 选择所要安装的功能以与共享功能书目后，点击“下一步”按钮，进入实例配置界面 选择默认实例后，点击下一步 配置好账号密码 （如有疑问，参考附件中天阗入侵检测与管理系统V7040用户安装手册25-29业步骤） 选择混合模式，并添加管理员，点击下一步 点击下一步，然后选择安装，安装完成后选择关闭即可 须要留意的是 数据库管理软件安装完成后打开程序Microsoft SQL Server 2008 配置工具 Sql Server配置管理器 SQL Server Configuration Manager SQL Server 2008网络配置 SQLEXPRESS的协议中的TCP/IP状态为已启用，假如是禁用状态，请将该状态改为已启用，并且修改TCP端口为8080，然后在SQL Server 2008服务 选择SQL Server MSSQLSERVER 右键选择重新启动 数据库安装完成并重启服务后查看打开限制面板 性能维护 管理工具 服务， 查看SQL ServerMSSQLSERVER服务，点击到登陆页面查看登陆身份是否为本地系统假如不是请调整到本地服务。 3）天阗入侵检测与管理系统V7.0安装 点击运行“天阗入侵检测与管理系统.”，安装提示点击下一步，选择好安装书目，点击安装即可。 其中须要配置业务数据导入工具，然后点击导入 导入完成后，进行数据库配置和服务端口配置 点击确定，弹出“配置修改胜利”，等待全部安装完成后，重启计算机。 2.2.2引擎安装配置步骤 1）将工作站与IDS入侵检测设备的管理口相连，管理口的默认IP地址是192.168.0.200，用户名密码分别是adm/venus70，用 方式登录到引擎中。（现场运用IE阅读器无法显示页面内容，更换成谷歌阅读器之后可以正常显示） 2）登录胜利之后，选择常用配置 -组件管理 -引擎配置 -点击“新建”按钮，添加引擎 3）事务库更新从官网下载最新的对应型号设备的事务库文件，进行更新。 4）策略定制和下发在常用配置 - 策略管理 - 策略集 - 点击“新建” 选择须要的事务进行提交 提交完成后，在组件管理 - 组件状态管理 - 选择须要应用到的网络引擎，进行策略下发和应用。 2.2.3 业务配置 选择其中一个业务口，将其接入所要检测的网络中，一般是接入到交换机中，布线完成后，须要在交换机上做镜像口配置，用于统计监视各端口网络流量。不同型号的交换机配置吩咐不同，具体信息参考附件中天阗入侵检测与管理系统V7040用户安装手册的第86页。 至此，IDS入侵检测设备部署完成，可以在限制中心上通过 的方式登录到引擎中查看统计信息 。 注由于受到设备授权方面的影响，默认状况下只能运用其中一个业务口（具体哪一个可自行配置）进行审计，如需运用多个业务口，则须要进行相应的授权。 - 15 - / 15