ASA威胁检测功能和配置.PDF

ASA威胁检测功能和配置 目录 简介 威胁检测功能 基本威胁检测(系统层速率) 先进的威胁检测(对象级别统计信息和顶部N) 扫描的威胁检测 限制 配置 基本威胁检测 先进的威胁检测 扫描的威胁检测 性能 推荐的操作 当一基本丢弃速率被超出，并且时%ASA-4-733100生成 当扫描威胁检测，并且时%ASA-4-733101被记录 当攻击者避开，并且时%ASA-4-733102被记录 当%ASA-4-733104和%ASA-4-733105被记录 如何手工触发威胁 基本威胁- ACL丢弃、防火墙和扫描 先进的威胁- TCP拦截 扫描的威胁 相关信息 简介 本文描述思科可适应安全工具(ASA)的威胁检测功能的功能和基本配置。在他们到达内部网络基础 设施前，威胁检测提供防火墙管理员必要的工具识别，了解和终止攻击。为了执行如此，功能依靠 一定数量不同的触发和统计信息，在这些部分的更详细的资料描述。 威胁检测在运行软件版本8.0(2)或以后的所有ASA防火墙可以使用。虽然威胁检测不是一专用的 IDS/IPS解决方案的一种替代品，可以用于IPS不是可用提供防护一块已添加层给ASA的核心功能的 环境。 威胁检测功能 威胁检测功能有三个主要组件： 1. 基本威胁检测 2. 先进的威胁检测 3. 扫描的威胁检测 这些组件中的每一个在这些部分详细描述。 基本威胁检测(系统层速率) 默认情况下基本威胁检测在所有ASA运行8.0(2)启用及以后。  基本威胁检测监控数据包由整体上ASA由于多种原因丢弃的速率。这意味着基本威胁检测生成的统 计信息在威胁的来源或特性只适用于整个设备并且通常不是足够粒状提供信息。反而， ASA监控这 些事件的丢弃的数据包： ACL丢弃(ACL丢弃) -数据包由访问列表拒绝 Bad数据包(BAD数据包丢弃) -无效的信息包格式化，包括L3和L4报头不依照RFC标准 Conn限制(CONN限制丢弃) -超过一已配置的或全球连接限制的数据包 DOS攻击(DOS丢弃) -拒绝服务攻击 防火墙(FW丢弃) -基本防火墙安全安全性检查 ICMP攻击(ICMP丢弃) -可疑ICMP数据包 Inspect (Inspect丢弃) -由应用检查的否认 接口(接口丢弃) -由接口检查的被丢弃的数据包 扫描(扫描威胁) -扫描攻击的网络/host SYN攻击(SYN攻击) -不完整会话攻击，包括TCP SYN攻击和单向的UDP会话没有回归数据 这些事件中的每一个有使用识别威胁的特定的触发。多数触发附加回到特定ASP丢弃原因，虽然某 些Syslog和检查操作也考虑。一些触发按多威胁类别监控。某些最普通的触发在此表里概述，虽然 它不是详尽列表： 基本威胁 触发/ASP丢弃原因 ACL 丢包 ACL 丢包 无效TCP hdr长度 无效IP报头 数据包损坏丢包 Inspect dns PAK太龙牌 Inspect dns id没有匹配 连接限制丢包 CONN限制 DOS 丢包 SP安全失败 Inspect ICMP顺序努姆没有匹配 Inspect dns PAK太龙牌 防火墙丢包 Inspect dns id没有匹配 SP安全失败 ACL 丢包 ICMP 丢包 Inspect ICMP顺序努姆没有匹配 检查丢包 检测引擎触发的帧丢包 SP安全失败 接口丢包 NO-路由 tcp-3whs-failed TCP没有SYN SP安全失败 扫描威胁 ACL 丢包 Inspect ICMP顺序努姆没有匹配 Inspect dns PAK太龙牌 Inspect dns id没有匹配 SYN 攻击 %ASA-6-302014与“SYN超时”卸载原因的Syslog 对于每个事件，基本威胁检测测量这些丢包发生一个配置的周期时间的速率。此时期呼叫平均速率 间隔(ARI)