8-4 入侵防御系统的实践.pptx

项目8

入侵检测与防御技术

入侵防御系统的实践

04.

1．网络基本配置

按照图规划的IP地址，配置路由器R1的接口IP地址、各终端的IP地址和日志服务器的IP地址，并开启日志服务。

2．确定特征库的存储位置

（1）在特权模式下，执行mkdiripsdir命令，在闪存中创建用于存储特征库的目录。

（2）在全局配置模式下，执行ipipsconfiglocationflash:ipsdir命令，指定用于存储特征库的目录。

3．制定入侵检测规则

执行ipipsnameIPS命令，建立名为IPS的入侵检测规则。

4．开启日志功能

（1）将事件记录在日志服务器中作为指定的事件通知方法，执行ipipsnotifylog命令。

（2）指定日志服务器的IP地址，执行logginghost192.168.1.254命令。

（3）在发送日志信息中标记日期事件，精确到毫秒，执行servicetimestampslogdatetimemsec命令。

（4）设置日期与时间，执行clockset时间日期命令，其中时间和日期与计算机同步。

5．配置每一类特征

（1）进入特征库分类配置模式，执行ipipssignature-category命令。

（2）指定所有类别特征库，执行categoryall命令。

（3）释放指定类别的特征库，执行retiredtrue命令。

（4）指定特征库的类别名和类别子名，执行categoryios_ipsbasic命令。

（5）加载指定类别的特征库，这里指的是ios_ips类别中的basic子类别，执行retiredfalse命令。

6．定义扩展分组过滤器

指定信息流类别的扩展分组过滤器并与入侵检测规则绑定在一起。执行如下命令：

access-list100permitiphost192.168.2.253host192.168.1.252

access-list100denyipanyany

ipipsnameIPSlist100

7．将规则应用到路由器接口

在R1的fa0/0接口配置模式下，执行ipipsIPSout命令。

8．重新定义特征

（1）进入特征定义模式，执行ipipssignature-definition命令。

（2）指定编号为2018子编号为0的特征，所匹配的报文是ICMPECHO请求报文，执行signature20180命令。

（3）指定特征定义模式下使用的命令，执行status命令。

（4）加载指定类别的特征库，执行retiredfalse命令。

（5）启动指定特征，用该特征匹配需要检测入侵行为的信息流，执行enabledtrue命令。

（6）进入指定特征引擎配置模式，执行engine命令。

（7）将在线丢弃作为对指定匹配的信息流所采取的动作，执行event-actiondeny-packet-inline命令。

（8）将发送警告信息作为对指定特征匹配的信息流所采取的动作，执行event-actionproduce-alert命令。

9．配置结果验证

执行showipipsall命令查看配置结果，并且使用终端C分别ping终端A、终端B、终端D和日志服务器.

谢谢！