下载文档原格式
IDS测试工具与使用方法介绍IDS测试工具与使用方法介绍 (1)Nmap -- 扫描工具 (3)Nmap简介 (3)功能选项： (3)Nmap使用例子： (3)Nikto -- 变形工具(一) (4)Nikto简介 (4)Nikto使用例子： (4)Fragrouter -- 会话分片工具 (5)Fragrouter简介 (5)环境配置： (6)测试步骤： (7)Blade － Evasion gateway -- 变形工具(二) (8)Blade-Evasion 简介 (8)Blade Evasion Gateway 配置 (9)测试步骤： (10)Snot--NIDS欺骗 (11)Snot 简介 (11)Snot使用例子： (11)Trojans (11)Nmap -- 扫描工具Nmap简介【名称】Nmap-网络探测和安全扫描工具【语法】nmap [Scan Type(s)] [Options] <host or net #1 ... [#N]>功能选项：1.扫描类型●-sT TCP connect()扫描，这是最基本的TCP扫描方式。
●–sS TCP同步扫描(TCP SYN)，因为不必全部打开一个TCP连接，所以这项技术通常称为半开扫描(half-open)。
●-sF –sX –sN 秘密FIN数据包扫描，圣诞树(Xmas Tree)，空(Null)扫描模式。
●–sP ping扫描。
●–sU UDP扫描。
●-sR RPC扫描。
●-sV Version scan probes open ports determining service & app names/versions2.通用选项●–v 详细模式。
强烈推荐使用这个选项，它会给出扫描过程中的详细信息。
●-O这个选项激活对TCP/IP指纹特征(fingerprinting)的扫描，获得远程主机的标志。
换句话说，nmap使用一些技术检测目标主机操作系统网络协议栈的特征。
网络安全防护设备及配置方法随着互联网的快速发展和普及，网络安全问题也日益凸显。
网络攻击、黑客入侵等威胁不断增加，为了保护网络系统的安全，需要采取一系列网络安全防护措施，并配置相应的网络安全设备。
本文将介绍常见的网络安全防护设备以及配置方法。
一、防火墙（Firewall）防火墙是网络安全的第一道防线，它可以监控和控制进出网络的流量。
防火墙根据预先设定的规则，筛选和阻止可能的恶意流量，保护内部网络免受攻击。
防火墙可分为硬件防火墙和软件防火墙两种类型。
1. 硬件防火墙的配置方法：硬件防火墙通常是一种独立设备，可连接到网络系统的入口处，起到阻隔外网和内网之间流量的作用。
其配置方法如下：（1）规划网络拓扑结构，确定防火墙的位置和连接方式；（2）设定防火墙的规则集，包括允许和禁止的访问、端口、协议等；（3）配置安全策略，根据需求设置包过滤、状态检测、NAT等功能；（4）定期更新和升级防火墙软件，以应对新的网络威胁。
2. 软件防火墙的配置方法：软件防火墙一般安装在服务器或个人计算机上，用于保护特定设备或主机的安全。
其配置方法如下：（1）选择符合需要的软件防火墙，如Windows防火墙、Norton防火墙等；（2）根据软件防火墙提供的界面，设定相应的防护规则；（3）允许必要的网络流量通过，拦截可疑的入侵尝试；（4）定期更新和升级防火墙软件，提高防护能力。
二、入侵检测系统（Intrusion Detection System，IDS）入侵检测系统是一种监控和分析网络流量以及检测网络攻击的设备。
IDS可以实时识别并报告潜在的入侵事件，并采取相应的措施进行防范。
IDS主要分为网络入侵检测系统（NIDS）和主机入侵检测系统（HIDS）两种类型。
1. 网络入侵检测系统的配置方法：网络入侵检测系统通过监听和分析网络流量，识别可能的安全威胁。
其配置方法如下：（1）确定部署位置，通常在网关或关键设备附近；（2）设定监测范围和监测规则，识别异常的网络流量；（3）配置警报系统，及时通知管理员发生的入侵事件；（4）定期更新入侵检测系统的规则库，以提高检测的准确性。
⽹络⼊侵检测系统（IDS）的安装部署安装snort⼊侵检测系统1、登录ids系统登录实验机后，打开桌⾯上的putty程序，输⼊10.1.1.106，再点击Open.。
输⼊⽤户名：root，密码：bjhit2、安装LAMP环境（省略）在putty⾥⾯输⼊如下命令进⾏安装apt-get install mysql-server libapache2-mod-php5 php5-mysql libphp-adodb注意：因为下载时间太长，会耽误过多的时间，所以提前已经安装好了。
这⾥给mysql的root⽤户，设置的密码是123456。
3、安装snort软件包(已安装)#apt-get install snort-mysql在安装过程中会提⽰下图所⽰信息。
（这⾥是填写监听的⽹段）4、创建snortdb数据库登录mysql mysql -u root -p123456进⼊数据库后，创建⼀个数据库命名为snortdb。
create database snortdb;grant create, insert, select, update on snortdb.* to snort@localhost;set password for snort@localhost=password('snortpassword');创建⼀个数据库⽤户，⽤户名为snort，密码为snortpassword。
将snort-mysql⾃带的软件包中附带的sql⽂件，导⼊到数据库中。
cd /usr/share/doc/snort-mysql/zcat create_mysql.gz | mysql snortdb -u snort -psnortpasswordrm /etc/snort/db-pending-config5、配置snort配置好了数据库后，需要配置Snort配置⽂件（/etc/snort/snort.conf），告诉snort以后⽇志写⼊到snortdb数据库中。
1.1 入侵检测部署方案1.1.1 需求分析利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找防火墙背后可能敞开的后门，或者入侵者也可能就在防火墙内。
通过部署安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、dos/ddos等，能防御针对操作系统漏洞的攻击，能够实现应用层的安全防护，保护核心信息资产的免受攻击危害。
针对网络的具体情况和行业特点，我们得到的入侵检测的需求包括以下几个方面：? 入侵检测要求能够对攻击行为进行检测，是对入侵检测设备的核心需求，要求可以检测的种类包括：基于特征的检测、异常行为检测（包括针对各种服务器的攻击等）、可移动存储设备检测等等。
? 自身安全性要求作为网络安全设备，入侵检测系统必须具有很高的安全性，配置文件需要加密保存，管理台和探测器之间的通讯必须采用加密的方式，探测器要可以去除协议栈，并且能够抵抗各种攻击。
? 日志审计要求系统能对入侵警报信息分类过滤、进行统计或生成报表。
对客户端、服务器端的不同地址和不同服务协议的流量分析。
可以选择不同的时间间隔生成报表，反映用户在一定时期内受到的攻击类型、严重程度、发生频率、攻击来源等信息，使管理员随时对网络安全状况有正确的了解。
可以根据管理员的选择，定制不同形式的报表。
? 实时响应要求当入侵检测报警系统发现网络入侵和内部的违规操作时，将针对预先设置的规则，对事件进行实时应急响应。
根据不同级别的入侵行为能做出不同方式告警，用以提醒管理人员及时发现问题，并采取有效措施，控制事态发展。
报警信息要分为不同的级别：对有入侵动机的行为向用户显示提示信息、对严重的违规现象实行警告通知、对极其危险的攻击可通过网管或者互动防火墙进行及时阻断、以及向安全管理中心报告。
另外，必须在基于规则和相应的报警条件下，对不恰当的网络流量进行拦截。
? 联动要求入侵检测系统必须能够与防火墙实现安全联动，当入侵检测系统发现攻击行为时，能够及时通知防火墙，防火墙根据入侵检测发送来的消息，动态生成安全规则，将可疑主机阻挡在网络之外，实现动态的防护体系！进一步提升网络的安全性。
网络安全防护设备配置网络安全在当今数字化时代至关重要。
随着互联网的普及和云计算的快速发展，网络安全威胁也日益增加。
为了保护个人和机构的敏感信息，配置适当的网络安全防护设备至关重要。
本文将介绍网络安全防护设备的配置要点和步骤。
一、防火墙配置防火墙是网络安全的第一道防线，用于监控和控制网络流量。
以下是防火墙的配置要点：1. 确定安全策略：制定适当的安全策略，包括允许或拒绝特定IP 地址、端口或协议的流量。
2. 设置访问控制列表（ACL）：ACL用于过滤流量并决定是否允许特定的数据包通过防火墙。
配置ACL时，必须考虑网络服务的需要和安全风险。
3. 启用入侵检测和预防系统（IDS/IPS）：IDS/IPS可以检测和阻止潜在的网络攻击。
配置IDS/IPS以及相应的警报和阻止机制是至关重要的。
二、入侵检测系统（IDS）配置IDS是用于检测网络中异常或可疑活动的设备。
以下是IDS配置的关键步骤：1. 选择合适的IDS技术：常见的IDS技术包括基于特征的IDS和基于行为的IDS。
根据实际需求和资源限制选择适当的技术。
2. 配置网络监视器：网络监视器用于捕获和分析网络流量。
选择合适的网络监视器，并确保其能够有效地记录和报告异常活动。
3. 设置警报机制：当IDS检测到异常活动时，应及时生成警报并发送给网络管理员。
配置警报机制以便及时响应威胁。
三、入侵防御系统（IPS）配置IPS是用于阻止网络攻击并保护网络资源的设备。
以下是IPS配置的要点：1. 选择适当的IPS技术：IPS技术可以分为主机型IPS和网络型IPS。
根据网络架构和需求选择适当的IPS技术。
2. 设置攻击阻断规则：根据已知的攻击模式和漏洞，配置IPS以阻止恶意流量。
同时，定期更新和评估攻击阻断规则，以应对新兴的网络威胁。
3. 进行漏洞扫描：定期进行漏洞扫描，及时发现和修补系统中的安全漏洞。
配置IPS以监测并阻止相关的攻击。
四、虚拟专用网络（VPN）配置VPN用于在不安全的公共网络上建立安全的私有网络连接。
绿盟IDS的安装和部署1. 绿盟IDS产品概述绿盟的IDS分为200系列、600系列、1200系列、1600系列，我们公司用的最多的600系列和1200系列。
其中600系列为百兆IDS，1200为千兆IDS。
这里的百兆和千兆是指业务监听端口而言，而管理口都是百兆的。
在IDS探测器背板网卡有Comm标识的为管理端口，有Monitor标识的为监听口。
无论是哪个型号的IDS，配置步骤都是一样的。
2. 绿盟IDS安装安装主要包括探测器的安装和控制台的安装。
探测器的安装主要是主要是通过串口对IDS本身进行配置。
控制台的安装主要是在一个服务器上面安装IDS的管理端程序。
2.1探测器的安装使用串口线连接探测器（硬件）的串口，用超级终端软件进入探测器（硬件）的配置管理界面，登录用户名为conadmin，密码为nsfocus。
注意端口属性设置中的每秒位数为115200。
1成功登录网络探测器之后，出现探测器管理语言选择界面选择【中文】按回车键，进入探测器管理中文菜单界面。
2.1.1 查看设置系统信息管理员可以进行以下操作：显示网络设置——查看系统网络配置的统一结果，系统提供了网络配置参数表；2◆显示证书信息——查阅冰之眼NIDS 的硬件设备证书，包括证书状态、证书类型、证书版本、授权者和签发时间等；一般情况，产品出厂时已配置了证书，无须导入◆设置系统时钟——设置系统时钟，以供通讯和日志记录时使用；◆设置系统时区——设置系统时区，方便探测器位于其他时区时的使用默认为东8 时区，不用改；◆硬件特征值——硬件特征值是每台网络探测器的唯一标识，在给其制作证书时需要获取该值；3◆产品版本信息——显示当前版本的详细信息。
2.1.2 配置探测器网络参数硬件设备的所有网络配置都在这里进行：(此处的通讯端口就是IDS管理端口)◆设置通信端口的IP 地址——通信端口的网络IP 地址，供控制台等网络通讯使用；◆设置通信端口的网络掩码——通信端口的网络掩码，供控制台等网络通讯使用；4◆设置通信端口的缺省网关——通信端口的缺省网关，供控制台等网络通讯使用；◆设置冰之眼主控制台IP 地址——指定主控制台的IP 地址，它可以对设备有一定控制权，包括远程启动/停止、升级、获得日志等控制管理权限,只有主控台的IP地址对于IDS有写权限。
信息安全管理制度网络安全设备配置规范在当今数字化时代，信息安全成为了企业和组织运营中至关重要的一环。
网络安全设备的合理配置是保障信息安全的重要手段之一。
为了确保网络系统的安全稳定运行，保护敏感信息不被泄露、篡改或破坏，制定一套完善的信息安全管理制度和网络安全设备配置规范是必不可少的。
一、网络安全设备概述网络安全设备是指用于保护网络系统免受各种威胁和攻击的硬件和软件设备。
常见的网络安全设备包括防火墙、入侵检测系统（IDS）／入侵防御系统（IPS）、防病毒软件、VPN 设备、漏洞扫描器等。
二、网络安全设备配置的基本原则1、最小权限原则只授予网络设备和用户完成其任务所需的最小权限，避免权限过大导致的安全风险。
2、深度防御原则采用多种安全设备和技术，形成多层防护，增加攻击者突破安全防线的难度。
3、实时监控原则对网络安全设备的运行状态和网络流量进行实时监控，及时发现和处理安全事件。
4、定期更新原则及时更新网络安全设备的软件、固件和特征库，以应对不断变化的安全威胁。
三、防火墙配置规范1、访问控制策略根据业务需求，制定详细的访问控制策略，明确允许和禁止的网络流量。
例如，限制外部网络对内部敏感服务器的访问，只开放必要的端口和服务。
2、网络地址转换（NAT）合理配置 NAT 功能，隐藏内部网络的真实 IP 地址，提高网络的安全性。
3、日志记录启用防火墙的日志记录功能，并定期对日志进行分析，以便及时发现潜在的安全威胁。
4、安全区域划分将网络划分为不同的安全区域，如外网、DMZ 区和内网，对不同区域之间的访问进行严格控制。
四、入侵检测/防御系统（IDS/IPS）配置规范1、检测规则更新定期更新 IDS/IPS 的检测规则，确保能够检测到最新的攻击手法和威胁。
2、实时报警配置实时报警功能，当检测到可疑的入侵行为时，及时向管理员发送报警信息。
3、联动防火墙与防火墙进行联动，当 IDS/IPS 检测到攻击时，能够自动通知防火墙进行阻断。
计算机网络技术实验指导书一、实验目的计算机网络技术实验旨在帮助学生深入理解计算机网络的基本原理、协议和技术，培养学生的实践动手能力、问题解决能力和创新思维。
通过实验，学生将能够掌握网络设备的配置与管理、网络拓扑的构建、网络服务的搭建与测试等方面的技能，为今后从事计算机网络相关工作或进一步的学习研究打下坚实的基础。
二、实验环境1、硬件环境计算机：若干台，配置不低于英特尔酷睿 i5 处理器、8GB 内存、500GB 硬盘。
网络设备：交换机、路由器等。
网线、水晶头等连接材料。
2、软件环境操作系统：Windows 10、Windows Server 等。
网络模拟软件：Packet Tracer、GNS3 等。
网络工具软件：Wireshark、Tracert 等。
三、实验要求1、实验前，学生应认真预习实验内容，熟悉相关的理论知识和实验步骤。
2、实验过程中，学生应严格遵守实验室的规章制度，爱护实验设备，按照实验指导书的要求进行操作。
3、学生应独立完成实验任务，遇到问题应积极思考，尝试自行解决，若无法解决，可向教师请教。
4、实验结束后，学生应整理好实验设备，关闭电源，清理实验台，并认真撰写实验报告。
四、实验内容实验一：网络拓扑结构的构建1、了解常见的网络拓扑结构，如总线型、星型、环型、树型和网状型。
2、使用网络模拟软件（如 Packet Tracer）构建一个简单的星型网络拓扑，包括计算机、交换机等设备。
3、为网络中的设备配置 IP 地址、子网掩码等网络参数，使其能够相互通信。
实验二：交换机的基本配置与管理1、认识交换机的外观、端口类型和指示灯含义。
2、通过控制台端口（Console 口）连接交换机，使用命令行界面（CLI）对交换机进行基本配置，如设置交换机名称、管理 IP 地址、VLAN 等。
3、学习使用 Telnet 或 SSH 方式远程管理交换机。
实验三：路由器的基本配置与管理1、了解路由器的工作原理和功能。
第1章起始配置啟動Cisco IDS/IPS 42xx 系列請執行以下這些步驟後，才能配置IDS/IPS：步驟 1 確認新的 Cisco IDS/IPS 4200 系列交換器有下列的實體連接：• 主控台連接埠實體連接到電腦超級終端機。
• 管理 10/100 乙太網路連接埠 (mgmt0) 連接到外部集線器或交換器。
Initializing the SensorTo initialize the sensor, follow these Steps:步驟 1 Log in to the sensor using an account with administrator privileges:• Log in to the appliance by using a serial connection.Note The default username and password are both cisco.步驟 2 The first time you log in to the sensor you are prompted to change the default password.Passwords must be at least eight characters long and be strong, that is, not be a dictionary word.Caution If you forget your password, you may have to reimage your sensor unless there is another user withAdministrator privileges (refer to “Upgrading, Downgrading, and Installing System Images,” Theother Administrator can log in and assign a new password to the user who forgot the password. Or, ifyou have created the service account for support purposes, you can have TAC create a password. Referto “Creating the Service Account,”After you change the password, the sensor# prompt appears.步驟 3 Type the setup command.The System Configuration Dialog is displayed.Note The System Configuration Dialog is an interactive dialog. The default settings are displayed.--- System Configuration Dialog ---At any point you may enter a question mark '?' for help.User ctrl-c to abort configuration dialog at any prompt.Default settings are in square brackets '[]'.Current Configuration:service hostnetwork-settingshost-ip 10.1.9.201/24,10.1.9.1host-name sensortelnet-option disabledftp-timeout 300login-banner-textexittime-zone-settingsoffset 0standard-time-zone-name UTCexitsummertime-option disabledntp-option disabledexitCisco IDS/IPS 4200 系列快速配置手冊第 1 章 初始配置初始設定例行程序Cisco IDS/IPS 42xx 系列快速配置手冊 service web-server port 443 exitCurrent time: Wed May 5 10:25:35 2004 步驟 4 Press the spacebar to get to the following question: Continue with configuration dialog?[yes]:Press the spacebar to show one page at a time. Press Enter to show one line at a time. 步驟 5 Type yes to continue. 步驟 6 Specify the hostname.The hostname is a case-sensitive character string up to 64 characters. Numbers, “_” and “-” are valid, but spaces are not acceptable. The default is sensor. 步驟 7 Specify the IP interface.The IP interface is in the form of IP Address/Netmask,Gateway: X.X.X.X/nn,Y.Y.Y.Y, where X.X.X.X specifies the sensor IP address as a 32-bit address written as 4 octets separated by periods where X = 0-255, nn specifies the number of bits in the netmask, and Y.Y.Y.Y specifies the default gateway as a 32-bit address written as 4 octets separated by periods where Y = 0-255. 步驟 8 Specify the Telnet server status.You can disable or enable Telnet services. The default is disabled. 步驟 9 Specify the web server port.The web server port is the TCP port used by the web server (1 to 65535). The default is 443.Note If you change the web server port, you must specify the port in the URL address of your browser when you connect to the IDM in the format https://sensor_ip_ address :port (for example, https://10.1.9.201:1040).Note The web server is configured to use TLS/SSL encryption by default. Setting the port to 80 does not disable the encryption. 步驟 10 Type yes to modify the network access list.a. If you want to delete an entry, type the number of the entry and press Enter , or press Enter to get to the Permit line.b. Type the IP address and netmask of the network you want to add to the access list.The IP network interface is in the form of IP Address/Netmask: X.X.X.X/nn, where X.X.X.X specifies the network IP address as a 32-bit address written as 4 octets separated by periods where X = 0-255, nn specifies the number of bits in the netmask for that network.For example, 10.0.0.0/8 permits all IP addresses on the 10.0.0.0 network (10.0.0.0-10.255.255.255) and 10.1.1.0/24 permits only the IP addresses on the 10.1.1.0 subnet (10.1.1.0-10.1.1.255).If you want to permit access to a single IP address than the entire network, use a 32-bit netmask. For example, 10.1.1.1/32 permits just the 10.1.1.1 address.c. Repeat 步驟 b until you have added all networks that you want to add to the access list.d. Press Enter at a blank permit line to proceed to the next 步驟. 步驟 11 Type yes to modify the system clock settings. a. Type yes if you want to use NTP.You will need the NTP server IP address, the NTP key ID, and the NTP key value. If you do not have those at this time, you can configure NTP later. Refer to “Configuring the Sensor to Use an NTP Server as its Time Source,”b. Type yes to modify summertime settings.Note Summertime is also known as DST. If your location does not use Summertime, go to 步驟 n. c. Choose recurring, date, or disable to specify how you want to configure summertime settings. The default is recurring.d. If you chose recurring, specify the month you want to start summertime settings.Valid entries are january, february, march, april, may, june, july, august, september, october, november, and december. The default is april.e. Specify the week you want to start summertime settings. Valid entries are first, second, third, fourth, fifth, and last. The default is first.f. Specify the day you want to start summertime settings.初始配置初始設定例行程序Cisco IDS/IPS 42xx 系列快速配置手冊Valid entries are sunday, monday, tuesday, wednesday, thursday, friday, and saturday. The default is sunday.g. Specify the time you want to start summertime settings. The default is 02:00:00.Note The default recurring summertime parameters are correct for time zones in the United States. The default values specify a start time of 2 a.m. on the first Sunday in April, and a stop time of 2 a.m. on the fourth Sunday in October. The default summertime offset is 60 minutes. h. Specify the month you want summertime settings to end.Valid entries are january, february, march, april, may, june, july, august, september, october, november, and december. The default is october.i. Specify the week you want the summertime settings to end. Valid entries are first, second, third, fourth, fifth, and last. The default is last.j. Specify the day you want the summertime settings to end.Valid entries are sunday, monday, tuesday, wednesday, thursday, friday, and saturday. The default is sunday.k. Specify the time you want summertime settings to end. l. Specify the DST zone.The zone name is a character string up to 24 characters long in the pattern [A-Za-z0-9()+:,_/-]+$. m. Specify the summertime offset.Specify the summertime offset from UTC in minutes (negative numbers represent time zones west of the Prime Meridian). The default is 0.n. Type yes to modify the system time zone. o. Specify the standard time zone name.The zone name is a character string up to 24 characters long. p. Specify the standard time offset. The default is 0.Specify the standard time zone offset from UTC in minutes (negative numbers represent time zones west of the Prime Meridian). 步驟 12 Type yes to modify the virtual sensor configuration (vs0). The current interface configuration appears: Current interface configurationCommand control: GigabitEthernet0/1 Unused:GigabitEthernet2/1 GigabitEthernet2/0 Promiscuous:GigabitEthernet0/0 Inline: NoneInline VLAN Pair: None 步驟 13 Type yes to add a promiscuous or monitoring interface. 步驟 14 Type the interface you want to add, for example, GigabitEthernet0/1. 步驟 15 Type yes to add inline interface pairs (appears only if your platform supports inline interface pairs). a. Type the inline interface pair name.b. Type the inline interface pair description.The default is Created via setup by user <yourusername>. c. Type the name of the first interface in the inline pair, interface1. d. Type the name of the second interface in the inline pair, interface2.e. Repeat 步驟s a through d to add another inline interface pair, or press Enter for the next option. 步驟 16 Type yes to add inline VLAN pairs (appears only if your platform supports inline VLAN pairs). A list of interfaces available for inline VLAN pairs appears: Available Interfaces: [1] GigabitEthernet0/0第 1 章 初始配置初始設定例行程序Cisco IDS/IPS 42xx 系列快速配置手冊 [2] GigabitEthernet2/0 [3] GigabitEthernet2/1 步驟 17 Type the number of the interface you want to subdivide into inline VLAN pairs. The current inline VLAN pair configuration for that interface appears: Inline Vlan Pairs for GigabitEthernet0/0 Nonea. Type the subinterface number to add.b. Type the inline VLAN pair description.c. Type the first VLAN number (vlan1).d. Type the second VLAN number (vlan2).e. Repeat 步驟s a through d to add another inline VLAN pair on this interface or press Enter for the next option. 步驟 18 Type yes to subdivide another interface. Type no or press Enter to complete the addition of the inline VLAN pairs.Your configuration appears with the following options:[0] Go to the command prompt without saving this config. [1] Return back to the setup without saving this config. [2] Save this configuration and exit setup. 步驟 19 Type 2 to save the configuration. Enter your selection[2]: 2 Configuration Saved. 步驟 20 Type yes to modify the system date and time.Note This option is not available on modules or when NTP has been configured. The modules get their time from the router or switch in which they are installed, or from the configured NTP server. a. Type the local date (yyyy-mm-dd). b. Type the local time (hh:mm:ss). 步驟 21 Reboot the sensor: sensor# resetWarning: Executing this command will stop all applications and reboot the node. Continue with reset? []: 步驟 22 Type yes to continue the reboot. 步驟 23 Display the self-signed X.509 certificate (needed by TLS): sensor# show tls fingerprintMD5: C4:BC:F2:92:C2:E2:4D:EB:92:0F:E4:86:53:6A:C6:01SHA1: 64:9B:AC:DE:21:62:0C:D3:57:2E:9B:E5:3D:04:8F:A7:FD:CD:6F:27 步驟 24 Write down the certificate fingerprints.You will need these to check the authenticity of the certificate when connecting to this sensor with a web browser. 步驟 25 Apply the most recent service pack and signature update. You are now ready to configure your sensor for intrusion prevention.步驟 26 Use Browser to Open https:// your IPS management IP 來啟動IDM 的GUI 管理程式 請注意：您的電腦需要安裝Java 1.4.2版以上。
IDS实验报告马陈炤04381002 于亮04381004刘苏04381017 刘屾鸣04381018 刘东亮04381019一.实验要求入侵检测实验二．实验目的1）理解入侵检测的作用和检测原理。
2）理解误用检测和异常检测的区别。
3）掌握Snort的安装、配置和使用等实用的技术。
三．实验环境两台安装XP的PC机，双号机安装Windows平台下的Snort 2.6.1.5软件，单号机安装Windows平台下的Nmap软件，两台机同时接入校园网，通过校园网相连接。
实验环境的网络拓扑四．实验步骤安装Snort由于需要对网络底层进行操作，安装Snort需要预先安装WinpCap。
WinPcap的安装过程就不在这里赘述。
下面主要介绍Snort的安装。
Snort的安装实际上只是一个简单解压的过程。
步骤如下：1）从网站下载Windows平台下的Snort安装程序，双击安装程序进行安装，安装目录为D:\Snort。
2）进行到选择日志文件存放方式时，为简单起见，选择不需要数据库支持的方式。
如下图3）单击“开始”按钮，选择“运行”，输入cmd，在命令行方式下输入下面的命令,并且Snort已经安装成功，如下图所示：Snort成功安装4）监测运作网卡2：5）监测抓包能力，172.18.32.19 ping 172.18.32.47，icmp包：6）设置snort.config，设定监测的内网内容：7）设定规则的存放路径等：8）察看classification.config:9）察看reference.config:10）在snort.conf里面修改classification.config和reference.config的路径Snort的使用1）Snort嗅探器模式利用嗅探器，监测各层的数据包情况：执行snort –v –d –i2: （包头和包内数据）2）数据包记录器模式执行命令：snort –dve –i2 -l d:\Snort\log -h 172.18.32.0/22 –K ascii 在d:\snort\log下面记录下来：其中任意一个log的情况：3）IDS模式设置好snort.conf，使能够启动IDS模式：设置好ICMP.RULES种的规则（rules）：利用以下的命令，打开IDS模式：IDS模式启动了：在另一台机ping –l 45678 172.18.32.47；在d:\snort\log的alert.ids中：（发现了过长的ICMP包，产生alert.ids文件记录）Snort 最重要的用途还是作为基于误用检测技术的NIDS，输入下面的命令启动IDS 模式：snort -i3 -dev -l ../log -h 172.18.32.47/22 -K ascii -d../etc/snort.conf相比数据包记录器模式中使用的命令，只增加了一个选项-c ，这个选项将告诉 Snort 使用 Snort.conf 中的规则集文件。
网络防护中的入侵检测系统配置方法随着互联网的快速发展，网络安全问题愈发严峻。
其中，入侵是最为严重和常见的问题之一。
为了提高网络的安全性，许多组织和企业都会配置入侵检测系统（Intrusion Detection System，简称IDS）。
本文将介绍网络防护中的入侵检测系统配置方法，并探讨其有效性。
一、入侵检测系统简介入侵检测系统是一种用于监控网络流量和检测潜在入侵或攻击行为的安全工具。
它可以通过分析流量和行为模式来检测异常活动，并及时发出警报。
二、入侵检测系统的配置方法1. 硬件配置入侵检测系统通常由硬件和软件两部分组成。
在硬件配置方面，需要选择性能强大的服务器，并确保足够的存储空间和带宽，以满足系统的需求。
2. 网络布局在选择网络布局时，应考虑网络的复杂性和规模。
对于大型企业或组织来说，可以采用分层网络结构，将入侵检测系统放置在核心网络或边缘路由器上，以便监控所有流量。
3. 日志记录和监控入侵检测系统需要能够记录和监控网络流量，以便进行分析和检测。
因此，应确保配置了适当的日志记录工具，并实时监控系统的运行状态。
4. 规则和模式配置入侵检测系统通过预定义的规则和模式来检测潜在的入侵行为。
在配置系统时，应根据网络的特点和需求，制定一套适合的规则和模式，并定期更新以保持其有效性。
5. 警报和响应当入侵检测系统检测到异常活动时，应能够及时发出警报并采取相应的响应措施。
因此，在配置系统时，需要设置警报机制和响应策略，并确保相关人员能够及时收到警报信息。
三、入侵检测系统的有效性入侵检测系统在网络防护中起着重要作用，可以帮助组织和企业及时发现入侵行为，并采取措施进行阻止和应对。
然而，配置入侵检测系统仅仅是一项预防措施，其有效性还取决于其他因素，如系统的更新和维护、员工的安全意识等。
在配置入侵检测系统时，需要确保系统的准确性和可靠性，避免误报和漏报的问题。
同时，也需要采取其他安全措施，如防火墙、反病毒软件等，来形成一套完整的网络安全体系。
实验十三 IDS设备部署与配置
【实验名称】
IDS设备部署与配置
【计划学时】
2学时
【实验目的】
1.熟悉IDS设备的部署方式
2.掌握设备的连接和简单设置
【基本原理】
一、IDS的4种部署方式
1镜像口监听
镜像口监听部署模式是最简单方便的一种部署方式，不会影响原有网络拓扑结构。
在这种部署方式中，把NIDS设备连接到交换机镜像口网络后，只需对入侵检测规则进行勾选启动，无需对自带的防火墙进行设置，无需另外安装专门的服务器和客户端管理软件，用户使用普通的Web浏览器即可实现对NIDS的管理（包括规则配置、日志查询、统计分析等），大大降低了部署成本和安装使用难度，增加了部署灵活性。
部署方式如下图所示：
2NA T模式（可充当防火墙）
NAT模式是将蓝盾NIDS设备作为防护型网关部署在网络出口位置，适合于没有防火墙等防护设备的网络。
在这种部署方式中，蓝盾NIDS设备可同时作为防火墙设备、防DDoS 攻击网关使用，可有效利用内置的防火墙进行有效入侵防御联动。
NAT部署采取串联方式部署在主交换机前面，需要对网络拓扑结构进行改造，需要对蓝盾NIDS设备的自带防火墙进行规则设置及内外线连接设置，以达到多重防御的效果。
用户通过Web浏览器可实现对NIDS 的全面管理（包括规则配置、日志查询、统计分析等）。
部署方式如下图所示：
3透明桥模式
透明桥模式是将蓝盾NIDS设备作为透明设备串接在网络中。
这样既可以有效利用到蓝盾NIDS的各项功能，也可以不必改变原有网络拓扑结构。
在这种部署方式中，蓝盾NIDS 设备可同时作为防火墙设备、防DDoS攻击网关使用，可以利用内置的防火墙进行有效入侵防御联动。
用户通过Web浏览器可实现对NIDS的全面管理（包括规则配置、日志查询、统计分析等）。
通常可以透明方式部署在DMZ区域，可将NIDS作为第二道防护网保护服务组群。
部署方式如下图所示：
4混合模式
混合模式是应用以上三种模式的任意组合将蓝盾NIDS设备部署在较复杂网络。
例如，可以通过一个网口监听某个工作区域子网，通过一对网口透明部署在DMZ区域，一对网口作为NAT防火墙保护另一个重点工作区域，同时对多个网络区域进行保护。
用户通过Web浏览器可实现对NIDS的全面管理（包括规则配置、日志查询、统计分析等）。
部署方式如下图所示：
A
B
二 连接及设置 1 连接设备
下图以镜像口监听模式为例，显示如何连接蓝盾NIDS 设备。
2 网口出厂配置
蓝盾NIDS 设备提供的以太网接口主要有两种类型：管理口和业务口。
管理口的以太网接口有IP 地址（出厂设置为192.168.0.145），供设备管理流量和其它告警上报流量通过。
连接到设备管理口的所有管理终端计算机组成的网络称为“管理网络”。
用户通过管理网络
内的终端计算机可以访问设备管理口，对系统进行管理和配置。
业务口可配置为镜像口监听模式、透明桥模式、网关NAT模式或者混杂模式。
业务口主要用于捕获网络协议报文进行检测分析，是入侵检测系统“业务”的来源。
3各网口的出厂设置如下：
除了默认管理LAN1网口外，其余网口的设置均可在界面进行重新配置。
例如，用户可以将LAN3、LAN4网口配置为透明桥。
4 登录管理界面
从管理PC登录蓝盾NIDS设备Web管理界面前，需要确认管理PC的IP地址与设备缺省管理口IP地址设置在同一网段：192.168.0.0/24。
透过网线或独立交换机（非业务交换机）将管理PC连接到LAN1口，打开IE浏览器，在IE地址栏输入https://192.168.0.145 ,便可登录到蓝盾NIDS设备的web管理界面。
初始用户名为“admin”，密码为“888888”。
登录后出现主界面如图所示：
蓝盾NIDS设备前面板上标志为LAN1的以太网口为系统缺省管理口，缺省IP地址192.168.0.145。
如此默认IP地址与用户网络IP地址无冲突，建议用户使用此默认IP地址。
如果确实有需要更改管理口IP地址，则在下次启动时需要使用更改后的IP地址登录。
基于系统安全考虑，管理系统同一时间内只允许1个同名的用户登录。
用户可设置多个用户帐号，为不同用户分配不同操作权限进行管理
5、网络配置前的准备
出厂配置已经有定义好的管理口、监听口。
建议尽量使用出厂配置模式。
如果出厂
配置不满足实际网络需求，才进行合理调整。
网络配置前，请先确定网络的拓扑结构和连接方式(旁路、透明、NAT、混合)，并
定义好使用的网口，以免配置过程中造成混乱。
如需要添加桥或NA T的外线接口，首先需要删除默认选项的监听网口。
例如，删
除LAN3、LAN4镜像口，释放网口LAN3、LAN4。
否则在透明桥接口或者NAT
网口选项中没有网口可供使用。
【实验拓扑】
以镜像口监听的部署方式来进行实验配置。
LAN2口
192.168.228.127/24网关：192.168.228.254
蓝盾NIDS
【实验步骤】
一、IDS 的初始配置。
1、 “网络设置”→“网口配置”→“网口”，将E2的LAN2的IP 配置为192.168.228.127，
点击保存，然后重启网络。
（将LAN2口做为管理口，用于管理设备）
2、“系统”→“系统工具”→“IP工具”，直接ping 网关192.168.228.254检验与内网的连通性。
3、“系统”→“管理设置”→“管理界面访问设定”，网口选择LAN2，其余选项缺省，点击添加。
参数定义：
网口：wan设定、admin等端口
源IP或网络：某个固定IP地址或者网段是否能访问这些协议和网段。
备注：描述该规则用处。
注意：此项规则用于是否允许某个IP或者网段登录到管理界面
4、“现有规则”中新增一条通过LAN2访问IDS界面的策略。
5、“系统”→“管理设置”→“密码”，按下图配置管理员用户，不启用USBKEY。
下面就出现了一个超级管理员用户
6、可以增加低权限的用户，即是只允许浏览IDS，不允许进行操作，如下图所示：
下面就出现了一个新用户king，只有“查看日志”“实时报表”的权限
7、“系统”→“管理设置”→“用户安全设置”，以下配置是一种相对安全的配置方法。
参数定义：
登陆超时时间设置(秒)：就是超过这个时间将会锁定
登陆失败限制次数：就是登陆超过限制次数，将会将用户锁定
用户锁定时间(分)：将用户锁定多长时间，等过了这个时间后才可以重新登陆
密码最小长度：当密码长度不够时将不能建此用户
开启密码强度限制(强制为数字与字符组合)：输入密码时一定要提高密码的强度要数字+字符
以下为验证的结果：
当密码长度不够时将出现提示，不能建立新用户。
输入密码时一定要提高密码的强度，需要数字+字符。
登陆超过限制次数，系统会将用户锁定，1分钟后用户才能重新登陆。
8、“网络设置”→“镜像口设置”→“镜像设定”将LAN4口配置为镜像口，用于接收经过交换机的信息
下面“现有规则”中出现了一条镜像规则
注意：以下实验镜像模式下均采用此配置
【实验总结】
本实验介绍了IDS设备的部署和配置，通过学习在镜像口监听模式下的IDS部署方式，了解IDS初始化配置及安全管理相关知识。
