实验十三 IDS设备部署与配置

IDS测试工具与使用方法介绍IDS测试工具与使用方法介绍 (1)Nmap -- 扫描工具 (3)Nmap简介 (3)功能选项： (3)Nmap使用例子： (3)Nikto -- 变形工具(一) (4)Nikto简介 (4)Nikto使用例子： (4)Fragrouter -- 会话分片工具 (5)Fragrouter简介 (5)环境配置： (6)测试步骤： (7)Blade － Evasion gateway -- 变形工具(二) (8)Blade-Evasion 简介 (8)Blade Evasion Gateway 配置 (9)测试步骤： (10)Snot--NIDS欺骗 (11)Snot 简介 (11)Snot使用例子： (11)Trojans (11)Nmap -- 扫描工具Nmap简介【名称】Nmap-网络探测和安全扫描工具【语法】nmap [Scan Type(s)] [Options] <host or net #1 ... [#N]>功能选项：1.扫描类型●-sT TCP connect()扫描，这是最基本的TCP扫描方式。

●–sS TCP同步扫描(TCP SYN)，因为不必全部打开一个TCP连接，所以这项技术通常称为半开扫描(half-open)。

●-sF –sX –sN 秘密FIN数据包扫描，圣诞树(Xmas Tree)，空(Null)扫描模式。

●–sP ping扫描。

●–sU UDP扫描。

●-sR RPC扫描。

●-sV Version scan probes open ports determining service & app names/versions2.通用选项●–v 详细模式。

强烈推荐使用这个选项，它会给出扫描过程中的详细信息。

●-O这个选项激活对TCP/IP指纹特征(fingerprinting)的扫描，获得远程主机的标志。

换句话说，nmap使用一些技术检测目标主机操作系统网络协议栈的特征。

网络安全防护设备及配置方法随着互联网的快速发展和普及，网络安全问题也日益凸显。

网络攻击、黑客入侵等威胁不断增加，为了保护网络系统的安全，需要采取一系列网络安全防护措施，并配置相应的网络安全设备。

本文将介绍常见的网络安全防护设备以及配置方法。

一、防火墙（Firewall）防火墙是网络安全的第一道防线，它可以监控和控制进出网络的流量。

防火墙根据预先设定的规则，筛选和阻止可能的恶意流量，保护内部网络免受攻击。

防火墙可分为硬件防火墙和软件防火墙两种类型。

1. 硬件防火墙的配置方法：硬件防火墙通常是一种独立设备，可连接到网络系统的入口处，起到阻隔外网和内网之间流量的作用。

其配置方法如下：（1）规划网络拓扑结构，确定防火墙的位置和连接方式；（2）设定防火墙的规则集，包括允许和禁止的访问、端口、协议等；（3）配置安全策略，根据需求设置包过滤、状态检测、NAT等功能；（4）定期更新和升级防火墙软件，以应对新的网络威胁。

2. 软件防火墙的配置方法：软件防火墙一般安装在服务器或个人计算机上，用于保护特定设备或主机的安全。

其配置方法如下：（1）选择符合需要的软件防火墙，如Windows防火墙、Norton防火墙等；（2）根据软件防火墙提供的界面，设定相应的防护规则；（3）允许必要的网络流量通过，拦截可疑的入侵尝试；（4）定期更新和升级防火墙软件，提高防护能力。

二、入侵检测系统（Intrusion Detection System，IDS）入侵检测系统是一种监控和分析网络流量以及检测网络攻击的设备。

IDS可以实时识别并报告潜在的入侵事件，并采取相应的措施进行防范。

IDS主要分为网络入侵检测系统（NIDS）和主机入侵检测系统（HIDS）两种类型。

1. 网络入侵检测系统的配置方法：网络入侵检测系统通过监听和分析网络流量，识别可能的安全威胁。

其配置方法如下：（1）确定部署位置，通常在网关或关键设备附近；（2）设定监测范围和监测规则，识别异常的网络流量；（3）配置警报系统，及时通知管理员发生的入侵事件；（4）定期更新入侵检测系统的规则库，以提高检测的准确性。

⽹络⼊侵检测系统（IDS）的安装部署安装snort⼊侵检测系统1、登录ids系统登录实验机后，打开桌⾯上的putty程序，输⼊10.1.1.106，再点击Open.。

输⼊⽤户名：root，密码：bjhit2、安装LAMP环境（省略）在putty⾥⾯输⼊如下命令进⾏安装apt-get install mysql-server libapache2-mod-php5 php5-mysql libphp-adodb注意：因为下载时间太长，会耽误过多的时间，所以提前已经安装好了。

这⾥给mysql的root⽤户，设置的密码是123456。

3、安装snort软件包(已安装)#apt-get install snort-mysql在安装过程中会提⽰下图所⽰信息。

（这⾥是填写监听的⽹段）4、创建snortdb数据库登录mysql mysql -u root -p123456进⼊数据库后，创建⼀个数据库命名为snortdb。

create database snortdb;grant create, insert, select, update on snortdb.* to snort@localhost;set password for snort@localhost=password('snortpassword');创建⼀个数据库⽤户，⽤户名为snort，密码为snortpassword。

将snort-mysql⾃带的软件包中附带的sql⽂件，导⼊到数据库中。

cd /usr/share/doc/snort-mysql/zcat create_mysql.gz | mysql snortdb -u snort -psnortpasswordrm /etc/snort/db-pending-config5、配置snort配置好了数据库后，需要配置Snort配置⽂件（/etc/snort/snort.conf），告诉snort以后⽇志写⼊到snortdb数据库中。

1.1 入侵检测部署方案1.1.1 需求分析利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找防火墙背后可能敞开的后门，或者入侵者也可能就在防火墙内。

通过部署安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、dos/ddos等，能防御针对操作系统漏洞的攻击，能够实现应用层的安全防护，保护核心信息资产的免受攻击危害。

针对网络的具体情况和行业特点，我们得到的入侵检测的需求包括以下几个方面：? 入侵检测要求能够对攻击行为进行检测，是对入侵检测设备的核心需求，要求可以检测的种类包括：基于特征的检测、异常行为检测（包括针对各种服务器的攻击等）、可移动存储设备检测等等。

? 自身安全性要求作为网络安全设备，入侵检测系统必须具有很高的安全性，配置文件需要加密保存，管理台和探测器之间的通讯必须采用加密的方式，探测器要可以去除协议栈，并且能够抵抗各种攻击。

? 日志审计要求系统能对入侵警报信息分类过滤、进行统计或生成报表。

对客户端、服务器端的不同地址和不同服务协议的流量分析。

可以选择不同的时间间隔生成报表，反映用户在一定时期内受到的攻击类型、严重程度、发生频率、攻击来源等信息，使管理员随时对网络安全状况有正确的了解。

可以根据管理员的选择，定制不同形式的报表。

? 实时响应要求当入侵检测报警系统发现网络入侵和内部的违规操作时，将针对预先设置的规则，对事件进行实时应急响应。

根据不同级别的入侵行为能做出不同方式告警，用以提醒管理人员及时发现问题，并采取有效措施，控制事态发展。

报警信息要分为不同的级别：对有入侵动机的行为向用户显示提示信息、对严重的违规现象实行警告通知、对极其危险的攻击可通过网管或者互动防火墙进行及时阻断、以及向安全管理中心报告。

另外，必须在基于规则和相应的报警条件下，对不恰当的网络流量进行拦截。

? 联动要求入侵检测系统必须能够与防火墙实现安全联动，当入侵检测系统发现攻击行为时，能够及时通知防火墙，防火墙根据入侵检测发送来的消息，动态生成安全规则，将可疑主机阻挡在网络之外，实现动态的防护体系！进一步提升网络的安全性。

网络安全防护设备配置网络安全在当今数字化时代至关重要。

随着互联网的普及和云计算的快速发展，网络安全威胁也日益增加。

为了保护个人和机构的敏感信息，配置适当的网络安全防护设备至关重要。

本文将介绍网络安全防护设备的配置要点和步骤。

一、防火墙配置防火墙是网络安全的第一道防线，用于监控和控制网络流量。

以下是防火墙的配置要点：1. 确定安全策略：制定适当的安全策略，包括允许或拒绝特定IP 地址、端口或协议的流量。

2. 设置访问控制列表（ACL）：ACL用于过滤流量并决定是否允许特定的数据包通过防火墙。

配置ACL时，必须考虑网络服务的需要和安全风险。

3. 启用入侵检测和预防系统（IDS/IPS）：IDS/IPS可以检测和阻止潜在的网络攻击。

配置IDS/IPS以及相应的警报和阻止机制是至关重要的。

二、入侵检测系统（IDS）配置IDS是用于检测网络中异常或可疑活动的设备。

以下是IDS配置的关键步骤：1. 选择合适的IDS技术：常见的IDS技术包括基于特征的IDS和基于行为的IDS。

根据实际需求和资源限制选择适当的技术。

2. 配置网络监视器：网络监视器用于捕获和分析网络流量。

选择合适的网络监视器，并确保其能够有效地记录和报告异常活动。

3. 设置警报机制：当IDS检测到异常活动时，应及时生成警报并发送给网络管理员。

配置警报机制以便及时响应威胁。

三、入侵防御系统（IPS）配置IPS是用于阻止网络攻击并保护网络资源的设备。

以下是IPS配置的要点：1. 选择适当的IPS技术：IPS技术可以分为主机型IPS和网络型IPS。

根据网络架构和需求选择适当的IPS技术。

2. 设置攻击阻断规则：根据已知的攻击模式和漏洞，配置IPS以阻止恶意流量。

同时，定期更新和评估攻击阻断规则，以应对新兴的网络威胁。

3. 进行漏洞扫描：定期进行漏洞扫描，及时发现和修补系统中的安全漏洞。

配置IPS以监测并阻止相关的攻击。

四、虚拟专用网络（VPN）配置VPN用于在不安全的公共网络上建立安全的私有网络连接。

绿盟IDS的安装和部署1. 绿盟IDS产品概述绿盟的IDS分为200系列、600系列、1200系列、1600系列，我们公司用的最多的600系列和1200系列。

其中600系列为百兆IDS，1200为千兆IDS。

这里的百兆和千兆是指业务监听端口而言，而管理口都是百兆的。

在IDS探测器背板网卡有Comm标识的为管理端口，有Monitor标识的为监听口。

无论是哪个型号的IDS，配置步骤都是一样的。

2. 绿盟IDS安装安装主要包括探测器的安装和控制台的安装。

探测器的安装主要是主要是通过串口对IDS本身进行配置。

控制台的安装主要是在一个服务器上面安装IDS的管理端程序。

2.1探测器的安装使用串口线连接探测器（硬件）的串口，用超级终端软件进入探测器（硬件）的配置管理界面，登录用户名为conadmin，密码为nsfocus。

注意端口属性设置中的每秒位数为115200。

1成功登录网络探测器之后，出现探测器管理语言选择界面选择【中文】按回车键，进入探测器管理中文菜单界面。

2.1.1 查看设置系统信息管理员可以进行以下操作：显示网络设置——查看系统网络配置的统一结果，系统提供了网络配置参数表；2◆显示证书信息——查阅冰之眼NIDS 的硬件设备证书，包括证书状态、证书类型、证书版本、授权者和签发时间等；一般情况，产品出厂时已配置了证书，无须导入◆设置系统时钟——设置系统时钟，以供通讯和日志记录时使用；◆设置系统时区——设置系统时区，方便探测器位于其他时区时的使用默认为东8 时区，不用改；◆硬件特征值——硬件特征值是每台网络探测器的唯一标识，在给其制作证书时需要获取该值；3◆产品版本信息——显示当前版本的详细信息。

2.1.2 配置探测器网络参数硬件设备的所有网络配置都在这里进行：(此处的通讯端口就是IDS管理端口)◆设置通信端口的IP 地址——通信端口的网络IP 地址，供控制台等网络通讯使用；◆设置通信端口的网络掩码——通信端口的网络掩码，供控制台等网络通讯使用；4◆设置通信端口的缺省网关——通信端口的缺省网关，供控制台等网络通讯使用；◆设置冰之眼主控制台IP 地址——指定主控制台的IP 地址，它可以对设备有一定控制权，包括远程启动/停止、升级、获得日志等控制管理权限,只有主控台的IP地址对于IDS有写权限。

信息安全管理制度网络安全设备配置规范在当今数字化时代，信息安全成为了企业和组织运营中至关重要的一环。

网络安全设备的合理配置是保障信息安全的重要手段之一。

为了确保网络系统的安全稳定运行，保护敏感信息不被泄露、篡改或破坏，制定一套完善的信息安全管理制度和网络安全设备配置规范是必不可少的。

一、网络安全设备概述网络安全设备是指用于保护网络系统免受各种威胁和攻击的硬件和软件设备。

常见的网络安全设备包括防火墙、入侵检测系统（IDS）／入侵防御系统（IPS）、防病毒软件、VPN 设备、漏洞扫描器等。

二、网络安全设备配置的基本原则1、最小权限原则只授予网络设备和用户完成其任务所需的最小权限，避免权限过大导致的安全风险。

2、深度防御原则采用多种安全设备和技术，形成多层防护，增加攻击者突破安全防线的难度。

3、实时监控原则对网络安全设备的运行状态和网络流量进行实时监控，及时发现和处理安全事件。

4、定期更新原则及时更新网络安全设备的软件、固件和特征库，以应对不断变化的安全威胁。

三、防火墙配置规范1、访问控制策略根据业务需求，制定详细的访问控制策略，明确允许和禁止的网络流量。

例如，限制外部网络对内部敏感服务器的访问，只开放必要的端口和服务。

2、网络地址转换（NAT）合理配置 NAT 功能，隐藏内部网络的真实 IP 地址，提高网络的安全性。

3、日志记录启用防火墙的日志记录功能，并定期对日志进行分析，以便及时发现潜在的安全威胁。

4、安全区域划分将网络划分为不同的安全区域，如外网、DMZ 区和内网，对不同区域之间的访问进行严格控制。

四、入侵检测/防御系统（IDS/IPS）配置规范1、检测规则更新定期更新 IDS/IPS 的检测规则，确保能够检测到最新的攻击手法和威胁。

2、实时报警配置实时报警功能，当检测到可疑的入侵行为时，及时向管理员发送报警信息。

3、联动防火墙与防火墙进行联动，当 IDS/IPS 检测到攻击时，能够自动通知防火墙进行阻断。