啟明星辰入侵檢測設(shè)備配置文檔

1、啟明星辰入侵檢測設(shè)備配置說明上一出曲"下一爭rm ；盼 I天闐 NT600-TC-BRP第 1章 設(shè)備概述與工作流程介紹設(shè)備概述入侵檢測設(shè)備是一個典型的 " 窺探設(shè)備 " 。它不跨接多個物理網(wǎng)段（通常只有一個監(jiān) 聽端口），無須轉(zhuǎn)發(fā)任何流量，而只需要在網(wǎng)絡(luò)上被動的、無聲息的收集它所關(guān)心的報文 即可。對收集來的報文，入侵檢測設(shè)備提取相應(yīng)的流量統(tǒng)計(jì)特征值，并利用內(nèi)置的入侵 知識庫，與這些流量特征進(jìn)行智能分析比較匹配。根據(jù)預(yù)設(shè)的閥值，匹配耦合度較高的 報文流量將被認(rèn)為是進(jìn)攻，入侵檢測系統(tǒng)將根據(jù)相應(yīng)的配置進(jìn)行報警或進(jìn)行有限度的反 擊。不同于防火墻，IDS入侵檢測設(shè)備是一個監(jiān)

2、聽設(shè)備， 沒有跨接在任何鏈路上，無須網(wǎng) 絡(luò)流量流經(jīng)它便可以工作。因此，對IDS的部署，唯一的要求是：IDS應(yīng)當(dāng)掛接在所有所 關(guān)注流量都必須流經(jīng)的鏈路上。典型拓?fù)洌篒DS 工作流程介紹入侵檢測系統(tǒng)的工作流程大致分為以下幾個步驟：1. 信息收集 入侵檢測的第一步是信息收集，內(nèi)容包括網(wǎng)絡(luò)流量的內(nèi)容、用戶連接活 動的狀態(tài)和行為。2. 信號分析 對上述收集到的信息，一般通過三種技術(shù)手段進(jìn)行分析：模式匹配，統(tǒng) 計(jì)分析和完整性分析。其中前兩種方法用于實(shí)時的入侵檢測，而完整性分析則用于事后 分析。具體的技術(shù)形式如下所述：1）. 模式匹配，模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù) 庫進(jìn)行比較

3、，從而發(fā)現(xiàn)違背安全策略的行為。2）. 統(tǒng)計(jì)分析，分析方法首先給信息對象（如用戶、連接、文件、目錄和設(shè)備等）創(chuàng) 建一個統(tǒng)計(jì)描述，統(tǒng)計(jì)正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時 等）。測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，任何觀察值在正常偏差 之外時，就認(rèn)為有入侵發(fā)生。3）. 完整性分析，完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓?，包括文件和目?的內(nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被特絡(luò)伊化的應(yīng)用程序方面特別有效。完整性分析 利用強(qiáng)有力的加密機(jī)制，稱為消息摘要函數(shù)（例如 MD5,能識別及其微小的變化。第 2 章 啟明星辰入侵檢測 設(shè)備的安裝介紹產(chǎn)品外觀從左到右分別是：管理

4、口， USB口，1-5業(yè)務(wù)口安裝與配置步驟 產(chǎn)品安裝與部署步驟包括： 控制中心安裝和引擎安裝部署。 控制中心需要安裝在一臺PC上，即需要為IDS入侵檢測設(shè)備配置一臺專門的工作站。這里提到的引擎就是指入侵 檢測設(shè)備。控制中心的安裝步驟1） 準(zhǔn)備一臺工作站，安裝上 win server操作系統(tǒng)，可以是 WindowsServer 2008 R2 Standard 64 位或者是 Windows Server 2012 R2 standard 64位，（現(xiàn)場測試時，Win7 64位操作系統(tǒng)不能通過HTTP方式配置引擎）；SQLServer數(shù)據(jù)庫安裝2）SQLserver數(shù)據(jù)庫安裝：在隨機(jī)附帶的安裝光

5、盤中有 包，具體步驟如下：雙擊“ SQL Server 2008 ” ，等待一會，進(jìn)入 SQL Server安裝中心界面： 點(diǎn)擊“安裝”，選擇“全新SQL Server獨(dú)立安裝或向現(xiàn)有安裝添加功能” 一項(xiàng)：計(jì)劃安裝繪護(hù)IB冊S銀y S4L £»t»i«*a 喪產(chǎn)品毎鑰ft可李衣戲茱程號吏捋立（4tfiit SyL SfT«r的司用簸$ h戟捋出SOL 3r r£吏拐E!皈應(yīng)SQL血tb 曲飴實(shí)例-（hA 啊g，訂I鳥dtft虜?=S邑裳上的SS亓手曲莊貯如#您扌瓏 3 FT 5 hSEs 陽瑟 珂在«送£馬in 輸

6、藝曼虹一十醉車看聶雖悍亠rHU滴運(yùn)齊IfttttKMS得，廠 -|SJL 5"礦國SQL Sirvtr匚 SQLServerxiofi吐 SQL Si牛町條款“確定”進(jìn)入產(chǎn)品密 鑰界面：點(diǎn)擊“下若»發(fā)共EftL弭嚴(yán)就05.必剜燮龜件許司擇毅"戶di童鑰 洙可 妄峯冃學(xué)席支特哭件MICROSOFT軟羸授權(quán)櫬款HltUOSOFl SQL SLRVLK 20<18 LXPKLSS WHH TOOLS LD111ON MICROSOFT SQi SERVER 200H EXPRESS WIlH ADVANCED SfRVICES EDITION工披卷If鬆彈一te曲

7、 貫用戶貝卜匚吒乂比4；5：5«僅酒視 賈用戶所居莊的卷居而走 二闕斷反立龍囪»?！?sa業(yè)IS愛就«潮笊上曲nt -赳拈 員陌臣 制邂的« ¥儂胃的掘 ®莖樣:IT亦a硼海問H E朋W玻針之忖看上理瑁目気附対*蚪（用則冨伽哉aft«.用rifekWil 一fiittm * 1«*去AMQH倍tA若梓起tSf*：箱.工i«MQ3)cnA/±M：ezJ步” 按 鈕， 進(jìn)入 許可 條款 界 面， 勾選“我 接受 許可盯晶D條款（A）”：點(diǎn)擊“安裝”按鈕:i；SaL S.rT.r ZODB 累農(nóng)SHE

8、-1 QI I竇裝笹序支持文件草占-妄蕓-罠套;蘇削T吏搏文rtn若矍吏裝或s#泌3址冷 Me,還獨(dú)史件工心S5的-產(chǎn)品密ffl 奮可芋盂1加斷13網(wǎng)裱牌jm正在電行ML環(huán)吋 責(zé)和気尉S要下邨冃件選擇 所要 安裝 的功 能以 及共 享功 能目 錄后， 點(diǎn)擊“下正5血冇liiscdlur 口步”按鈕，進(jìn)入 實(shí)例 配置 界面：選擇默認(rèn)實(shí)例后，點(diǎn)擊下一步：配置好賬號密碼：（如有疑問，參考附件中天闐入侵檢測與管理系統(tǒng) 手冊25-29業(yè)步驟）選擇混合模式，并添加管理員，點(diǎn)擊下一步：點(diǎn)擊下一步，然后選擇安裝，安裝完成后選擇關(guān)閉即可： 需要注意的是：數(shù)據(jù)庫管理軟件安裝完成后打開程序 Microsoft SQ

9、LServer 2008 配置工具 一 Sql Server配置管理器> SQL Server Con figurati on Man agerV7040用戶安裝> SQL Server 2008網(wǎng)絡(luò)配置一>w 址 Sv：L qih""g rw-.i TChLf T" K Pj(p四4 b IQL9 0ntiftig *«*站？*TEiML I* . " >.- *-5i-蝕舊gg，7>,v* *2 EJ Qis £Z 仙2 rWu i就i二r “ Jg衛(wèi)丁gry I洛匸 E TCE-zId.他, I h

10、 MtrU '"gkI心¥I A.tJi-沖> 二二"F! IJ fS, *«*«* "mW K> ft心尊SQLEXPRESS協(xié)議中的TCP/IP狀態(tài)為已啟用，如果是禁用狀態(tài)，請將該狀態(tài)改為已啟用， 并且修改 TCP端口為 8080，然后在 SQL Server 2008 服務(wù)一 > 選擇 SQL Server （MSSQLSERVER）>右鍵選擇重新啟動數(shù)據(jù)庫安裝完成并重啟服務(wù)后查看打開控制面板一 > 性能維護(hù) 一> 管理工具 一>服務(wù)，查看SQL Server（MSSQLSERV

11、E服務(wù)，點(diǎn)擊到登陸頁面查看登陸身份是否為本地 系統(tǒng)如果不是請調(diào)整到本地服務(wù)。3）天闐入侵檢測與管理系統(tǒng)安裝點(diǎn)擊運(yùn)行“天闐入侵檢測與管理系統(tǒng).exe ”，安裝提示點(diǎn)擊下一步，選擇好安裝目錄， 點(diǎn)擊安裝即可。其中需要配置業(yè)務(wù)數(shù)據(jù)導(dǎo)入工具，然后點(diǎn)擊導(dǎo)入：導(dǎo)入完成后，進(jìn)行數(shù)據(jù)庫配置和服務(wù)端口配置：點(diǎn)擊確定，彈出“配置修改成功”，等待全部安裝完成后，重啟計(jì)算機(jī)。引擎安裝配置步驟1） 將工作站與IDS入侵檢測設(shè)備的管理口相連，管理口的默認(rèn)IP地址是：密碼分別 是: adm/venus70，用http方式登錄到引擎中。（現(xiàn)場使用IE瀏覽器無法顯示頁面內(nèi)容， 更換成谷歌瀏覽器之后可以正常顯示）2） 登錄成功之

12、后，選擇常用配置-> 組件管理-> 引擎配置-> 點(diǎn)擊“新建”按鈕，添 加引擎：3）事件庫更新：從官網(wǎng)下載最新的對應(yīng)型號設(shè)備的事件庫文件，進(jìn)行更新。4）策略定制和下發(fā)：在常用配置-> 策略管理-> 策略集-> 點(diǎn)擊“新建”：2015-08-00選 擇 需 要運(yùn):n核.* WKAtHAS砂醞賣sues提交完成后，在組件 管理-> 組件狀態(tài)管 理-> 選擇需要應(yīng)用 到的網(wǎng)絡(luò)引擎，進(jìn)行 策略下發(fā)和應(yīng)用。業(yè)務(wù)配置植擇文弔的事件進(jìn)行提交聞方武悔玻型ARP(3)AinH2)DH5t2Z)F1NGER(21)FTP(7fr)JH975 條HHPU 飢>3)KMPQ冊IGMKD選擇其中一個業(yè) 務(wù)口，將其接入所要 檢測的網(wǎng)絡(luò)中，一般 是接入到交換機(jī)中，布線完成后，需要在交換機(jī)上做鏡