CCSP自學(xué)指南：Cisco安全入侵檢測(cè)系統(tǒng)（CSIDS）

第1章　對(duì)網(wǎng)絡(luò)安全的需要　1
1.1　安全威脅　2
1.1.1　無組織的威脅　3
1.1.2　有組織的威脅　4
1.1.3　外部威脅　5
1.1.4　內(nèi)部威脅　5
1.2　安全概念　6
1.3　攻擊的各個(gè)階段　6
1.3.1　設(shè)定攻擊目標(biāo)　7
1.3.2　攻擊前的偵察　7
1.3.3　正式攻擊　9
1.4　攻擊方法　9
1.4.1　即興攻擊　10
1.4.2　系統(tǒng)性攻擊　10
1.4.3　外科手術(shù)式打擊　10
1.4.4　耐心 慢 攻擊　10
1.5　網(wǎng)絡(luò)攻擊點(diǎn)　10
1.5.1　網(wǎng)絡(luò)資源　10
1.5.2　網(wǎng)絡(luò)協(xié)議　12
1.6　黑客工具與技術(shù)　13
1.6.1　使用偵察工具　13
1.6.2　攻擊網(wǎng)絡(luò)中的薄弱點(diǎn)　14
1.6.3　實(shí)施拒絕服務(wù)攻擊技術(shù)　17
1.7　小結(jié)　20
1.8　復(fù)習(xí)題　21
第2章　網(wǎng)絡(luò)安全與Cisco　23
2.1　保護(hù)網(wǎng)絡(luò)安全　24
2.1.1　加強(qiáng)認(rèn)證　25
2.1.2　建立安全邊界　27
2.1.3　通過虛擬專用網(wǎng)提供私密性　28
2.1.4　漏洞修補(bǔ)　30
2.2　監(jiān)控網(wǎng)絡(luò)安全　31
2.2.1　人工監(jiān)控　31
2.2.2　自動(dòng)監(jiān)控　31
2.3　檢驗(yàn)網(wǎng)絡(luò)安全　32
2.3.1　使用安全掃描器　32
2.3.2　進(jìn)行專業(yè)安全評(píng)估　32
2.4　提升網(wǎng)絡(luò)安全　33
2.4.1　留意安全新聞　33
2.4.2　定期檢查配置文件　34
2.4.3　評(píng)估傳感器的放置　34
2.4.4　驗(yàn)證安全配置　35
2.5　Cisco集成化語音. 視頻和數(shù)據(jù) AVVID 體系結(jié)構(gòu)　35
2.5.1　Cisco AVVID體系結(jié)構(gòu)　36
2.5.2　Cisco AVVID的益處　37
2.6　Cisco SAFE　38
2.6.1　SAFE模塊化藍(lán)圖　38
2.6.2　SAFE的益處　39
2.7　小結(jié)　39
2.8　復(fù)習(xí)題　40
第3章　入侵檢測(cè)的概念　43
3.1　入侵檢測(cè)的定義　43
3.2　IDS警報(bào)術(shù)語　44
3.2.1　錯(cuò)誤警報(bào)　44
3.2.2　正確警報(bào)　44
3.3　IDS觸發(fā)器　45
3.3.1　異常檢測(cè)　45
3.3.2　濫用檢測(cè)　48
3.3.3　協(xié)議分析　49
3.4　IDS監(jiān)控位置　50
3.4.1　基于主機(jī)的IDS　50
3.4.2　基于網(wǎng)絡(luò)的IDS　51
3.5　混合IDS　53
3.5.1　優(yōu)點(diǎn)　53
3.5.2　缺點(diǎn)　53
3.6　入侵檢測(cè)響應(yīng)技術(shù)　53
3.6.1　TCP重置　54
3.6.2　IP攔阻　54
3.6.3　記錄　54
3.6.4　訪問限制　54
3.7　入侵檢測(cè)逃避技術(shù)　55
3.7.1　泛洪　55
3.7.2　分片　55
3.7.3　加密　56
3.7.4　迷惑　56
3.7.5　TTL操作　57
3.8　小結(jié)　58
3.9　復(fù)習(xí)題　59
第4章　Cisco入侵防護(hù)　63
4.1　Cisco入侵檢測(cè)系統(tǒng) IDS 解決方案概述　64
4.1.1　入侵防護(hù)　64
4.1.2　積極防御　65
4.1.3　深入防御　68
4.2　Cisco IDS傳感器　68
4.2.1　網(wǎng)絡(luò)傳感器　69
4.2.2　交換機(jī)傳感器　69
4.2.3　路由器傳感器　70
4.2.4　防火墻傳感器　71
4.2.5　主機(jī)代理　71
4.3　Cisco威脅響應(yīng)　72
4.4　Cisco傳感器管理　72
4.4.1　Cisco IDS設(shè)備管理器　73
4.4.2　Cisco IDS管理中心　73
4.5　Cisco警報(bào)監(jiān)控與報(bào)告　73
4.5.1　Cisco IDS事件查看器　74
4.5.2　Cisco IDS安全監(jiān)控器　74
4.6　部署Cisco IDS　74
4.6.1　傳感器的選擇　74
4.6.2　傳感器的布放　75
4.6.3　傳感器部署的考慮　77
4.6.4　傳感器部署的情形　79
4.7　小結(jié)　80
4.8　復(fù)習(xí)題　82
第5章　Cisco IDS體系結(jié)構(gòu)　85
5.1　以前的軟件體系結(jié)構(gòu)　85
5.2　Cisco IDS 4.0軟件體系結(jié)構(gòu)　86
5.2.1　cidWebServer　87
5.2.2　mainApp　88
5.2.3　logApp　88
5.2.4　認(rèn)證　88
5.2.5　網(wǎng)絡(luò)接入控制器 NAC 　89
5.2.6　ctlTransSource　89
5.2.7　sensorApp　89
5.2.8　事件存儲(chǔ) Event Store 　89
5.2.9　cidCLI　90
5.3　Cisco IDS 4.0通信體系結(jié)構(gòu)　90
5.3.1　通信概述　90
5.3.2　入侵檢測(cè)應(yīng)用程序接口　90
5.3.3　遠(yuǎn)程數(shù)據(jù)交換協(xié)議　90
5.4　用戶賬號(hào)和角色　92
5.4.1　管理員　93
5.4.2　操作員　93
5.4.3　查看者　93
5.4.4　服務(wù)　93
5.5　小結(jié)　93
5.6　復(fù)習(xí)題　95
第6章　捕獲網(wǎng)絡(luò)數(shù)據(jù)流量　97
6.1　數(shù)據(jù)流量捕獲設(shè)備　97
6.1.1　集線器　97
6.1.2　網(wǎng)絡(luò)分接頭　98
6.1.3　交換機(jī)　99
6.2　交換機(jī)端口分析　100
6.2.1　交換機(jī)端口分析 SPAN 端口術(shù)語　101
6.2.2　傳輸控制協(xié)議 TCP 重置限制　101
6.2.3　Catalyst 2900XL/3500XL交換機(jī)　102
6.2.4　Catalyst 4000和6500交換機(jī)　104
6.3　遠(yuǎn)程交換機(jī)端口分析　105
6.4　虛擬局域網(wǎng) Virtual Local-Area Network, VLAN 訪問控制列表　107
6.4.1　定義感興趣的數(shù)據(jù)流量 Interesting Traffic 　107
6.4.2　在CatOS上配置虛擬局域網(wǎng)訪問控制列表 VACL 　108
6.4.3　在Cisco互聯(lián)操作系統(tǒng) IOS 防火墻下配置VACL　111
6.5　高級(jí)數(shù)據(jù)流量捕獲　113
6.6　小結(jié)　115
6.7　復(fù)習(xí)題　116
第7章　Cisco IDS網(wǎng)絡(luò)傳感器的安裝　119
7.1　IDS設(shè)備　120
7.1.1　設(shè)備型號(hào)　120
7.1.2　設(shè)備限制　123
7.1.3　硬件注意事項(xiàng)　124
7.2　IDS加速卡　126
7.3　IDS設(shè)備命令行接口　127
7.3.1　使用CLI　127
7.3.2　用戶角色　130
7.3.3　CLI命令模式　131
7.3.4　管理任務(wù)　135
7.3.5　配置任務(wù)　135
7.4　安裝IDS設(shè)備　135
7.4.1　從3.1版本升級(jí)到4.0版本　135
7.4.2　初始化配置任務(wù)　137
7.5　小結(jié)　142
7.6　復(fù)習(xí)題　143
第8章　Cisco IDS模塊配置　147
8.1　Cisco IDS模塊 IDSM 　147
8.1.1　第二代入侵檢測(cè)系統(tǒng)模塊 IDSM-2 技術(shù)指標(biāo)　147
8.1.2　關(guān)鍵特性　148
8.1.3　IDSM同IDSM-2的比較　149
8.2　IDSM-2配置　149
8.2.1　IDSM-2初始化　150
8.2.2　IDSM-2端口　151
8.2.3　捕獲數(shù)據(jù)流量　152
8.2.4　IDSM-2數(shù)據(jù)流量流向　152
8.3　Catalyst 6500交換機(jī)配置　153
8.3.1　配置命令和控制端口　153
8.3.2　監(jiān)控?cái)?shù)據(jù)流量　154
8.3.3　中繼配置任務(wù)　158
8.3.4　管理任務(wù)　158
8.4　故障排除　159
8.4.1　IDSM-2狀態(tài)發(fā)光二極管 LED 　159
8.4.2　Catalyst 6500命令　159
8.5　小結(jié)　161
8.6　復(fù)習(xí)題　162
第9章　Cisco IDS設(shè)備管理器與事件查看器　165
9.1　Cisco IDS設(shè)備管理器　165
9.1.1　系統(tǒng)要求　165
9.1.2　安裝Cisco IDS設(shè)備管理器　166
9.1.3　Cisco IDS設(shè)備管理器接口結(jié)構(gòu)　166
9.1.4　訪問IDS設(shè)備管理器 IDM 　168
9.1.5　訪問在線IDM幫助　169
9.1.6　IDS設(shè)備管理器與Cookie　169
9.1.7　IDS設(shè)備管理器與證書　169
9.2　Cisco IDS事件查看器　171
9.2.1　系統(tǒng)要求　172
9.2.2　安裝Cisco IDS事件查看器　172
9.2.3　卸載Cisco IDS事件查看器　173
9.2.4　啟動(dòng)Cisco IDS事件查看器　173
9.2.5　指定使用IDS設(shè)備監(jiān)控　173
9.2.6　配置過濾器　177
9.2.7　配置視圖　183
9.2.8　查看事件數(shù)據(jù)　187
9.2.9　使用警報(bào)　190
9.2.10　網(wǎng)絡(luò)安全數(shù)據(jù)庫 NSDB 　194
9.2.11　配置首選項(xiàng)　197
9.2.12　配置應(yīng)用程序設(shè)置　199
9.2.13　數(shù)據(jù)庫管理　200
9.3　小結(jié)　202
9.4　復(fù)習(xí)題　203
第10章　傳感器配置　207
10.1　在IDS傳感器管理中心中添加傳感器 IDS MC 　208
10.1.1　傳感器組　208
10.1.2　獨(dú)立傳感器　209
10.2　配置網(wǎng)絡(luò)設(shè)置　210
10.3　配置允許主機(jī)　212
10.4　遠(yuǎn)程訪問　213
10.5　安全Shell SSH 屬性　213
10.5.1　定義授權(quán)密鑰　214
10.5.2　生成新的主機(jī)密鑰　215
10.5.3　配置SSH已知主機(jī)密鑰　216
10.6　證書管理　218
10.6.1　信任主機(jī)證書　218
10.6.2　產(chǎn)生主機(jī)證書　219
10.6.3　查看服務(wù)器證書　220
10.7　配置時(shí)間　221
10.7.1　設(shè)置時(shí)間　221
10.7.2　配置時(shí)區(qū)　222
10.7.3　配置NTP服務(wù)器　222
10.7.4　配置夏令時(shí)　223
10.7.5　修正時(shí)間　224
10.8　添加用戶　224
10.9　管理任務(wù)　226
10.9.1　查看系統(tǒng)信息　226
10.9.2　查看診斷信息　227
10.9.3　重新啟動(dòng)傳感器　228
10.10　小結(jié)　229
10.11　復(fù)習(xí)題　231
第11章　特征配置　233
11.1　全局探測(cè)配置　233
11.1.1　內(nèi)部網(wǎng)絡(luò)　233
11.1.2　重組選項(xiàng)　237
11.2　IDM中的特征組　241
11.2.1　特征ID　242
11.2.2　特征引擎　243
11.2.3　攻擊類型　243
11.2.4　L2/L3/L4協(xié)議　244
11.2.5　操作系統(tǒng)　245
11.2.6　服務(wù)　246
11.3　IDS MC中的特征組　247
11.4　特征過濾　250
11.4.1　定義事件過濾器　250
11.4.2　過濾程序　251
11.4.3　使用IDM添加事件過濾器　251
11.4.4　使用IDS MC添加事件過濾器　253
11.5　特征配置　257
11.5.1　特征調(diào)整　257
11.5.2　自定義特征　257
11.5.3　調(diào)整特征　258
11.5.4　使用IDM調(diào)整特征6250　260
11.5.5　使用IDS MC調(diào)整特征6250　261
11.6　創(chuàng)建自定義特征　262
11.6.1　選擇特征引擎　263
11.6.2　驗(yàn)證現(xiàn)有功能　264
11.6.3　定義特征參數(shù)　264
11.6.4　測(cè)試特征的有效性　265
11.6.5　自定義特征情形　265
11.7　小結(jié)　273
11.8　復(fù)習(xí)題　274
第12章　特征響應(yīng)　277
12.1　特征響應(yīng)概述　277
12.2　IP攔阻　277
12.2.1　IP攔阻定義　278
12.2.2　IP攔阻設(shè)備　278
12.2.3　攔阻指導(dǎo)方針　280
12.2.4　攔阻過程　282
12.3　ACL放置考慮　283
12.4　配置IP攔阻　286
12.4.1　指定攔阻行為　286
12.4.2　設(shè)置攔阻屬性　288
12.4.3　定義從不攔阻地址　290
12.4.4　安裝邏輯設(shè)備　292
12.4.5　定義攔阻設(shè)備　293
12.4.6　定義主攔阻傳感器　301
12.5　手動(dòng)攔阻　302
12.5.1　攔阻主機(jī)　303
12.5.2　攔阻網(wǎng)絡(luò)　303
12.6　IP記錄　304
12.6.1　IDM中的IP記錄參數(shù)　304
12.6.2　IDS MC中的IP記錄參數(shù)　305
12.6.3　手動(dòng)IP記錄　306
12.7　TCP重置　307
12.8　小結(jié)　307
12.9　復(fù)習(xí)題　309
第13章　Cisco IDS警報(bào)與特征　311
13.1　Cisco IDS特征　311
13.1.1　警報(bào)扼殺模式　311
13.1.2　Summary模式升級(jí)　313
13.1.3　正則表達(dá)式字符串匹配　314
13.2　Cisco IDS警報(bào)　315
13.2.1　嚴(yán)重級(jí)別　315
13.2.2　傳感器狀態(tài)警報(bào)　315
13.3　Cisco IDS特征引擎　316
13.3.1　特征參數(shù)　316
13.3.2　Atomic特征引擎　318
13.3.3　Flood特征引擎　323
13.3.4　OTHER特征引擎　325
13.3.5　Service特征引擎　326
13.3.6　State特征引擎　336
13.3.7　String特征引擎　337
13.3.8　Sweep特征引擎　338
13.3.9　Traffic特征引擎　342
13.3.10　Trojan特征引擎　343
13.4　小結(jié)　343
13.5　復(fù)習(xí)題　345
第14章　主機(jī)入侵防護(hù)　349
14.1　端點(diǎn)防護(hù)　349
14.1.1　零日防護(hù)　349
14.1.2　數(shù)據(jù)防護(hù)　350
14.1.3　服務(wù)器和臺(tái)式機(jī)維護(hù)　350
14.2　Cisco安全代理 CSA 　350
14.2.1　攻擊保護(hù)　350
14.2.2　部署概述　351
14.2.3　Cisco安全代理管理中心　352
14.3　使用Cisco安全代理的管理中心　353
14.3.1　定義安全策略　353
14.3.2　基于角色的管理　353
14.3.3　部署CSA策略　354
14.4　監(jiān)控CSA事件　355
14.4.1　狀態(tài)總結(jié)　356
14.4.2　事件日志　356
14.4.3　根據(jù)事件屬性過濾　358
14.4.4　定義過濾器　358
14.4.5　事件日志管理　359
14.4.6　事件監(jiān)控器　361
14.4.7　事件集　361
14.4.8　警報(bào)　363
14.5　配置組與管理主機(jī)　364
14.5.1　配置組　365
14.5.2　主機(jī)　368
14.6　CSA策略　369
14.6.1　CSA策略組件　370
14.6.2　配置策略　372
14.6.3　理解規(guī)則　375
14.6.4　使用配置變量　376
14.6.5　配置應(yīng)用程序類　378
14.6.6　全局事件關(guān)聯(lián)　380
14.7　代理工具　380
14.7.1　創(chuàng)建代理工具　380
14.7.2　控制代理注冊(cè)　382
14.8　發(fā)布軟件更新　383
14.8.1　可用軟件更新　383
14.8.2　定期軟件更新　383
14.9　報(bào)告　384
14.10　Profiler工具　384
14.11　小結(jié)　385
14.12　復(fù)習(xí)題　387
第15章　Cisco IDS維護(hù)與故障排除　389
15.1　軟件更新　389
15.1.1　IDS軟件的文件格式　390
15.1.2　軟件更新向?qū)А?91
15.2　升級(jí)傳感器軟件　392
15.2.1　通過CLI的軟件安裝　392
15.2.2　使用IDS設(shè)備管理器 IDM 的軟件安裝　393
15.2.3　使用IDS MC安裝軟件　395
15.2.4　降級(jí)鏡像　397
15.3　鏡像恢復(fù)　397
15.4　基本故障排除　398
15.4.1　show version　398
15.4.2　show interfaces　399
15.4.3　show interfaces command-control　400
15.4.4　show interfaces sensing　401
15.4.5　show interfaces group　401
15.4.6　show tech-support　402
15.4.7　show statistics　403
15.4.8　show events　404
15.5　小結(jié)　405
15.6　復(fù)習(xí)題　406
第16章　企業(yè)級(jí)IDS管理　409
16.1　CiscoWorks　410
16.1.1　登錄過程　410
16.1.2　授權(quán)角色　411
16.1.3　添加用戶　411
16.2　IDS傳感器管理中心 IDS MC 　412
16.2.1　體系結(jié)構(gòu)概述　413
16.2.2　Windows上的安裝　415
16.2.3　Solaris上的安裝　417
16.2.4　客戶端要求　418
16.2.5　啟動(dòng)IDS MC　418
16.2.6　IDS MC界面　419
16.2.7　在IDS MC中訪問在線幫助　421
16.3　IDS配置文件的部署　422
16.3.1　配置與生成　423
16.3.2　配置和批準(zhǔn)　424
16.3.3　部署　424
16.4　小結(jié)　427
16.5　復(fù)習(xí)題　428
第17章　企業(yè)級(jí)IDS監(jiān)控和報(bào)告　431
17.1　安全監(jiān)控中心　431
17.1.1　服務(wù)器要求　432
17.1.2　客戶端要求　432
17.1.3　用戶界面　433
17.2　安全監(jiān)控器配置　435
17.2.1　添加設(shè)備　435
17.2.2　導(dǎo)入設(shè)備　440
17.2.3　事件通知　442
17.2.4　監(jiān)控設(shè)備　446
17.3　安全監(jiān)控器的事件查看器　450
17.3.1　移動(dòng)列　450
17.3.2　刪除列或行　450
17.3.3　折疊列　451
17.3.4　設(shè)置事件展開區(qū)間　453
17.3.5　展開列　453
17.3.6　掛起和恢復(fù)處理新事件　454
17.3.7　改變顯示首選項(xiàng)　455
17.3.8　創(chuàng)建圖表　458
17.3.9　顯示　459
17.4　安全監(jiān)控器管理　461
17.4.1　數(shù)據(jù)庫維護(hù)　461
17.4.2　系統(tǒng)配置的設(shè)置　463
17.4.3　定義事件查看器的首選項(xiàng)　463
17.5　安全監(jiān)控器報(bào)告　464
17.5.1　定義報(bào)告　465
17.5.2　計(jì)劃報(bào)告　466
17.5.3　查看報(bào)告　466
17.6　小結(jié)　468
17.7　復(fù)習(xí)題　469
第18章　Cisco威脅響應(yīng)　473
18.1　概要　473
18.1.1　優(yōu)點(diǎn)　473
18.1.2　術(shù)語和定義　475
18.1.3　調(diào)查等級(jí)　475
18.1.4　預(yù)定義策略類型　476
18.2　Cisco威脅響應(yīng) CTR 的配置要求　477
18.2.1　系統(tǒng)要求　477
18.2.2　IDS要求　478
18.2.3　防火墻設(shè)置　478
18.2.4　遷移到CiscoWorks VPN/安全管理解決方案　478
18.3　軟件安裝　478
18.3.1　訪問CTR圖形界面接口 GUI 　479
18.3.2　快速啟動(dòng)　480
18.3.3　使用Cisco威脅響應(yīng)　481
18.4　基本設(shè)置　484
18.4.1　定義警報(bào)源　484
18.4.2　配置安全區(qū)域　487
18.4.3　定義受保護(hù)系統(tǒng)　490
18.5　高級(jí)設(shè)置　494
18.6　警報(bào)和報(bào)告　494
18.6.1　顯示警報(bào)　494
18.6.2　過濾警報(bào)　498
18.6.3　生成報(bào)告　499
18.7　維護(hù)　501
18.7.1　自動(dòng)更新　501
18.7.2　用戶　503
18.8　小結(jié)　504
18.9　復(fù)習(xí)題　505
第19章　Cisco入侵防護(hù)系統(tǒng)預(yù)計(jì)功能　509
19.1　Cisco入侵防護(hù)系統(tǒng)概述　509
19.1.1　威脅檢測(cè)的精確性　509
19.1.2　威脅調(diào)查的智能性　510
19.1.3　管理的簡(jiǎn)便性　510
19.1.4　部署選項(xiàng)的靈活性　510
19.2　新的硬件平臺(tái)　510
19.2.1　4215工具傳感器　511
19.2.2　路由器網(wǎng)絡(luò)模塊　511
19.3　新的軟件功能　512
19.3.1　支持多接口　512
19.3.2　捕獲數(shù)據(jù)包　512
19.4　內(nèi)嵌的 In-Line IDS處理　513
19.5　新的特征　513
19.5.1　S44特征更新　513
19.5.2　S46特征更新　514
19.6　管理　514
19.7　主機(jī)入侵防護(hù) HIP 　515
19.8　小結(jié)　515
附錄A　Cisco入侵防護(hù)解決方案調(diào)整：案例研究　519
附錄B　復(fù)習(xí)題答案　535
術(shù)語表　551