《secids入侵检测系统(新系列)技术培训幻灯片》由会员分享，可在线阅读，更多相关《secids入侵检测系统(新系列)技术培训幻灯片（73页珍藏版）》请在金锄头文库上搜索。
1、网神SecIDS 3600入侵检测系统（新版）,技术培训,技术服务中心,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,什么是入侵检测系统,旁路部署设备：通过与交换机的镜像口连接，检测网络上或操作系统上可疑行为并记录下来，作出反映（实时告警
2、）通知网络管理员采取相应的解决措施，最大限度的保障网络系统安全。 防火墙的合理补充：一是检测并记录网络上的攻击行为，二是可通过管理员的权限（包括安全审计、攻击识别和配置响应方式等）提高信息安全基础结构的完整性。认为是防火墙的第二道安全闸门。 特点：在不影响网络性能和正常通信的情况下，可对内外部攻击行为等进行实时监测，是安全防御组件的一个重要组成部分。,什么是入侵检测系统,从不知 到有知,技术层面：对具体的安全技术人员，可以利用IDS做为工具来发现安全问题、解决问题。,什么是入侵检测系统,意识层面：对政府或者大的行业来说，是可以通过IDS来建立一套完善的网络预警与响应体系，减小安全风险。,从预警
3、 到保障,IDS与防火墙关系,IDS vs 防火墙 ？,IDS作为网络安全的第二道闸门 是防火墙的有力补充,IDS与防火墙关系,联动响应,IDS检测被放行的数据包，发现攻击行为可以及时告警，并与防火墙联动,传统防火墙,IDS,传统防火墙：合规的请求中加载着攻击行为，防火墙无法识别。,新版IDS介绍,让我们来认识,新版 NGIDS,新版IDS优势,性能提升,功能完善,新版IDS功能优势,新版IDS性能优势,新版IDS标志,新版标志 全线支持液晶屏,设备状态直观呈现,管理IP、设备IP、资源使用率,新版IDS最高端产品,新版 最高端！,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神I
4、DS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,系统架构,逻辑架构及数据处理流程,MS_01 可靠时间戳,MS_02 特征码更新,IDS_01 协议异常行为分析,IDS_02 特征匹配,IDS_03 攻击响应,MS_03 系统管理,MS_04 日志及报表,MS_05 用户管理,通讯端口示意图,入侵分析技术,入侵分析技术主要有三大类 协议分析 异常检测 模式匹配,协议分析,概念：IDS引擎采用DPI技术，深入读取IP包载荷的内容来对OSI2-7层协议中的应用层信息进行重组，从而完成协议识别及应用识别。,
5、协议分析主流技术分类,异常检测,概念： 异常检测也称为模型检测，需要为用户组建立模型。模型中包含典型用户习惯。模型中为用户定义了行为特征，为每个用户执行正常任务定义了一个基线。 优点： 1.支持对虚假报警的可调控性 2.检测以前未发布的攻击 缺点 1.用户习惯改变时，必须更新用户模型 2.很难把特定的攻击与报警相关联 3.复杂而且难于理解,模式匹配,概念：滥用检测也称为模式匹配 。这种方法探测与具体特征相匹配的入侵行为。这些签名特征基于规则库。 优点： 1.特征是基于已知的入侵行为 2.配置后立即就能探测攻击者 缺点： 1.需要更新特征数据库 2. 未知攻击、变形攻击无法检测 3.计算量大,目
6、录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,主要功能简介,特色1：全面的攻击检测,识别,检测,特色2：灵活的告警策略,丰富的告警方式提示威胁发生 根据时间制定不同的响应策略 与防火墙联动 阻断高危攻击 支持标准接口告警事件外报,特色3：适用常见网络环境,网络环境支持,特色4：丰富的报表展现,事后审计 是IDS的核心之一 帮助管理员掌握整体威胁状况，找出攻击源头，及时采取措施,产品全景图,入门级,中小型企业级,中型企业级,大型企业级,千兆,
7、百兆,万兆,产品规格型号,技术1：领先的检测技术,数据包重组,协议分析,签名特征匹配,技术2：协议异常行为分析,主要针对2层-4层的分析、检测,技术3：特征匹配,主要针对特征签名的匹配,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,安装软件,安装环境 :Windows XP/7 server 2003/2008/2012 支持Windows 32位和64位系统 Java&JME： JRE6U45 & JME MySQL：5.1.54 （3
8、2位或64位） 控制台：入侵检测管理控制台,安装JAVA,安装JME,安装JME,安装MySQL,配置MySQL,安装控制台前注意事项,安装过程中提示缺少MSVCR文件时， 需做以下操作： 32位系统 将MSVCR71.dll拷贝至 C:WindowsSystem32 64位系统 将MSVCR71.dll拷贝至 C:windowsSysWoW64 注意：如果不做该操作会导致控制台安装完成后服务不能启动,安装控制台,Console配置,服务启动,随Windows服务自动启动,点击桌面的服务手动启动,登录网址 http:/管理服务器IP:8088/SecIDS3600/,控制台登录,账号管理员配置
9、,审计管理员配置,操作管理员配置,操作管理员配置,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分享,典型案例金税三期项目,国家税务总局为国务院主管税收工作的直属机构（正部级）。 关注重点： 各种威胁检测 快速安全预警 全网部署多级管理 对新型攻击的快速响应 可靠性,2012年网神中标金税三期十九省市近400台入侵检测产品，并于同年陆续实施建设完成，2013年至今多省地税对网神入侵检测产品进行了续采。,典型案例金税三期项目,防护总体结构,典型案
10、例金税三期项目,在2台核心交换机上分别部署1台千兆入侵检测引擎，通过入侵检测系统对数据中心网络的核心数据进行检测,安全管理区部署网神安全管理系统，通过该系统，对总局和各省局网神入侵检测系统的集中管控,南海部署结构,典型案例金税三期项目,省国税局部署结构,在各省国税局数据中心核心交换机上分别部署1台千兆入侵检测引擎，通过入侵检测系统对数据中心网络的核心数据进行检测,在各省国税局安全管理区部署网神安全管理系统，实现对各省局及下辖各地（市）局网神入侵检测系统的集中管控,典型案例金税三期项目,地市级部署结构,在各地（市）国税局安全管理区部署网神安全管理系统，实现对各地（市）局网神入侵检测系统的集中管控
11、。,在各地（市）局核心交换区部署1台千兆入侵检测引擎，监听2台核心交换机的流量，通过入侵检测系统对通信流量检测,典型案例金税三期项目,在国税总局数据中心（北京、南海）节点部署网神安全管理系统，负责管理总局和各省级局的入侵检测系统；各省级国税局的安全管理系统，负责管理本省局和与之相连的各地（市）级局的入侵检测系统；各地（市）级国税局的安全管理系统，负责管理本地（市）局的入侵检测系统。,多级管理结构,目录,网神IDS产品简介 网神IDS产品架构、技术原理 网神IDS产品功能、性能及关键技术详解 网神IDS产品配置及上线实施指南 网神IDS产品典型应用案例技术剖析 网神IDS产品技术支持与维护经验分
12、享,维护经验分享,1.快速处理问题方法 2.导入离线特征库升级包 3.备份IDS控制台策略配置文件 4.IDS的http端口修改,维护经验分享,5.实时事件及流量没有显示出来 6.查询报表没有显示处理方法 7.在win2003、2008系统中控制台注意事项 8.如何区分新旧版本IDS 9.关闭Java自动更新功能,1.快速处理问题方法,当IDS出现异常问题时，可以清理JAVA缓存和删除httproot文件来尝试解决这些问题 1.清理java缓存 2.删除httproot文件夹,1.1查看JAVA版本,1.1清理JAVA缓存,1.2删除httproot文件夹,步骤1：打开IDS控制台的安装目录
13、步骤2：选择httproot文件夹 步骤3：删除httproot文件夹,2.导入离线特征库升级包,当IDS的控制台不能连接互联网，需要通过控制台给IDS做离线升级 操作方法：使用操作管理员登录，在IDS控制台找到【检测策略】-【汇入策略】-选择升级离线升级包文件-点击【打开】即可 注意： IDS离线升级包可以使用最新版本，升级完成后，需要与设备同步，否则最新的特征库不能下发到IDS设备,2.导入离线特征库升级包,3.备份策略配置文件,备份IDS策略与备份防火墙的配置是同样重要的，如果用户安装IDS控制台的主机损坏或更换，可通过策略恢复还原之前备份的策略 操作方法：在IDS控制台找到【检测策略】
14、-【汇出策略】-选择保存路径-填写文件名称-点击【保存】,3.备份策略配置文件,4.IDS的http端口修改,IDS默认的http访问端口为8088 当IDS端口与其他业务冲突时，在以下文件中修改 C:Program Files (x86)SecIDS3600conf 将修改此端口号 sys.http_server_port = 8088,5.控制台实时事件无法显示,问题分析：导致该问题的可能原因只有2个 1.检查安装IDS控制台的PC或者服务器自身的防火墙是否是关闭状态 2.检查IDS设备与IDS控制台之间是否有防火墙或者交换机，这些设备是否阻断了TCP 7594-7596 、UDP 759
15、4-7596端口,6.控制台查询报表没有显示,问题分析：导致该问题的可能原因只有 3个 1. 检查安装 IDS 控制台的 PC 或者服务器自身的防火墙是否关闭状态 2. 检查IDS设备与IDS控制台之间是否有防火墙或者交换机，这些设备是否阻断了TCP 7594-7596 、UDP 7594-7596端口 3.如果以上 2条都排除，可能是 MySQL 或者JAVA的配置不正确，请重新安装、配置MySQL及JAVA,7.控制台在Win2008/12注意事项,1.新版本的IDS控制台 V4.0 (D20) 可以安装到Windows2008/2012 2.在Windows2008/2012安装IDS控制台完成以后，请在系统服务里找到SecIDS的服务，将该服务停止，选择手动启动 3.在桌面找到“启动SecIDS 服务器”的快捷方式图标，右键选择“以管理员身份运行”即可,8.如何区分新旧版本IDS,新老版本的IDS可以从以下3个方面确认,9.关闭Java自动更新功能,Java默认安装版本为6U45 安装Java后需要手动关闭Java的自动更新功能 其他版本的Java将可能导致管理控制台功能无法使用,Thank!,
