CCSP自學指南：Cisco安全入侵檢測系統(tǒng)（CSIDS）

第1章　對網(wǎng)絡安全的需要　1
1.1　安全威脅　2
1.1.1　無組織的威脅　3
1.1.2　有組織的威脅　4
1.1.3　外部威脅　5
1.1.4　內部威脅　5
1.2　安全概念　6
1.3　攻擊的各個階段　6
1.3.1　設定攻擊目標　7
1.3.2　攻擊前的偵察　7
1.3.3　正式攻擊　9
1.4　攻擊方法　9
1.4.1　即興攻擊　10
1.4.2　系統(tǒng)性攻擊　10
1.4.3　外科手術式打擊　10
1.4.4　耐心 慢 攻擊　10
1.5　網(wǎng)絡攻擊點　10
1.5.1　網(wǎng)絡資源　10
1.5.2　網(wǎng)絡協(xié)議　12
1.6　黑客工具與技術　13
1.6.1　使用偵察工具　13
1.6.2　攻擊網(wǎng)絡中的薄弱點　14
1.6.3　實施拒絕服務攻擊技術　17
1.7　小結　20
1.8　復習題　21
第2章　網(wǎng)絡安全與Cisco　23
2.1　保護網(wǎng)絡安全　24
2.1.1　加強認證　25
2.1.2　建立安全邊界　27
2.1.3　通過虛擬專用網(wǎng)提供私密性　28
2.1.4　漏洞修補　30
2.2　監(jiān)控網(wǎng)絡安全　31
2.2.1　人工監(jiān)控　31
2.2.2　自動監(jiān)控　31
2.3　檢驗網(wǎng)絡安全　32
2.3.1　使用安全掃描器　32
2.3.2　進行專業(yè)安全評估　32
2.4　提升網(wǎng)絡安全　33
2.4.1　留意安全新聞　33
2.4.2　定期檢查配置文件　34
2.4.3　評估傳感器的放置　34
2.4.4　驗證安全配置　35
2.5　Cisco集成化語音. 視頻和數(shù)據(jù) AVVID 體系結構　35
2.5.1　Cisco AVVID體系結構　36
2.5.2　Cisco AVVID的益處　37
2.6　Cisco SAFE　38
2.6.1　SAFE模塊化藍圖　38
2.6.2　SAFE的益處　39
2.7　小結　39
2.8　復習題　40
第3章　入侵檢測的概念　43
3.1　入侵檢測的定義　43
3.2　IDS警報術語　44
3.2.1　錯誤警報　44
3.2.2　正確警報　44
3.3　IDS觸發(fā)器　45
3.3.1　異常檢測　45
3.3.2　濫用檢測　48
3.3.3　協(xié)議分析　49
3.4　IDS監(jiān)控位置　50
3.4.1　基于主機的IDS　50
3.4.2　基于網(wǎng)絡的IDS　51
3.5　混合IDS　53
3.5.1　優(yōu)點　53
3.5.2　缺點　53
3.6　入侵檢測響應技術　53
3.6.1　TCP重置　54
3.6.2　IP攔阻　54
3.6.3　記錄　54
3.6.4　訪問限制　54
3.7　入侵檢測逃避技術　55
3.7.1　泛洪　55
3.7.2　分片　55
3.7.3　加密　56
3.7.4　迷惑　56
3.7.5　TTL操作　57
3.8　小結　58
3.9　復習題　59
第4章　Cisco入侵防護　63
4.1　Cisco入侵檢測系統(tǒng) IDS 解決方案概述　64
4.1.1　入侵防護　64
4.1.2　積極防御　65
4.1.3　深入防御　68
4.2　Cisco IDS傳感器　68
4.2.1　網(wǎng)絡傳感器　69
4.2.2　交換機傳感器　69
4.2.3　路由器傳感器　70
4.2.4　防火墻傳感器　71
4.2.5　主機代理　71
4.3　Cisco威脅響應　72
4.4　Cisco傳感器管理　72
4.4.1　Cisco IDS設備管理器　73
4.4.2　Cisco IDS管理中心　73
4.5　Cisco警報監(jiān)控與報告　73
4.5.1　Cisco IDS事件查看器　74
4.5.2　Cisco IDS安全監(jiān)控器　74
4.6　部署Cisco IDS　74
4.6.1　傳感器的選擇　74
4.6.2　傳感器的布放　75
4.6.3　傳感器部署的考慮　77
4.6.4　傳感器部署的情形　79
4.7　小結　80
4.8　復習題　82
第5章　Cisco IDS體系結構　85
5.1　以前的軟件體系結構　85
5.2　Cisco IDS 4.0軟件體系結構　86
5.2.1　cidWebServer　87
5.2.2　mainApp　88
5.2.3　logApp　88
5.2.4　認證　88
5.2.5　網(wǎng)絡接入控制器 NAC 　89
5.2.6　ctlTransSource　89
5.2.7　sensorApp　89
5.2.8　事件存儲 Event Store 　89
5.2.9　cidCLI　90
5.3　Cisco IDS 4.0通信體系結構　90
5.3.1　通信概述　90
5.3.2　入侵檢測應用程序接口　90
5.3.3　遠程數(shù)據(jù)交換協(xié)議　90
5.4　用戶賬號和角色　92
5.4.1　管理員　93
5.4.2　操作員　93
5.4.3　查看者　93
5.4.4　服務　93
5.5　小結　93
5.6　復習題　95
第6章　捕獲網(wǎng)絡數(shù)據(jù)流量　97
6.1　數(shù)據(jù)流量捕獲設備　97
6.1.1　集線器　97
6.1.2　網(wǎng)絡分接頭　98
6.1.3　交換機　99
6.2　交換機端口分析　100
6.2.1　交換機端口分析 SPAN 端口術語　101
6.2.2　傳輸控制協(xié)議 TCP 重置限制　101
6.2.3　Catalyst 2900XL/3500XL交換機　102
6.2.4　Catalyst 4000和6500交換機　104
6.3　遠程交換機端口分析　105
6.4　虛擬局域網(wǎng) Virtual Local-Area Network, VLAN 訪問控制列表　107
6.4.1　定義感興趣的數(shù)據(jù)流量 Interesting Traffic 　107
6.4.2　在CatOS上配置虛擬局域網(wǎng)訪問控制列表 VACL 　108
6.4.3　在Cisco互聯(lián)操作系統(tǒng) IOS 防火墻下配置VACL　111
6.5　高級數(shù)據(jù)流量捕獲　113
6.6　小結　115
6.7　復習題　116
第7章　Cisco IDS網(wǎng)絡傳感器的安裝　119
7.1　IDS設備　120
7.1.1　設備型號　120
7.1.2　設備限制　123
7.1.3　硬件注意事項　124
7.2　IDS加速卡　126
7.3　IDS設備命令行接口　127
7.3.1　使用CLI　127
7.3.2　用戶角色　130
7.3.3　CLI命令模式　131
7.3.4　管理任務　135
7.3.5　配置任務　135
7.4　安裝IDS設備　135
7.4.1　從3.1版本升級到4.0版本　135
7.4.2　初始化配置任務　137
7.5　小結　142
7.6　復習題　143
第8章　Cisco IDS模塊配置　147
8.1　Cisco IDS模塊 IDSM 　147
8.1.1　第二代入侵檢測系統(tǒng)模塊 IDSM-2 技術指標　147
8.1.2　關鍵特性　148
8.1.3　IDSM同IDSM-2的比較　149
8.2　IDSM-2配置　149
8.2.1　IDSM-2初始化　150
8.2.2　IDSM-2端口　151
8.2.3　捕獲數(shù)據(jù)流量　152
8.2.4　IDSM-2數(shù)據(jù)流量流向　152
8.3　Catalyst 6500交換機配置　153
8.3.1　配置命令和控制端口　153
8.3.2　監(jiān)控數(shù)據(jù)流量　154
8.3.3　中繼配置任務　158
8.3.4　管理任務　158
8.4　故障排除　159
8.4.1　IDSM-2狀態(tài)發(fā)光二極管 LED 　159
8.4.2　Catalyst 6500命令　159
8.5　小結　161
8.6　復習題　162
第9章　Cisco IDS設備管理器與事件查看器　165
9.1　Cisco IDS設備管理器　165
9.1.1　系統(tǒng)要求　165
9.1.2　安裝Cisco IDS設備管理器　166
9.1.3　Cisco IDS設備管理器接口結構　166
9.1.4　訪問IDS設備管理器 IDM 　168
9.1.5　訪問在線IDM幫助　169
9.1.6　IDS設備管理器與Cookie　169
9.1.7　IDS設備管理器與證書　169
9.2　Cisco IDS事件查看器　171
9.2.1　系統(tǒng)要求　172
9.2.2　安裝Cisco IDS事件查看器　172
9.2.3　卸載Cisco IDS事件查看器　173
9.2.4　啟動Cisco IDS事件查看器　173
9.2.5　指定使用IDS設備監(jiān)控　173
9.2.6　配置過濾器　177
9.2.7　配置視圖　183
9.2.8　查看事件數(shù)據(jù)　187
9.2.9　使用警報　190
9.2.10　網(wǎng)絡安全數(shù)據(jù)庫 NSDB 　194
9.2.11　配置首選項　197
9.2.12　配置應用程序設置　199
9.2.13　數(shù)據(jù)庫管理　200
9.3　小結　202
9.4　復習題　203
第10章　傳感器配置　207
10.1　在IDS傳感器管理中心中添加傳感器 IDS MC 　208
10.1.1　傳感器組　208
10.1.2　獨立傳感器　209
10.2　配置網(wǎng)絡設置　210
10.3　配置允許主機　212
10.4　遠程訪問　213
10.5　安全Shell SSH 屬性　213
10.5.1　定義授權密鑰　214
10.5.2　生成新的主機密鑰　215
10.5.3　配置SSH已知主機密鑰　216
10.6　證書管理　218
10.6.1　信任主機證書　218
10.6.2　產生主機證書　219
10.6.3　查看服務器證書　220
10.7　配置時間　221
10.7.1　設置時間　221
10.7.2　配置時區(qū)　222
10.7.3　配置NTP服務器　222
10.7.4　配置夏令時　223
10.7.5　修正時間　224
10.8　添加用戶　224
10.9　管理任務　226
10.9.1　查看系統(tǒng)信息　226
10.9.2　查看診斷信息　227
10.9.3　重新啟動傳感器　228
10.10　小結　229
10.11　復習題　231
第11章　特征配置　233
11.1　全局探測配置　233
11.1.1　內部網(wǎng)絡　233
11.1.2　重組選項　237
11.2　IDM中的特征組　241
11.2.1　特征ID　242
11.2.2　特征引擎　243
11.2.3　攻擊類型　243
11.2.4　L2/L3/L4協(xié)議　244
11.2.5　操作系統(tǒng)　245
11.2.6　服務　246
11.3　IDS MC中的特征組　247
11.4　特征過濾　250
11.4.1　定義事件過濾器　250
11.4.2　過濾程序　251
11.4.3　使用IDM添加事件過濾器　251
11.4.4　使用IDS MC添加事件過濾器　253
11.5　特征配置　257
11.5.1　特征調整　257
11.5.2　自定義特征　257
11.5.3　調整特征　258
11.5.4　使用IDM調整特征6250　260
11.5.5　使用IDS MC調整特征6250　261
11.6　創(chuàng)建自定義特征　262
11.6.1　選擇特征引擎　263
11.6.2　驗證現(xiàn)有功能　264
11.6.3　定義特征參數(shù)　264
11.6.4　測試特征的有效性　265
11.6.5　自定義特征情形　265
11.7　小結　273
11.8　復習題　274
第12章　特征響應　277
12.1　特征響應概述　277
12.2　IP攔阻　277
12.2.1　IP攔阻定義　278
12.2.2　IP攔阻設備　278
12.2.3　攔阻指導方針　280
12.2.4　攔阻過程　282
12.3　ACL放置考慮　283
12.4　配置IP攔阻　286
12.4.1　指定攔阻行為　286
12.4.2　設置攔阻屬性　288
12.4.3　定義從不攔阻地址　290
12.4.4　安裝邏輯設備　292
12.4.5　定義攔阻設備　293
12.4.6　定義主攔阻傳感器　301
12.5　手動攔阻　302
12.5.1　攔阻主機　303
12.5.2　攔阻網(wǎng)絡　303
12.6　IP記錄　304
12.6.1　IDM中的IP記錄參數(shù)　304
12.6.2　IDS MC中的IP記錄參數(shù)　305
12.6.3　手動IP記錄　306
12.7　TCP重置　307
12.8　小結　307
12.9　復習題　309
第13章　Cisco IDS警報與特征　311
13.1　Cisco IDS特征　311
13.1.1　警報扼殺模式　311
13.1.2　Summary模式升級　313
13.1.3　正則表達式字符串匹配　314
13.2　Cisco IDS警報　315
13.2.1　嚴重級別　315
13.2.2　傳感器狀態(tài)警報　315
13.3　Cisco IDS特征引擎　316
13.3.1　特征參數(shù)　316
13.3.2　Atomic特征引擎　318
13.3.3　Flood特征引擎　323
13.3.4　OTHER特征引擎　325
13.3.5　Service特征引擎　326
13.3.6　State特征引擎　336
13.3.7　String特征引擎　337
13.3.8　Sweep特征引擎　338
13.3.9　Traffic特征引擎　342
13.3.10　Trojan特征引擎　343
13.4　小結　343
13.5　復習題　345
第14章　主機入侵防護　349
14.1　端點防護　349
14.1.1　零日防護　349
14.1.2　數(shù)據(jù)防護　350
14.1.3　服務器和臺式機維護　350
14.2　Cisco安全代理 CSA 　350
14.2.1　攻擊保護　350
14.2.2　部署概述　351
14.2.3　Cisco安全代理管理中心　352
14.3　使用Cisco安全代理的管理中心　353
14.3.1　定義安全策略　353
14.3.2　基于角色的管理　353
14.3.3　部署CSA策略　354
14.4　監(jiān)控CSA事件　355
14.4.1　狀態(tài)總結　356
14.4.2　事件日志　356
14.4.3　根據(jù)事件屬性過濾　358
14.4.4　定義過濾器　358
14.4.5　事件日志管理　359
14.4.6　事件監(jiān)控器　361
14.4.7　事件集　361
14.4.8　警報　363
14.5　配置組與管理主機　364
14.5.1　配置組　365
14.5.2　主機　368
14.6　CSA策略　369
14.6.1　CSA策略組件　370
14.6.2　配置策略　372
14.6.3　理解規(guī)則　375
14.6.4　使用配置變量　376
14.6.5　配置應用程序類　378
14.6.6　全局事件關聯(lián)　380
14.7　代理工具　380
14.7.1　創(chuàng)建代理工具　380
14.7.2　控制代理注冊　382
14.8　發(fā)布軟件更新　383
14.8.1　可用軟件更新　383
14.8.2　定期軟件更新　383
14.9　報告　384
14.10　Profiler工具　384
14.11　小結　385
14.12　復習題　387
第15章　Cisco IDS維護與故障排除　389
15.1　軟件更新　389
15.1.1　IDS軟件的文件格式　390
15.1.2　軟件更新向導　391
15.2　升級傳感器軟件　392
15.2.1　通過CLI的軟件安裝　392
15.2.2　使用IDS設備管理器 IDM 的軟件安裝　393
15.2.3　使用IDS MC安裝軟件　395
15.2.4　降級鏡像　397
15.3　鏡像恢復　397
15.4　基本故障排除　398
15.4.1　show version　398
15.4.2　show interfaces　399
15.4.3　show interfaces command-control　400
15.4.4　show interfaces sensing　401
15.4.5　show interfaces group　401
15.4.6　show tech-support　402
15.4.7　show statistics　403
15.4.8　show events　404
15.5　小結　405
15.6　復習題　406
第16章　企業(yè)級IDS管理　409
16.1　CiscoWorks　410
16.1.1　登錄過程　410
16.1.2　授權角色　411
16.1.3　添加用戶　411
16.2　IDS傳感器管理中心 IDS MC 　412
16.2.1　體系結構概述　413
16.2.2　Windows上的安裝　415
16.2.3　Solaris上的安裝　417
16.2.4　客戶端要求　418
16.2.5　啟動IDS MC　418
16.2.6　IDS MC界面　419
16.2.7　在IDS MC中訪問在線幫助　421
16.3　IDS配置文件的部署　422
16.3.1　配置與生成　423
16.3.2　配置和批準　424
16.3.3　部署　424
16.4　小結　427
16.5　復習題　428
第17章　企業(yè)級IDS監(jiān)控和報告　431
17.1　安全監(jiān)控中心　431
17.1.1　服務器要求　432
17.1.2　客戶端要求　432
17.1.3　用戶界面　433
17.2　安全監(jiān)控器配置　435
17.2.1　添加設備　435
17.2.2　導入設備　440
17.2.3　事件通知　442
17.2.4　監(jiān)控設備　446
17.3　安全監(jiān)控器的事件查看器　450
17.3.1　移動列　450
17.3.2　刪除列或行　450
17.3.3　折疊列　451
17.3.4　設置事件展開區(qū)間　453
17.3.5　展開列　453
17.3.6　掛起和恢復處理新事件　454
17.3.7　改變顯示首選項　455
17.3.8　創(chuàng)建圖表　458
17.3.9　顯示　459
17.4　安全監(jiān)控器管理　461
17.4.1　數(shù)據(jù)庫維護　461
17.4.2　系統(tǒng)配置的設置　463
17.4.3　定義事件查看器的首選項　463
17.5　安全監(jiān)控器報告　464
17.5.1　定義報告　465
17.5.2　計劃報告　466
17.5.3　查看報告　466
17.6　小結　468
17.7　復習題　469
第18章　Cisco威脅響應　473
18.1　概要　473
18.1.1　優(yōu)點　473
18.1.2　術語和定義　475
18.1.3　調查等級　475
18.1.4　預定義策略類型　476
18.2　Cisco威脅響應 CTR 的配置要求　477
18.2.1　系統(tǒng)要求　477
18.2.2　IDS要求　478
18.2.3　防火墻設置　478
18.2.4　遷移到CiscoWorks VPN/安全管理解決方案　478
18.3　軟件安裝　478
18.3.1　訪問CTR圖形界面接口 GUI 　479
18.3.2　快速啟動　480
18.3.3　使用Cisco威脅響應　481
18.4　基本設置　484
18.4.1　定義警報源　484
18.4.2　配置安全區(qū)域　487
18.4.3　定義受保護系統(tǒng)　490
18.5　高級設置　494
18.6　警報和報告　494
18.6.1　顯示警報　494
18.6.2　過濾警報　498
18.6.3　生成報告　499
18.7　維護　501
18.7.1　自動更新　501
18.7.2　用戶　503
18.8　小結　504
18.9　復習題　505
第19章　Cisco入侵防護系統(tǒng)預計功能　509
19.1　Cisco入侵防護系統(tǒng)概述　509
19.1.1　威脅檢測的精確性　509
19.1.2　威脅調查的智能性　510
19.1.3　管理的簡便性　510
19.1.4　部署選項的靈活性　510
19.2　新的硬件平臺　510
19.2.1　4215工具傳感器　511
19.2.2　路由器網(wǎng)絡模塊　511
19.3　新的軟件功能　512
19.3.1　支持多接口　512
19.3.2　捕獲數(shù)據(jù)包　512
19.4　內嵌的 In-Line IDS處理　513
19.5　新的特征　513
19.5.1　S44特征更新　513
19.5.2　S46特征更新　514
19.6　管理　514
19.7　主機入侵防護 HIP 　515
19.8　小結　515
附錄A　Cisco入侵防護解決方案調整：案例研究　519
附錄B　復習題答案　535
術語表　551