培训讲义天阗6.0入侵检测系统入侵检测系统原理天阗6.0入侵检测与管理.ppt

版本：V2.0 名称：天阗6.0入侵检测系统使用及维护 使用范围：培训讲师、技术工程师 制作人：张文静 制作日期：2004.10. 更新人：张文静 更新日期：2005.3.8 查看事件：了解网络的状况，是否发生了安全事件。报警信息显示在显示中心。 添加树形窗口：如果事件很多时，想针对某些属性进行查看，就可以添加窗口，例如想查看某个增加信息的可显示性 树型窗口适合做验证,招标要求能够自动验证事件成功与失败 策略设置最好不要设置为无效（一次事件） 为了根据网络安全的需要；不断加大事件库中的内容；根据事件生成策略集；把策略集下发到各个引擎上使系统具有更好的性能。 注意：升级完毕后为了使引擎的事件库与策略一致，用户需要将新增事件集和引擎上正在使用的事件集进行合并操作，然后重新下发策略。 不报警还可能是引擎进程的问题 天阗6.0日志分析 为什么要进行日志分析 如何进行日志分析 为什么要进行日志分析 不是每个事件都是入侵事件 不是每个事件都会产生攻击效果 了解网络安全状况 方便管理网络 使领导对报表一目了然 天阗6.0日志分析 为什么要进行日志分析 如何进行日志分析 日志分析方法 总体分析 管理统计分析报表查看统计信息 初步确定敏感事件或敏感IP地址 具体分析 利用过滤条件生成多角度、多层面详细报表，进一步确认敏感信息 具体分析事件确认攻击是否发生、产生危害和源地址 日志分析方法 总结现阶段安全状况 分析事件的分布，找出重点威胁所在 分析源地址的分布，找出重点威胁来源 建议改进方案 调整安全策略 调整网络部署 增加安全设备 加强全员安全教育 完善安全管理制度 天阗6.0日志分析 天阗6.0常见问题处理 天阗6.0常见问题处理 探测引擎端口： TCP 20001：此端口是用来传输数据的，如策略/文件的下发、日志的上传；此端口是用来和控制中心建立连接及认证的。 方向为控制中心到探测引擎的主动连接。 控制中心： TCP 50000：此端口是用来向上级控制中心或各组件传输数据的，如策略/文件的下发、日志的上传、显示中心和上级控制中心建立连接及进行认证。 方向为各组件和子控制中心到总控制中心的主动连接。 天阗6.0常见问题处理 如何确认天阗安装完全 控制中心，检查snmp是否正确安装 添加组件，看下拉列表。 打开管理报表，看水晶报表 打开服务，查看datatransfer（数据传输）、venusautostorage（报表） 天阗6.0常见问题处理 探测引擎与控制中心连接不上 网络物理连接是否正常； 网络层是否可以进行通信； 是否有不正常的关机行为发生； 是否更换了控制台或ＩＰ地址； 两者是否同在一个网络、若不则查看网关； 控制台参数设置是否有问题； 防火墙是否进行了阻断； 认证是否发生了问题； 使用串口查看引擎设置参数是否正确； 使用维护工具查看引擎工作是否正常； 初始化引擎； 天阗6.0常见问题处理 控制中心无报警信息 控制台和引擎连接是不是正常； 网络上是不是有数据通信； 探测引擎是否和交换机或集线器连接； 交换机是否进行过镜像配置，配置是否进行过保存； 防火墙是否进行了阻断； 天阗6.0常见问题处理 如何确定控制中心与探测引擎通信正常 在控制中心使用ping 探测引擎IP命令后，使用 arp –a 命令。若出现探测引擎IP 并其MAC地址，则说明控制中心与探测引擎通信没问题。 若控制中心与探测引擎中间有路由器存在，可以使用以下命令：telnet 探测引擎IP 22。（需要先在探测引擎打开该端口） 。若连接不被切断有信息返回说明控制中心与探测引擎通信没问题。 天阗6.0常见问题处理 使用超级终端配置探测引擎时，无任何信息显示 检查串口线连接是否正确。 检查超级终端参数配置是否正确。 探测引擎是否加电。 确认串口线是否有问题。 使用超级终端配置探测引擎时，显示的信息不正常或没有输入口令的提示 超级终端参数配置不正确。是否沿用了5.5的设置。 天阗6.0入侵检测系统 入侵检测系统原理 天阗6.0入侵检测与管理系统功能 天阗6.0入侵检测系统的安装配置 天阗6.0入侵检测系统的使用与日常操作 天阗6.0策略优化,日志维护与常见问题 Any questions? 谢谢大家 E-mail: train@ 这是在现实生活中,摄象机的作用 形象地说，它就是网络摄象机，能够捕获并记录网络上的所有数据，同时它也是智能摄象机，能够分析网络数据并提炼出可疑的、异常的网络数据，它还是X光摄象机，能够穿透一些巧妙的伪装，抓住实际的内容。它还不仅仅只是摄象机，还包括保安员的摄象机. 这是一个纯产品介绍的幻灯片 强调4 个组件 网络探测引擎：采用专用硬件设备通过旁路方式接入检测网络，全面侦听网上信息流，动态监视网络上流过的所有