飞塔-部署IPS.ppt

IPS Course 201 v4.0 IPS介绍 FortiGate设备将可疑流量进行日志记录，并给系统管理员发送报警邮件。您可以对可疑数据包或会话采取日志记录、允许通过、丢弃会话、重置会话或清除动作。调整一些IPS异常阀值与保护网络中的正常流量配合操作。您还可以创建FortiGate IPS用户定义特征应对不同的网络环境。 FortiGate IPS入侵检测功能是将网络流量模式与攻击特征库中的特征相匹配。攻击特征检测保护您的网络不受到已知的攻击造成损失。Fortinet公司的FortiProtect构架确保新的网络威胁能够被迅速识别并发展成为新的攻击特征。 FortiGuard服务是面向用户提供的资源与服务，其中包括通过FortiProtect Distribution Network（FDN）自动获取病毒以及IPS引擎与定义。FortiGuard中心还提供FortiGuard病毒与攻击信息列表以及FortiGuard公告牌。访问Fortinet公司网站的知识库板块查看详细信息以及链接到FortiGuard公告牌。 启用IPS(1)——查看预定义的特征值 特征值的严重级别 攻击对象 协议 操作系统 涉及的应用 缺省的动作 启用IPS(1)——IPS解码器 名称 特征组的名称。 端口 解码器监控的端口。 IPS解码器也是通过FDN网络进行升级的 启用IPS(2) 定义一个IPS传感器，该传感器是将特征值组合起来供保护内容表进行调用 启用IPS(3) ——设置过滤器 根据分类来确定调用那些特征值 为所指定的特征值统一设置处理方式和日志 启用IPS(3)——设置跳过 选择特征值 启用该特征值 动作 日志 记录数据包 哪些IP不检测 启用IPS(3)——保护内容表与防火墙策略 在保护内容表中调用传感器 在防火墙策略里调用 IPS Sensor中的隔离 IPS Override中的隔离 IPS隔离 基于接口的DoS策略 异常——DoS 异常可以被没有期望到的数据流量所触发 当流量以不正常的速度发送时，就可以看到异常的现象了 可以采用动作来禁止IPS异常流量通过防火墙 异常不是与防火墙策略相关的 基于接口的DoS策略 基于接口的DoS策略 DoS sensor可以应用到特定的接口 用于区分流量方向等 不仅仅通过IP地址判断 CLI设置 部署经验 最好的办法是在开始的时候把IPS作为检测用途 调整阈值和操作来满足网络流量的需求 关闭不要的IPS特征值和异常 记录大量的日志 分析日志信息 与网络活动的相关性? 单一的事件还是广泛传播的？ 实验：会话的控制 某用户希望能够在千兆的流量环境下，通过会话方式限制流量： HTTP 的会话限制在30个 FTP的会话限制在10个 TCP的会话限制在50个 UDP的会话限制在40个 网络内的共用的IP地址不限制（）以上规则 实验：会话的控制 实验 监控网络中的所有攻击 某客户希望部署IPS以监控网络中的攻击，在记录几个月后，通过分析日志再决定开启何种防御手段。 特点： 基于接口部署 可以指定服务 config firewall interface-policy edit 1 set interface internal set srcaddr all set dstaddr all set service ANY set ips-DoS-status enable set ips-DoS pass_and_log_all next edit 2 set interface external set srcaddr all set dstaddr all set service ICMP_ANY TCP UDP set ips-DoS-status enable set ips-DoS block_flood next . . . end * 入侵防护特征值 跳过优先级别是高于过滤器的，也就是说如果在过滤器和跳过中定义了同样的特征值的处理方式，则以跳过为准