IDS系统(6)

入侵监测系统软件

突出的IDS厂商包括Axent，ISS和Platinum Technology。在你选择产品时，请充分考虑哪一款产品更适合你的公司。有些产品具有优秀的图形界面，很容易使用。其它产品可能更具有扩展性。下列是部分厂商列表：

·Axent Intruder Alert(http://www.axent.com/)Cisco NetRanger(http://www.cisco.com/)

·ISS RealSecure(http://www.iss.net/)

·Computer Associates’ eTrust Intrusion Detection(formerly SessionWall 3)

·Computer Misuse Detection System(http://www.cmds.net/)

·Network Flight Recorder(http://www.nfr.com)

·Network Associates’ CyberCop Monitor(http://www.networkassociates.com)

Intruder Alert

Intruder Alert(ITA)是使用管理者/代理结构的功能强大的产品。管理者和代理可以运行于UNIX，NT和Novell网络中。ITA的第一个优点是它可以在许多网络环境中应用。由于公司很少只应用单一厂商的产品，所以你选择的IDS应该可以适用于尽可能多的厂商的产品。

ITA的第二个优点是其分布式的管理结构。ITA软件包由两个服务和三个应用程序组成：

·ITA Manager（充当服务，守护进程或Novell的可装载的模块）

·ITA Agent（充当服务，守护进程或Novell的可装载的模块）

·ITA Admin（用来配置代理的应用程序）

·ITA View（用于查询代理的程序）

·ITA Setup（从管理者域中添加和删除代理的程序）

ITA和防火墙

防火墙会产生其它的连接问题。如果你试图连接处于防火墙保护下的代理，通常会因为防火墙只允许某些流量通过而失败。为了解决上述问题，请为该连接定义防火墙规则。

定义策略和建立规则

一旦你定义了策略，便可以开始使用它。你可以观看在Policy Library tree下的策略。然而，这个列表只是提供了潜在的策略。如果你希望更改工作中的代理，则点击活动的管理者图标然后是从Policy Library tree起源的策略。

ITA View分三次列出一些或全部的策略。不要对这种重复感到迷惑：程序列出了活动的策略和任何你可能使用策略，还列出至少两个域的策略：缺省的所有代理和缺省的NT。第三个tree列出了你可能增添到缺省域中的策略。当然，你可以重命名这些缺省的域，也可以增加新的域。第四个tree列出了事先定义好的策略，你可以剪切并粘贴到策略库中，并激活它们。在观看Active Policies tree时你无法看到特殊的规则短语和条款。你可以在Policies tree的管理者名称（如Student10）下看到这些信息。

规则的建立

同eTrust Intrusion Detection一样，ITA的规则也包含一些子元素。这些对确定ITA监测哪些网络和主机以及采取哪些行为有所帮助。所有ITA的策略都包含三个部分：选择、忽略和动作。

如果你希望确定一种特别的活动，例如NetBus连接或Land攻击，则 Select元素来定义。ITA针对你定义好的规则来实施特殊的行为。一旦你使用一个Select段并定义了事件，ITA就知道这个事件了。

然而，ITA并不知道针对这个事件采取什么行动。Ignore段就是用来满足这个需要的。ITA将忽略任何你放在Ignore段中的条款，即使你已经定义过了。在Action段中的条款将决定ITA对你所定义的事件采取什么行为。如果你把相同的事件同时置于Ignore和Action段中的话，ITA不会对该事件采取行动。通常，Ignore段被用来处理误报。ITA规则使用Boolean逻辑。如果Select段被激活或为真，ITA将查看任何的Ignore和Action段。例如，在Action段中规定ITA将事件记录到日志文件中，而且Ignore段中没有覆盖这条逻辑的话，ITA将采用在Action段中定义的规则。

对规则排序

你可以决定每条规则的重要性顺序。每条规则可以具有0到100的值。0到33的值表示这条规则是个警告，34到66表示为中等程度的安全问题，而67到100表示已经发生了严重的安全问题。ITA并不会自己将这些新的规则进行排序，你需要投入事件正确地对它们排列优先级顺序。

Indirect, Filter和Disable三个复选框对定义规则来说并不是必须的。这些只是ITA在应用规则时进行附加控制的。Indirect选项只允许当其它ITA规则引用时才运行，Filter选项将被其它规则检测到的事件删除掉，Disable在ITA检测时删除掉整个的规则。

进行查询

你可以使用ITA View进行查询。从ITA View的主界面，单击New按钮你可以定义并进行查询。Define New Filter对话框允许你连接管理者，然后直接从管理者向代理进行查询。从这里，你可以存储或装入事先定义好的能够帮助你快速了解某台主机安全状况的查询（例如filters）

由于这个程序独立于ITA Admin运行，你必须重新登录管理者。这项要求加强了安全性，而且保证了一个程序的崩溃并不会影响到管理和查询代理。

在连接好代理后，你可以开始进行查询。你的查询受限于你在ITA View中建立和激活的规则。你还可以根据优先级来进行查询。或者使用查询文本框，或者从管理者对象窗口向查询列表窗口拖拽查询项，然后选择Go。在查询对话框中的内容将覆盖在查询列表窗口的输入内容。

购买IDS注意事项

在选择产品时，请注意下列问题，见表

有些IDS厂商不希望泄漏他们的产品的细节。然而，你要弄清楚是该公司不愿意泄漏这些重要信息，还是根本就没搞懂这些产品。

建立基线是你在审计过程中应当采取的第一步。在建立基线时，先在网络活动的峰值期间运行IDS一段很短的时间。下面的连续将告诉你更多的关于整个网络活动的情况。掌握这些信息是唯一能够确定你所运行的网络是否“正常”的标准。确定在员工工作期间发生了哪种类型的活动。这些情况有助于你捕获那些有工业间谍或其它安全伤害的雇员行为。另外可以在晚间运行IDS，因为这是攻击者从外界进行攻击的最常见时段。