IPS第四天

2019年8月1日 00:10 作者：金淼淋分类：IPS / Security  589

CISCO.
CCSP IPS6.2
&WOLFenmHÆ
Æz-k : IDMEYIPS,
Signatures5AIerts
: Signature Enginefrß,
Common Parametersh%,
YSignatures
+tlPsu
uinlP 第四天
第四大：整甲 s 参数，配置 Blocking
CCSP IPS 6.2 现任明教教主出品
第四天课程介绍
· 调整 IPS 参数
配置 Blocking CCSPlPS6.2
Sensor Tuning
Tuning is the process of
configuring your sensor so that
it provides the desired level of—
information to efficiently,)
monitor and protect your
network. CCSPlPS6.2
Sensor Tuning ( a )
• To tune sensors successfully, you must have a good understanding of
the following: (h T ÜJW"sensors,
— Your network and the individual devices being protected
— The protocols inspected by thesignatures you are tuning
• This knowledge enableS you to recognize normal versus abnormal
network activity. CCSPlPS6.2
Tuning Considerations
The network topology
The network address space
Which inside addresses are static and which are DHCP
The operating system running servers
Applications running n servers
The overall security policy 第四天
第一部分：漏整甲 s 参数
CCSP 《 PS6 ， 2 现任明教教主出品
Tuning phases
实施阶段
· Deployment phase
（本阶段 Sensor 主要运行默认配軍〗．
调整阶段
· Tuning phase
（本阶段要在实施阶段结束 2 个星期后开始，并且持续
数周，调整 Sensor 提高告警的准确性，减少误报。让
Sensor 更加有效的监控网络。）
维护阶段
· Maintenance phase
（本阶段主要是升级丨 PS 系统和更新 Signature ） CCSPlPS6.2
iBHSensor
— Enabling and disabling signatures
— Changing alarm severity up or down
— Changing the parameters of s' atgres
— Creating policies tooveiride event action
Action Overrides
— Creating event action filters
Action FiltersmIB&)
Global Sensor Tuning (4FJSensoriJåJY)
— IP logging
— IP fragment reassembly
— TCP stream reassembly 第四天
第一部分：漏整甲 S 参数
Add
， 0h0 “ “
CCSP 《 PS6 ， 2 现任明教教主出品
IP Logging
3
5 希里 L哔@些的源
注意：当捕获到第．一个包后 L ging 开始（引 a 的， Durationpackets/BYtes 任意．．一个条件满足 Logging 就停止 (Stop) CCSPlPS6.2
Download IP Logging
2
CISCO
3 ccsp
Event Action Rules
• Target Value Rating (T VR
OS Identifications
Event Action Overrides
•
Event Action Filters
• CCSPlPS6.2
Add Event Action Rules
k *t-Evmt Actbn RulæÄVS 第四天
第一部分：漏整甲 S 参数
CCSP 《 PS6 ， 2 现任明教教主出品
Event variable
0 灬 0 。
3
注意： Event Variable 需要使用 “ $ ” 在 Event Action Rules 策略内调用 CCSPlPS6.2
Target Value Rating (TVR)
z,
Medium
Mission Critical
No Value
You can assign target value rating to your
network assets. The target value rating is one of
the factors used to calculate the risk rating value
for each alert. 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第一部分：漏整甲 s 参数
添加 TVR
- “ 0 灬 0 ，
0
也
以直接填弓旧
地址 “ 1 / 2 ． 1 & 23 ． 3 “ CCSPlPS6.2
Calculating the Risk Rating
A risk rating is a value between O and 100
that represents a numerical quantification of the
risk associated with a particular event on the
1002
network. ( Risk Rating 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第一部分：漏整甲 S 参数
Risk Rating 测试拓扑
172 ． 16 ． 23 ． 0 / 24
． 2
R
VLAN3
、 2. 6. ． 0 心
一 VLAN5 一 4
寸 00 & 厂 9V
冖 z 之 5 > 一
XP
． 1 伽 CCSPlPS6.2
Risk Rating
sa•vice signatu—e-definition
Signatures 2004 0
RI ing
Sigo
H inu
172 16.23.
3
.3
172,16.
repeafvl
repea t
repeat I
10 -
100
• 100
ID -
= 28.75 (28
= 35
exi t
statu
nodc ire—a
rue
25
Ion 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第一部分：漏整甲 S 参数
OS Identifications
0 ，《 0
查自动学习墾
《巧仁 0
己经是丨 0 习动
羊动配胃 OS CCSPlPS6.2
OS Identifications illlJijt
signatures 2004 0
—frequency
summary-mode fire—all
Rlßping
RI Wping
RI Hoi ng
172.16.23.
72.16.
172.16.3'.
3
exi t
exit
status
enabled true
vulner 0—0s
exi
IOS
repeat 1
repeat 1
repeat 1
Zacke
addr
target
.ggr 2 '6 2W3
addr
os: relevance-wnknow'/
addr "2.16.12.1 localitFOUT
addr.
idSource=conlgued bpFios 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第一部分：漏整甲 s 参数
Risk Category CCSPlPS6.2
Network Security Health CCSPlPS6.2
Event Action Overrides
Event action overrides enable the sensor to take
actions based on a risk rating in addition to actions
assigned to a signature.
( Event Action Overrides
(90-100) Ff,
i.Åjn—+Deny Packet Inlinefitih,
Risk Rating
HIGHRISK
Actions to Add
Deny Facket Inline (Inline)
Enabled CCSPlPS6.2
æYEvent Action Overrides
CISCO CCSPlPS6.2
il)llliREvent Action Ov
repeat 1
service
signatures 200'
er I - frenuency
sunnary-node fire—all
exit
exit
status
enabled true
9 repeal I
16.34. CCSPlPS6.2
Event Action Filters
Event action filters remove actions rom an event
based on the following:
.SIGID and SubSig IQ
•Attacker and victim addresses
•Attacker and viptinki ports
•Risk rating
•OS Relevance 第四天
第一部分：漏整甲 S 参数
CCSP 《 PS6 ， 2 现任明教教主出品
Event Action Filters 实验 2 CCSPlPS6.2
Event Action Filters 3
1.R1#telnet 172.16.34.4 finger
2.R1#telnet 172.16.23.3 finger
172.16.34.4 finger
4.R1#telnet 172.16.34.4 "ccie"
match ,telnet
172.16.34.4 "ccie"
6.telnet 172.16.23.3 "ccie" verbose,log
attacker) CCSPlPS6.2
SEAP (Si Event Action Processing)
Sgut._re &ent
ca•jred
sgnture e•ent
Siwuature eve*
based cO
*nixe a#ess. RR etc.
Sguature eEM
titer
St)tract adm based
surmnry CCSPlPS6.2
General Setting
CISCO 第四天
第一部分：漏整甲 s 参数
． Learn mode
CCSP 《 PS6 ， 2 现任明教教主出品
AD Modes
虽然 AD 默认工作模式为 Detect mode, 但是最初的 24 小时也是处于 Learn 《 mode. 在这段时间
假设没有攻击存在。 AD 创建 i baseline, 也日做网络流量的 knowledge （ (B) 。
· Detect mode
一旦 KB 被创建， AD 将基
，如果发现网络流量超过了 KB 的阈值就会产生告警。
· Inactive mo e
AD 不能工作在异步路由环境，因为这种环境 AD 会认为所有连接都是半开连接，在这种情况下
我们应该把 AD 设置成为 | na ve mode CCSPlPS6.2
AD Zones
The anomaly detection feature uses the concept of zones. A
zone is a set of destination IP addresseS. By subdividing the
network into zones, you can achieve a lower false-negative
rate. There are three types of zones, each with its own
thresholds: Zonez—+ä
a,MJlWfE)
•Internal ( FkJM'fi{J)
•External ( hBßfi{J)
(4kikMJ)
•Illegal 1.
2.
3.
4.
5.
6.
CCSPlPS6.2
Add the anomaly detection policy to your virtual
sensor.
Configure the AD zones, Brotocols, and services.
Set the anomaly detection operation mode to Learn.
Let the sensor run in this mode for at least 24 hours.
Switch to detect mode.
Configure the anomaly detection parameter. 第四天
第一部分：漏整甲 s 参数
CCSP 《 PS6 ， 2 现任明教教主出品
创建 AD 策略
《 0 《 0 CCSPlPS6.2
AD O eration Settin s
CISCO CCSPlPS6.2
Zone TCP Protocol Default
CISCO 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第一部分：漏整甲 S 参数
查询 AD 学习到的 KB
（《 S （ 0
0 《以
J 0 。刀飞 0
L 鲢《《
可以对卜 B
进行作第四天
第二部分：漏整引 ocking
CCSP 《 PS6 ， 2 现任明教教主出品
Blocking 实验拓扑
IDM
200
． 10
ASA
202 ． 100 ． 1 ． 0 / 24
． 100
uts CCSPlPS6.2
: "YBlocking
Blocking Device
• Cisco routers
• PIX/ASA Security Appliances
• Firewall Services Modules
• Catalyst 650 switch CCSPlPS6.2
: "YBlocking
Attack Response Controller(ARC) Block Actions
Two events cause the ARC to initiate ablock.
• Automatic blocking: A signature configured with one
of the following block action? generates an alert:
( Signature Block)
— Request block host
— Request block connection
• Manual blocking: You manually configure the ARC to
block a specific host or network address. CCSPlPS6.2
: "NBlocking
Blocking Process
192.168.1.10
Protected
Network
O
Sensor writes ACL
172.26.26.1
O
Attacker
attacks
1 192.168.1.10.
Untrusted
172.26261
Router blocks attacker. : "YBlocking
BlockingYéYJO
CCSPlPS6.2
PIX SSH Block
Action:
IDS Block host CCSPlPS6.2
: "YBlocking
:Step 1 ClJyuSignature
signatures 60000 0
alert-severity medium
sig—fideli tv—rating 75
sig-description
sig—name block tcpstrfr•vg
sig—string-info My Sig Info
sig-comment Si Comment
exit
engine stéinötcp
event-action
regex-string
servi ce-por
exi t
exi t
exi t
block CCSPlPS6.2
: "YBlocking
:step 2 æYASA SSI-if*
ASA(config)# domain-name bjsec.com
ASA(config)# crypto key generate rsa
ssh 202.100.1.100 255.255.255.255 outside
(ftitFlDS SSHQ*)
ASA(config)# username asauser password wolfccies
ASA(config)# aaa authentication ssh console LOCAL
ASA(config)# enable password 123cisc0123
Password% 123cisc0123) 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第二部分：漏整引 ocking
实验 —:Step 3 配置 Known Host Keys
0 （ 0
0
0
注意：配置 SSH 登录必须提前获取目的 SSH 服务器的公钥！这是旧 s 对 SSH 服务器的认证 CCSPlPS6.2
: "NBlocking
:Step 4 Blocking Properties
CISCO
Whether ot nct the senscg I P M &ess can be N»cked
Lac .11
NVR_AM is Mitten eæh time ACL S
ARC 'o
Li.it
c.f 61
confsure P mat want the
Address
O r ale This onry to
Request Host anc Request CCSPlPS6.2
: "YBlocking
: Ste
5 Device Lo
123cisc0123
in Profile
CISCO : "NBlocking
:Ste 6 Blockin
3
CCSPlPS6.2
Device
CISCO
%3DES : "YBlocking
:step 7
show ssh sessions
SID Client IP
Version Mode Encrypt
0 202.100.1.100 1.5
DES
Hna
CCSPlPS6.2
tate
SessionStarted
Username
asauser : "YBlocking
CCSPlPS6.2
:Step 8 illilJijt
ASA(config)# access-list out permit@ÅJnost 202.100.1.1
host 10.1.1.1 eq telnet
ASA(config)# access-group opt n interface outside
Outside Telnet
Outside#telnet 10.1.1.1
Trying 10.1.1.1 .. Open
User Access Verification
Password:
Inside>ccie CCSPlPS6.2
: "YBlocking
:Step 9 illilJijt
ASAfifishun:
ASA(config)# show shun
shun (outside) 202.100.1.1 0.0.9.@0 0 0
interlaceGroup: vSO
vlan: 0
participants:
attacker.
addr. 202.100.1.1 localitFOUT
port 46564
target:
addr: 10.1.1.1 localitFOtJT
port: 23
os: idSource=unknown relevance—relevant
actions:
shunRequested: true 第四天
第二部分：漏整引 ocking
处 “ 10
CCSP 《 PS6 ， 2 现任明教教主出品
清除 B ℃ Ck 主几
0
CISCO 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第二部分：漏整引 ocking
Blocking 实验 —:IOS Telnet Block
触发条件：
Outside 路由器 Telnet 到 Inside, 镎亽 ccie 关键字就触发告警。
（与实验一触发条件一样
Action:
IDS Telnet 登录到 Inside 执行 Block Connection CCSPlPS6.2
: "YBlocking
:step 1 filtilDS
ASA(config)# access-list out permit tcp host
202.100.1.100 host 10.
eq 23 第四天
第二部分：漏整引 ocking
CCSP 《 PS6 ， 2 现任明教教主出品
实验二 :Step 3 配置 Login Profiles
．以刂乙
12 123
二上」 c 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第二部分：漏整引 ocking
实验二 .Step 4 配置 Blocking Devices
0 灬 0 ，一到
CISCO
嘶 0 《鰩 d 《《 · 以戔就 3t0 思
以灬 “
「． “ “ “ ；亠 “ 一 DS 转后地 hl 《可选）
《汇：一一三备录脚本
录方式
00t0 ． h00 》
， 010 ， “ 第四天
CCSP 《 PS6 ， 2 现任明教教主出品
第二部分：漏整引 ocking
实验二 :Ste
5 配置 Blockin
Interface
（巧（ 0
0 戆设备地
NYACLR 日
ACL 运用方向
二鱼」一三」 : "YBlocking
:Step 6
Insi deHshow users
User
O con O
516 vtv O
Interface
Host(s)
idle
insideuser idle
User
Insidellshow access—list
Extended IP access list iDS fa0/0 in 0
10 permit ip host 202 AGO. 1.100 any
20 permit ip any ,an9
(83
CCSPlPS6.2
die
Location
00 : 00 : 00
202.100.1.100
Idle
Peer Address
matches) : "YBlocking
CCSPlPS6.2
:step 7
Outside Telnet InsideülJii:
Outside#telnet 10.1.1.1
Trying 10.1.1.1 .. Open
User Access Verification
Username: insideuserg
Password.
Inside>en
Password.
Inside#ccie : "YBlocking
CCSPlPS6.2
i)JHost Block
20 deny tcp host 1.1.1.1 host 2.2.2.2 eq telnet : "YBlocking
n. Sta.'
CCSPlPS6.2
Network Block
CISCO
30 deny ip 3.3.3.0 0.0.0.255 any : "YBlocking
BlockingYé40
CCSPlPS6.2
:Rate-Limit
iB%Signature 2152 (ICMP Flood)
signatures 2152 0
engine flood—host
event-action
even t—act i on—set t ings
external—rate—I imi t—t e ercentage
xterna —rate— Iml t—percentage
exi t
exi t CCSPlPS6.2
: "YBlocking
:Step 1 NYOutside Telnetff
Outside(config)#line vty 0 15
Outside(config-line)#password ciscol 23
Outside(config)#enable password cisc0123J
Inside#telnet 202.100.1.1
Trying 202.100.1.1 mope
User Access Verificatiom
Password: cisc0123
Outside>en
Password: cisc0123
Outside#q 第四天
第二部分 : 整引。 cking
CCS 円 PS6.2 現任明教教主出品
実驗三 :Step 2 配置 Login Profiles
0 、 81 : 3
0 、 81 : 3
L 上」一上」 CCSPlPS6.2
: "NBlocking
:Ste
3 æYBlockin
an-ice
Devices
CISCO 第四天
CCS 円 PS6.2 現任明教教主出品
第二部分 : 整引。 cking
美驗三 :Ste
4 配置 Blockin Interface
止市 it ー 0 ー
離設地阯
置限速的接ロ
速込用方向
ーーートー 1 “ ト載し (o い一・ ■ 心 : "YBlocking
CCSPlPS6.2
:step 5
Inside Ping
Inside#ping 202.100.1.1 re 1000000
OutsidefiifiJlDSÅdftfr4jS
ip access-list extended IDS_RL_ACL_icmp-xxBx-8-1_1
permit icmp any host202.10021.1 echo
class-map match-any
match access-group name IDS RL ACL_icmp-xxBx-8-1_1
policy-map
class
police cir percent 1
interface FastEthernetO/O
service-policy input IDS_RL POLICY_MAP_O CCSPlPS6.2
: NNBlocking
:Step 7 GifiJEvent
for
dSÂlert gventld=t246061079896066t42
appName. sensoN»p
387
time 23.2009 081904 UTC
Subsigld: O
marsCategory Do SAet*otWICHP
participantî
addr loc
addr 2021001" localitFOUT
OS :
actions:
riSkRatingValue: 85
65
geO_O
protocol:
atedz2000010t 第四天
第二部分：漏整引 ocking
CCSP 《 PS6 ， 2 现任明教教主出品
实验三 .Step 8 查询 Rate-limit
？ 02
如 [ 。 “ 老 el
0 灬一一《
。。止 rate 1 飞 “ tun 《． e 。
CISCO
y 生 10f衡0衲未@