目 录 5
第一部分网络安全介绍 5
第1章对网络安全的需要 5
1.1安全威胁 6
1.1.1无组织的威胁 7
1.1.2有组织的威胁 8
1.1.3外部威胁 8
1.2安全概念 9
1.1.4 内部威胁 9
1.3攻击的各个阶段 10
1.3.1设定攻击目标 10
1.3.2攻击前的侦察 10
1.3.3正式攻击 12
1.4攻击方法 12
1.5.1 网络资源 13
1.5网络攻击点 13
1.4.4耐心（慢）攻击 13
1.4.3 外科手术式打击（闪电攻击） 13
1.4.2系统性攻击 13
1.4.1 即兴（随机）攻击 13
1.5.2网络协议 15
1.6黑客工具与技术 16
1.6.1使用侦察工具 16
1.6.2攻击网络中的薄弱点 17
1.6.3实施拒绝服务攻击技术 19
1.6.4小结 23
1.7复习题 24
第2章Cisco安全轮图 27
2.1保护网络安全 28
2.1.1 加强认证 28
2.1.2建立安全边界 30
2.1.3 通过虚拟专用网络提供私密性 32
2.1.4漏洞修补 32
2.2.1 人工监视 34
2.2监视网络安全 34
2.2.2 自动监视 35
2.3检验网络安全 35
2.3.1 使用安全扫描器 35
2.3.2进行专业安全评估 36
2.4提升网络安全 36
2.4.1 留意安全新闻 36
2.4.4核验安全配置 37
2.4.3评估安全探测器的置放 37
2.4.2定期检查配置文件 37
2.5 小结 38
2.6复习题 39
第二部分入侵检测与CSIDS环境 43
第3章入侵检测系统 43
3.1 IDS触发器 44
3.1.1异常检测 44
3.1.2滥用检测 47
3.2.1基于主机的IDS 49
3.2 IDS监测位置 49
3.2.2基于网络的IDS 51
3.3混合特性 53
3.4小结 53
3.5复习题 54
第4章Cisco安全IDS概述 57
4.1系统功能和特性 58
4.2探测器平台和模块 61
4.2.1 4200系列探测器 62
4.2.2 Catalyst6000系列交换器的IDS模块 63
4.3控制器平台 64
4.3.1 控制器平台特性 64
4.3.2作为控制器平台的Cisco安全策略管理器 65
4.3.3 Cisco安全入侵检测控制器 66
4.3.4控制器平台特性比较 66
4.4 Cisco Secure IDS和邮局（PostOffice）协议 67
4.4.1 PostOffice协议 67
4.4.2 PostOffice特性 68
4.4.3 PostOffice标识符 70
4.4.4 PostOffice寻址方案 71
4.5 小结 72
4.6复习题 72
第三部分CSIDS安装 77
第5章Cisco安全IDS探测器部署 77
5.1 部署准备：分析网络拓扑结构 78
5.1.1 网络入口点 78
5.1.2关键网络组件 79
5.1.3远程网络 80
5.1.4网络大小和复杂度 81
5.1.5考虑安全策略限制 81
5.2进行部署：探测器安装考虑 82
5.2.1基于网络功能的探测器布放 82
5.2.2安装配置 83
5.4复习题 88
5.3小结 88
第6章Cisco安全策略管理器的安装 91
6.1 CSPM概述 91
6.1.1软件特性集 92
6.1.2部署配置 93
6.2 CSPM安装要求 94
6.2.1软件要求 94
6.2.2硬件要求 95
6.3 CSPM安装设置及选项 96
6.2.3许可证选项 96
6.3.1完成Cisco安全通信部署工作单 97
6.3.2搭建一台Windows NT4.0主机 97
6.3.3定义安装设置 97
6.3.4验证安装设置 101
6.3.5任选的TechSmith屏幕捕捉器编解码器安装 101
6.3.6 PostOffice安装 102
6.3.7完成安装程序 104
6.4.1 CSPM登录 105
6.4启动CSPM 105
6.4.2入门视频资料 106
6.5小结 108
6.6复习题 109
第7章 在CSPM内安装4200系列探测器 111
7.1 了解探测器设备 111
7.1.1 IDS-4230 112
7.1.2 IDS-4210 113
7.1.3管理访问 114
7.1.4登录帐号 115
7.2配置探测器的引导程序 116
7.2.1 sysconfig-sensor 116
7.2.2退出sysconfig-sensor 121
7.3 向CSPM控制器中添加一个探测器 121
7.3.1 启动增加探测器向导 121
7.3.2输入探测器的PostOffice标识参数 122
7.3.4选择探测器版本和特征模板 123
7.3.3输入探测器对象的缺省网关 123
7.3.5检验探测器的设置 124
7.3.6将CSPM主机加入拓扑图 125
7.3.7选择策略分发点 126
7.3.8保存并更新设置 127
7.3.9将配置文件推入探测器中 127
7.3.10错误检查 128
7.4小结 129
7.5复习题 130
第8章 处理CSPM中的Cisco安全IDS警报 135
第四部分报警管理和入侵检测特征 135
8.1管理警报 136
8.1.1打开事件查看器 136
8.1.2警报域 137
8.1.3主机名解析 141
8.1.4查看上下文缓存 142
8.1.5打开NSDB 144
8.1.6理解漏洞特征信息 145
8.1.7理解相关的弱点信息 148
8.1.8删除警报 150
8.1.9挂起和恢复警报显示 151
8.2客户化事件查看器 152
8.2.1展开选中警报条目的一栏 153
8.2.2展开选中警报条目的所有栏目 153
8.2.3收缩选中警报条目的一栏 154
8.2.4收缩当前选中的栏目 154
8.2.5 改变警报扩展边界 155
8.2.6移动栏目 156
8.2.7删除栏目 156
8.2.8选择需显示的栏目 157
8.3优选设置 158
8.3.1操作 158
8.3.2单元 159
8.3.3状态事件 160
8.3.4边界 161
8.4连接状态窗格 162
8.3.5事件严重程度指示器 162
8.3.6严重程度映射 162
8.4.1 连接状态 163
8.4.2服务状态 164
8.4.3服务版本 165
8.4.4统计 166
8.4.5统计复位 167
8.5 小结 168
8.6复习题 170
第9章理解Cisco安全IDS特征 173
9.1 特征定义 173
9.1.1特征实施 174
9.1.2特征结构 174
9.2特征类 175
9.2.1侦察特征 175
9.2.4拒绝服务特征 176
9.3特征种类 176
9.2.3访问特征 176
9.2.2信息特征 176
9.3.1 通用 177
9.3.2连接 177
9.3.3字符串 177
9.3.4访问控制列表 178
9.4特征紧急度 178
9.4.3高紧急度（警报级别5） 179
9.4.2中紧急度（警报级别3-4） 179
9.4.1低紧急度（警报级别1-2） 179
9.5 小结 180
9.6复习题 181
第10章特征序列 183
10.1 IP特征（1000系列） 183
10.1.1 IP选项 184
10.1.2 IP碎片 187
10.1.3坏IP包 191
10.2.1 ICMP查询消息 192
10.2 ICMP特征（2000系列） 192
10.2.2 ICMP错误消息 195
10.2.3 Ping扫描 197
10.2.4 ICMP攻击 199
10.3 TCP特征（3000系列） 200
10.3.1 TCP数据流记录（特征3000） 201
10.3.2 TCP端口扫描 202
10.3.3 TCP主机扫描 207
10.3.4异常TCP包 210
10.3.5邮件攻击 212
10.3.6 FTP攻击 215
10.3.7传统Cisco Secure IDS Web攻击 217
10.3.8 NetBIOS攻击 226
10.3.9 SYN Flood和TCP劫持攻击 230
10.3.10 TCP应用漏洞 231
10.4 UDP特征（4000系列） 236
10.4.1 UDP数据流记录（特征4000） 236
10.4.2 UDP端口扫描 237
10.4.3 UDP攻击 238
10.4.4 UDP应用 239
10.5 Web/HTTP特征（5000系列） 241
10.6交叉协议特征（6000系列） 262
10.6.1 SATAN攻击 262
10.6.2 DNS攻击 263
10.6.3 RPC服务攻击 266
10.6.4Ident攻击 274
10.6.5认证失败 275
10.6.6 Loki攻击 277
10.6.7分布式拒绝服务攻击 278
10.7串匹配特征（8000系列） 280
10.7.1客户字符串匹配 281
10.7.2 TCP应用 281
10.8违反策略特征（10000系列） 283
10.9小结 283
10.10复习题 284
11.1 CSPM探测器配置屏幕 289
第11章CSPM内的探测器配置 289
第五部分CSIDS配置 289
11.1.1属性配置屏幕 290
11.1.2 4200系列探测配置屏幕 292
11.1.3IDSM探测配置屏幕 294
11.1.4拦阻配置屏幕 297
11.1.5过滤配置屏幕 300
11.1.6日志配置屏幕 301
11.1.7高级配置屏幕 302
11.1.8命令屏幕 304
11.1.9控制屏幕 305
11.1.10策略分发点 306
11.2修改基本配置 306
11.2.1标识参数 307
11.2.2内部网络 308
11.2.3包捕捉设备 309
11.3日志文件配置 309
11.3.1让探测器产生日志文件 309
11.3.2 配置日志文件自动发送 310
11.4修改高级配置 311
11.4.1 IP分片重组 311
11.4.2理解TCP会话重组 312
11.4.3配置TCP会话重组 312
11.4.4附加目的地 313
11.5为探测器载入新配置 313
11.6 小结 314
11.5.3检查探测器配置更新 314
11.5.2更新探测器配置 314
11.5.1存储和更新CSPM配置 314
11.7复习题 315
第12章特征和入侵检测配置 317
12.1基本特征配置 318
12.1.1通用栏 318
12.1.2特征栏 319
12.1.3查看特征设置 319
12.1.4连接特征类型和端口配置 322
12.1.5字符串特征配置 324
12.2特征模板 325
12.2.1什么是特征模板 325
12.2.2产生新特征模板 326
12.2.3指定探测器使用的特征模板 327
12.2.4对探测器应用特征模板 328
12.3特征过滤 328
12.3.1 设置送往控制器的最低级别 329
12.3.2简单特征过滤 329
12.3.3高级特征过滤 331
12.4高级特征配置 333
12.4.1特征调整 334
12.4.2端口映射 335
12.5创建ACL特征 336
12.5.1创建ACL特征 336
12.5.2定义SYSLOG源 337
12.6小结 338
12.7复习题 338
第13章IP拦阻配置 341
13.1 理解ACL 342
13.1.1设备管理 343
13.1.2设备管理要求 343
13.1.3 IP拦阻指南 343
13.1.4路由器上的IP拦阻 345
13.1.5主拦阻探测器 346
13.2 ACL放置考虑 347
13.2.1 在哪里应用ACL 348
13.2.2 在外部接口与内部接口上应用ACL的比较 349
13.3为IP拦阻配置探测器 349
13.3.1 设置拦阻设备的属性 349
13.3.2 设置从不拦阻IP地址 352
13.3.3通过主拦阻探测器进行拦阻 352
13.3.4查看被拦阻的IP地址列表 353
13.3.5查看被管理的网络设备 355
13.3.6手工拦阻一个主机或网络 355
13.3.7去掉一个被拦阻的主机或网络 356
13.4小结 357
13.5复习题 358
第14章Catalyst 6000 IDS模块配置 361
14.1 了解Catalyst 6000 IDS模块 361
14.1.1关键特性 362
14.1.2特性比较 362
14.1.3 CatalystIDS特性要求 363
14.2.1端口 364
14.2 IDSM端口和数据流 364
14.1.4 MSFC与独立路由器比较 364
14.2.2数据流 365
14.3捕捉数据流 366
14.3.1 SPAN特性 366
14.3.2 VACL特性 367
14.4配置任务 368
14.4.1初试化IDSM 368
14.4.2为ID分析配置交换机 370
14.4.3检验IDSM配置 375
14.4.4将IDSM加入到CSPM 378
14.5更新IDSM组件 379
14.5.1磁盘结构 379
14.5.2更新IDSM映像 380
14.6故障排除 382
14.6.1 IDSM状态LED 382
14.6.2 Catalyst交换机命令 383
14.6.3 IDSM命令 384
14.7小结 385
14.8复习题 386
第六部分Cisco安全入侵检测控制器（CSIDD） 391
第15章Cisco安全ID控制器的安装 391
15.1控制器软件安装 391
15.1.1运行安装脚本 392
15.1.2设置netrangr密码 392
15.1.3配置控制器标识参数 393
15.1.5重启系统 394
15.1.4建立初始配置文件 394
15.2启动控制器 395
15.2.1检验后台守护进程是否在运行 395
15.2.2启动HP OpenView 396
15.2.3初始化HP OpenView NNM环境 396
15.2.4 HP OpenView导航按钮 397
15.3探测器配置 398
15.3.1运行sysconfig-sensor 398
15.3.2增加一个新初始化后的探测器 399
15.3.3完成探测器配置 404
15.4小结 404
15.5复习题 405
第16章配置文件管理工具（nrConfigure） 407
16.1 使用nrConfigure 408
16.1.1如何使用nrConfigure 408
16.1.2如何启动nrConfigure 408
16.1.3 nrConfigure屏幕特性 409
16.1.4设置HTML浏览器 409
16.1.5隐藏状态行 410
16.2增加主机向导中的主机类型 411
16.2.1新安装的探测器 411
16.2.2用于警报转发的从控制器 411
16.2.3先前配置的探测器 412
16.3连接至先前配置的探测器 412
16.3.1“Add Host Initial”窗口 412
16.3.2输入探测器标识设置 413
16.3.4“Add Host Wizard Finished”窗口 414
16.3.3选择主机类型 414
16.4验证探测器已被加入到nrConfigure中 415
16.5验证探测器已被加入到Cisco安全IDS子图 415
16.6删除探测器 415
16.7删除探测器图标 416
16.8使用配置库 417
16.8.1打开配置库 417
16.8.2使用配置库 417
16.9 小结 420
16.8.3关闭配置库 420
16.10复习题 421
第17章Cisco IOS防火墙入侵检测系统 423
17.1 Cisco IOS防火墙IDS和入侵检测 424
17.1.1企业用户 425
17.1.2服务提供商 425
17.1.3中小企业 425
17.2支持的路由器平台 425
17.3部署问题 426
17.3.1 内存使用和性能影响 426
17.3.2特征覆盖范围 426
17.3.3特征更新 426
17.4特征 426
17.4.1特征实施 427
17.4.2响应选项 427
17.5配置任务 427
17.5.1在路由器上初始化Cisco安全IOS防火墙IDS 428
17.5.2配置、关闭或排除特征 432
17.5.3建立和应用审计规则 435
17.5.4核验配置 438
17.5.5将Cisco IOS防火墙IDS加入到控制器配置中 441
17.6小结 443
17.7复习题 444
第七部分Cisco安全IDS的新版本 449
第18章计划的Cisco安全IDS增强特性 449
18.1版本3.0 450
18.1.1安装和配置增强 450
18.1.2特征增强 451
18.1.3规避增强 453
18.2版本4.0 454
18.2.1 安装和配置增强 454
18.2.2特征增强 456
18.2.3拦阻增强 457
18.3.1探测器设备 458
18.3.2 Catalyst 6000家族IDSM 458
18.3探测器增强 458
18.3.3吉比特IDSM 459
18.3.4探测器设备管理器（SDM） 460
18.4 Cisco安全IDS用户定义特征 460
18.4.1特征引擎 460
18.4.2主特征参数 461
18.4.3引擎特别参数 462
18.4.4用户定义特征示例 462
18.5小结 464
第八部分附录 469
附录A配置入侵检测： 案例研究 469
A.1 使用Cisco IOS FirewallIDS 469
A.1.1 限制 470
A.1.2所需设备 470
A.1.3网络框图 470
A.1.4通用设置 470
A.1.5 常见问题和解决技巧 473
A.2.1 限制 478
A.2发送系统日志数据至Cisco Secure IDS探测器 478
A.2.2所需设备 479
A.2.3 网络框图 479
A.2.4通用设置 479
A.2.5常见问题和解决技巧 482
A.3用Cisco Secure IDS探测器管理路由器 483
A.3.1 事先应考虑的限制 484
A.3.2所需设备 484
A.3.3 网络框图 484
A.3.4通用设置 485
A.3.5 常见问题和解决技巧 490
A.4 Cisco Secure IDS分层控制器体系 492
A.4.1报警延迟限制 493
A.4.2所需设备 493
A.4.3 网络框图 493
A.4.4通用设置 493
A.4.5 常见问题和解决技巧 496
A.5在同一底盘上建立多个IDSM 499
A.5.1 每个IDSM的100-Mbit/s带宽限制 499
A.5.2所需设备 499
A.5.3 网络框图 499
A.5.4 VACL定义 500
A.5.5通用设置 500
附录B Cisco Secure IDS体系结构 507
B.1 Cisco Secure IDS软件体系结构 507
B.1.1探测器体系结构 508
B.1.2 CSPM控制器体系结构 509
B.2 Cisco Secure IDS通信 512
B.3 Cisco Secure IDS命令 512
B.3.1 nrstart 512
B.3.2 nrstop 513
B.3.3 nrconns 513
B.3.4 nrstatus 513
B.4 Cisco Secure IDS目录结构 514
B.3.5 nrvers 514
B.4.1 Cisco Secure IDS安装目录 515
B.4.2 bin目录 515
B.4.3 etc目录 515
B.4.4 var目录 516
B.5 Cisco Secure IDS配置文件 516
B.5.1什么是配置文件？ 517
B.5.2入侵检测 517
B.5.3设备管理和拦阻令牌 523
B.5.4控制器和警报转发 524
B.5.5 日志和日志设置 525
B.5.6 FTP传送和FTP传送令牌 526
B.6 通信 526
B.6.1 故障管理 526
B.6.2 Cisco Secure IDS组织 528
B.6.3 Cisco Secure IDS主机 528
B.6.4 Cisco Secure IDS路由 528
B.6.5 Cisco Secure IDS目的地 529
B.6.6 Cisco Secure IDS授权主机 530
B.6.7 Cisco Secure IDS服务 530
B.6.8 Cisco Secure IDS应用 531
附录C Cisco Secure IDS Director基本故障排除 533
C.1控制器问题 533
C.1.1控制器不运行 533
C.1.2控制器运行 536
C.2.2探测器连接问题 537
C.2.1 启动和停止Cisco安全守护进程的问题 537
C.2探测器问题 537
C.3 Oracle数据库问题 538
C.3.1不能确定Oracle是否已安装 538
C.3.2不能确定Oracle是否在运行 538
C.3.3 Oracle安装程序不安装Oracle 539
C.3.4找不到SQLPlus或SQLDR 539
C.3.5 SQLPlus不运行 539
C.3.6 Oracle不可用 539
C.3.8 Oracle认证连接失败 540
C.3.7 LD LIBRARY_PATH环境变量没有正确设置 540
C.3.9 Oracle返回用户／密码错误信息 541
C.4数据管理包问题 541
C.4.1 SQL查询语句不显示数据 541
C.4.2 SQL查询语句不正确显示数据 541
C.4.3未发送邮件通知 541
C.5.2 HP-UX性能问题 542
C.5.1 nrConfigure启动问题 542
C.5 nrConfigure问题 542
C.4.4数据库装载程序失败 542
C.6在线帮助和NSDB 543
附录D Cisco Secure IDS 日志文件 545
D.1 日志级别 545
D.2 日志文件命名习惯 546
D.2.1 IP日志文件 546
D.2.2 Cisco Secure IDS日志文件 546
D.4 关闭活动文件 547
D.3 日志文件位置 547
D.2.3服务错误日志文件 547
D.5归档日志文件 548
D.6事件记录域 548
D.6.1警报事件记录 548
D.6.2命令日志记录域 550
附录E高级技巧 553
E.1 改正不能嗅探的探测器 553
E.1.2检查packetd进程 554
E.1.1检验攻击情形的紧急程度 554
E.1.3验证监视接口是否真能观测到网络通信流 555
E.1.4检查日志文件以判断事件是否被探测到 556
E.1.5确认控制器和探测器能相互通信 556
E.1.6检查探测器的／usr/nr/etc/destinations文件以确认smid是一个定义了的目的地 557
E.1.7检查smid是否在控制器上运行着 558
E.1.8在控制器和探测器上检查错误日志 559
E.1.9呼叫Cisco技术帮助中心 560
E.2.2电缆要求 561
E.2.1 root登录限制 561
E.2 使用探测器串口作为控制台访问端口 561
E.2.3连接笔记本电脑至探测器 562
E.2.4配置超级终端（HyperTerminal）或其他通信软件包 562
E.3排除伪警报 562
E.3.1 CSPM特征过滤 562
E.3.2 Cisco Secure ID控制器特征调整 563
附录F Cisco Secure IDS特征结构和实施 567
附录G Cisco Secure IDS特征和推荐的报警级别 577
G.1通用特征 578
G.2连接特征 585
G.3字符串特征 586
G.4 ACL特征 587
附录H CiscoIOS防火墙IDS特征列表 589
H.1信息特征 590
H.2攻击特征 591
附录I Cisco安全通信部署工作表 593
附录J术语 597
K.1 第1章答案 603
附录K复习题答案 603
K.2 第2章答案 604
K.3 第3章答案 604
K.4 第4章答案 605
K.5 第5章答案 606
K.6 第6章答案 607
K.7 第7章答案 608
K.8 第8章答案 609
K.9 第9章答案 610
K.10第10章答案 611
K.11第11章答案 612
K.12第12章答案 613
K.13第13章答案 614
K.14第14章答案 615
K.15第15章答案 616
K.16第16章答案 617
K.17第17章答案 617