ios ids
topology:
同上
技术特点:
ios ids是一个在线式(in-line)的入侵检测sensor,对于所有穿越router的包,都一一扫描看是否match其中任何一个signature.
当发现可疑的行为,可以采取以下的行动:
1.alarm:发告警到syslog服务器或cisco secure ids director
2.drop:drop掉这个包
3.reset:reset这个tcp连接(但是会继续转发这个包,所有建议和drop同时使用)
当启用ios ids时,ios firewall自动就启用了,一些参数也起作用了(对于cbac半开连接自动启动)
如:
ip inspect mac-incomplete high
ip inspect max-incomplete low
ip inspect one-minute high
ip inspect one-minute low
配置步骤:
GW(config)#ip audit smtp spam 20 最大的邮件收件人数目,默认250
GW(config)#ip audit notify nr-director 发log到director(相当于ips的SDEE查看事件的协议)
GW(config)#ip audit notify log 发log到syslog server
GW(config)#ip audit name MYIDS info action alarm
GW(config)#ip audit name MYIDS attack action alarm drop reset
GW(config)#int s0/0
GW(config)#ip audit MYIDS in
GW(config)#logging 150.100.1.241
GW(config)#logging trap informational
GW(config)#ip audit po local hostid 10 orgid 1000
GW(config)#ip audit po remote hostid 11 orgid 1000 rmtaddress 150.100.1.241 localaddress 150.100.1.1
GW(config)#config-register 0x2102
GW#wr
GW#reload
测试:
制造告警在syslog server上看告警信息.
GW#ping 218.18.1.254
GW#ping 218.18.1.254 size 1025
show ip audit all
show ip audit statistics
clear ip audit configuration禁用ids并清除所有的ids的配置
实验:
r5:
ip audit notify log(发送日志到log服务器)
ip audit notify nr-director(发送信息到nr-director)
ip audit smtp spam 20(最大邮件接收人20)
ip audit name IDS info action alarm(对于提示信息发送提示)
ip audit name IDS attack action alarm drop reset(对于攻击reset和drop)
int f0/0
ip audit IDS in(调用)
ip audit po local hostid 10 orgid 1000
ip audit po remote hostid 11 orgid 1000 rmtaddress 56.1.1.254 localaddress 56.1.1.5(端口默认45000)
ip audit name IDS info action alarm drop
ip audit signature 2004 disable(关闭2004signature)
ip audit signature 2004 list 1(对列表1的signature关闭)
access-list 1 permit 56.1.1.0 0.0.0.255
no ip audit signature 2004
tcp intercept
拓扑:
技术特点:
1.tcp intercept 这个feature是用来保护tcp server不受tcp-syn泛洪攻击,也就是dos攻击.
2.tcp intercept有连个模式:主动的intercept模式和被动的watch模式
1)在intercept模式下,路由器会先代替目的server,跟client建立三次握手,当成功建立连接后,在代替client与server建立连接,最后将两个连接结合在一起.
2)在watch模式下,路由器只是被动前监视tcp的建立过程,当在设置的时间内连接还没有建立起来,就终结这个连接.
配置步骤:
GW(config)#access-list 101 permit tcp any host 192.168.1.100
GW(config)#ip tcp intercept list 101
GW(config)#ip tcp intercept mode watch默认是intercept模式
GW(config)#ip tcp intercept watch-timeout 20
wathc模式下超过这个时间还没有建立起来tcp连接,就clear当前连接,默认30s
GW(config)#ip tcp intercept connection-timeout 5
只有在intercept模式下这个connection-timeout值才会起作用,就是tcp session的IDLE时间.
下面四个参数是配置intercept什么时候进入和退出aggressive mode
进入aggressive mode后:
灭个新进入的连接都将导致是最老的连接被删除.(或者任意删除一个连接,通过下面的命令调整)
GW(config)#ip tcp intercept drop-mode random 默认是oldest
如果是watch mode,watch timeout将减半
GW(config)#ip tcp intercept max-incomplete high 1000 默认是1100
GW(config)#ip tcp intercept max-incomplete low 800 默认是900
半开连接的总数超过high就进入aggressive mode,低于low退出
标签：GW,audit,ip,IOS,tcp,SNRS,intercept,config,Day From： https://www.cnblogs.com/smoke520/p/18366029