Network Security Platform 7.0 IPS Administration Guide - McAfee

2
理解 IPS 策略
如何响应检测到的攻击
如何响应检测到的攻击
作为保护或预防体系的一部分,McAfee ® Network Security Sensor 检测到违反了配置策略的活动时,便会发出预定义的
响应。要实施有效保护,关键是配置正确的响应。对缓冲区溢出和拒绝服务 (DoS) 等非常严重的攻击要求做出实时响
应,而对扫描和探查等攻击只需记录日志,以研究其潜在影响和攻击来源。为了提高网络安全性能,建议您根据后果的
严重性设定一系列的操作、警报和日志。
因为 Sensor 可安装于网络的任何位置,所以明确 Sensor 的保护区域对确定其响应类型尤为重要。如果 Sensor 安装在
防火墙之外,则最好对 DoS 和其他针对防火墙的攻击发出警报响应。对于无法通过已知特征码识别、针对内部网络的
其他大多数可疑流量类型(如扫描和 CGI 数据等),最好记录而不响应。因为它们不会产生即时的影响,并且这样可以
了解潜在的攻击目的。
配置策略时,设置响应类型是高效入侵管理系统的关键。
另请参阅
自定义 Sensor 对利用漏洞攻击的响应第 92 页
数据包日志记录
记录攻击数据包并进行分析是应对将来攻击的一种有效途径。数据包日志由 Sensor 捕获违规传输的网络流量有关数据
而创建。协议分析专家可以使用这些日志信息确定导致警报的原因,并制定预防再次发生同类警报的解决办法。数据包
日志通过 Threat Analyzer 从数据库中检索而来,并可以使用 Ethereal 程序打开和检查。默认情况下,UDP 和 TCP 协
议攻击会生成一个包含当前攻击和通信流中前 128 个字节的数据包日志。
Sensor 操作
McAfee 建议使用 Wireshark(以前称为 Ethereal)查看数据包日志。Ethereal 是适用于 Unix 和 Windows 服务器的网络协
议分析程序,可以用来检查由 Sensor 捕获的数据。有关下载和使用 Ethereal 的详细信息,请参阅 www.wireshark.com。
Sensor 操作是 Sensor 为了防止将来发生的攻击而做出的响应。最有效的操作是“Drop Further Packets(丢弃其余数据
包)”,它仅在串联模式下可用,是第一种真正实现的实时防护。在大多数情况下,攻击数据包会在能够实施预防操作前
到达其目标。“Drop Further Packets(丢弃其余数据包)”可在 Sensor 检查过程中丢弃违规传输。该选项必须在创建或复
制策略时在利用漏洞或拒绝服务 (DoS) 攻击的“Response(响应)”区域启用。
其他可用的 Sensor 操作包括:
• “IPS Quarantine(IPS 隔离)”:Sensor 会执行隔离和修复操作,具体情况视配置而定。
• “Block DoS Packets(阻止 DoS 数据包)”:阻止检测到的其余 DoS 攻击数据包。这种情况没有配置“Drop Further
Packets(丢弃其余数据包)”响应,但 Threat Analyzer 可以丢弃其余的 DoS 攻击数据包。
• “Enable TCP Reset(启用 TCP 重置)”:断开来源、目标或传输两端的 TCP 连接。
• “Send ICMP Host Not Reachable to Intruder(向入侵者发送无法访问 ICMP 主机消息)”:将此消息发送至 ICMP 传
输攻击源。
• “Attack Filtering(攻击过滤)”:通过排除来源和目标 IP 地址参数,限制生成的警报。
另请参阅
IPS 隔离设置第 188 页
18 McAfee ® Network Security Platform 7.0 IPS 管理手册