Network Security Platform 7.0 IPS Administration Guide - McAfee

如何设置针对攻击的通知
使用攻击检测、警报和 Sensor 响应等过程可以很有效地管理网络安全。Network Security Platform 还可以为管理员提
供有关所选攻击的通知。通知是通过电子邮件、电子邮件寻呼机或脚本就被认为具有高优先级的攻击发送的消息。消息
含有攻击名称、严重性、检测时间等相关信息。通知针对不同的攻击进行配置。可以在自定义利用漏洞、拒绝服务
(DoS) 或侦测攻击时启用通知功能。本章介绍为利用漏洞或 DoS 攻击启用通知的方法。
您也可以在通知类别中启用自动确认任意攻击。“Auto.Acknowledge(自动确认)”选项可以将警报标记为“Acknowledged
(已确认)”,以用于查看警报和生成报告。有关警报确认的详细信息,请参阅“确认警报”。
电子邮件、寻呼机、脚本列表以及消息内容按不同的管理域进行配置。对于电子邮件和寻呼机通知,您必须设置用于发
送邮件的邮件服务器(请参阅“McAfee Network Security Platform Manager 管理手册”中的“指定通知邮件服务器”)。
Network Security Platform 如何计算严重性级别
Network Security Platform 为攻击数据库中的每个攻击分配一种默认的严重性(中、中或低)。严重性取决于攻击对目标
系统的直接作用或影响。
严重性编号方案
Network Security Platform 使用数字映射方案表示“Informational(信息)”、“Low(低)”、“Medium(中)”和“High(高)”严
重性,以便获得更直观的显示效果。编号方案如下:
INFORMATIONAL(信息) LOW(低) MEDIUM(中) HIGH(高)
0 1‑3 4‑6 7‑9
指定严重性级别的指导原则与许多开放式安全论坛中使用的原则很类似。可以根据所保护资产的价值自定义这些安全性
级别,以符合系统的需要。某种攻击对于某个公司可能具有“高”严重性,但对另一个公司来说可能只具“低”严重性。
攻击类别和严重性范围
Network Security Platform 将攻击划分为四个类别:“Reconnaissance(侦测)”、“Exploits(利用漏洞)”、“Volume DoS
(大量 DoS)”和“Policy Violation(违反策略)”。下表说明了严重性级别与不同攻击类别的对应关系:
类别 威胁类型 Network Security Platform 中使用的级
别
Reconnaissance(侦测) Host Sweep(主机扫描) 4‑4
Port Scan(端口扫描) 4‑4
Brute Force(暴力攻击) 4‑6
Service Sweep(服务扫描) 6‑6
OS Fingerprinting(操作系统指纹识别) 6‑6
Exploits(利用漏洞) Protocol Violation(违反协议) 3‑5
Buffer Overflow(缓冲区溢出) 7‑9
Shellcode Execution(Shellcode 执行) 7‑9
Remote Access(远程访问) 5‑9
Privileged Access(授权访问) 8‑9
Probe(探查) 2‑2
DoS 3‑5
Evasion Attempt(规避企图) 7‑7
理解 IPS 策略
如何设置针对攻击的通知 2
McAfee ® Network Security Platform 7.0 IPS 管理手册 19