Network Security Platform 7.0 IPS Administration Guide - McAfee

3
如何管理 IPS 设置
警报通知选项
表 3-8 Syslog ‑ 配置选项 (续)
字段 描述
“Send Notification If
(发送通知的条件为)”
“Notify on IPS
Quarantine Alert(IPS
隔离警报通知)”(不适用
于 NTBA Appliance)
3 单击“Save(保存)”。
“The attack definition has this notification option explicitly enabled(攻击定义已明确启用
了此通知选项)”‑ 为匹配自定义策略通知设置(在策略编辑器中编辑攻击响应时必须设置这
些自定义策略设置)的攻击发送通知。
“The following notification filter is matched(将匹配以下通知过滤器)”‑ 根据以下过滤器发
送通知:
• “Allow All(全部允许)”‑ 为所有发现的攻击发出警报。
• “Block All(全部阻止)”‑ 阻止通知。
• “Severity Informational and above(严重性为信息及更高)”‑ 包括所有警报。
• “Severity Low and above(严重性为低及更高)”‑ 包括严重性为低、中和高的警报。
• “Severity Medium and above(严重性为中及更高)”‑ 包括严重性为中和高的警报。
• “Severity High(严重性为高)”‑ 只包括严重性为高的警报。
启用此字段可查看 IPS 隔离警报
必须先单击“Save(保存)”,才能自定义要发送到 Syslog 服务器的消息的格式。只有在针对“Enable Syslog Notification
(启用 Syslog 通知)”启用了通知的情况下,自定义选项才可用。
4 选择“Message Preference(首选消息)”以自定义要发送到 Syslog 服务器的消息的格式。
表 3-9 “Message Preference(首选消息)”‑ 选项
字段 描述
“System Default(系统默认)” 默认消息是带有以下两个容易识别的字段的简易警报摘要:“Attack Name(攻击名
称)”和“Attack Severity(攻击严重性)”。默认消息示例:
“Customized(自定义)” 创建自定义消息。
创建自定义消息
Attack $IV_ATTACK_NAME$ ($IV_ATTACK_SEVERITY$)。
• 选择“Customized(自定义)”并单击“Edit(编辑)”,以查看“Custom message(自定义消息)”页。
• 键入消息并选择(单击)用以标识警报的格式参数。您可以在“Message(消息)”字段中键入自定义文字。您也可
以单击“Content‑Specific Variables(特定于内容的变量)”,将它们移到“Message(消息)”字段。
•
•
图 3-192 “Custom Message(自定义消息)”页
请确保使用美元符号 ($) 分隔相邻的两个元素。示例:$ATTACK_TIME$。
230 McAfee ® Network Security Platform 7.0 IPS 管理手册