Network Security Platform 7.0 IPS Administration Guide - McAfee

2 在“OS Finger Printing(操作系统指纹识别)”下的“Enabled(启用)”处选择“Yes(是)”,打开操作系统指纹识别。
3 在“Alert Suppression(警报抑制)”下的“Enabled(启用)”处选择“Yes(是)”,打开警报抑制。
选择“No(否)”并单击“Update(更新)”可以随时关闭操作系统指纹识别或警报抑制。
4 在“Maintain [”X“] unique source‑destination IP pairs(记录 [X] 个独特的“来源‑目标”IP 对)”中键入值。
这是在指定时间限制之内记录计数的独特实例数。所有其他抑制的组合则记录在一个“通用”实例中。默认值为 10 个
实例。
5 在“Send first [”X“] as individual alerts(将前 [X] 个作为单独的警报发送)”字段中键入值。
这一数字是将所有警报集合为一个合并实例之前发送的单个抑制警报的数目。默认值为 1 个警报。通过在合并之前
发送独立的警报,可以为每个警报生成单独的数据包日志,而不是为整个合并警报生成单个日志。
6 在“Suppress for [”X“] seconds(抑制 [X] 秒)”中键入值。
7 在“Alert Correlation(警报关联)”下的“Correlate signatures for a single attack for(单个攻击的特征码关联时间)”字
段中键入值。默认值为 5 秒。
默认值为 120 秒。在这一时限中,“步骤 3”中的“Maintain [”X“] unique source‑destination IP pairs(记录 [X] 个独特
的“来源‑目标”IP 对)”处于活动状态。
8 在“Packet Log Settings(数据包日志设置)”下选择“Maximum Packets Logged Per Flow(每个流记录的最大数据
包)”。
两个选项都将包括攻击之前的 128 字节。您可以执行以下任一操作:
• “Log Whole Flow(记录整个流)”:记录从传输开始到结束的整个流。
• “Log up to” n “packets per flow(每个流记录最多 n 个数据包)”:键入在一个流内要记录的数据包数目(1000 至
64000)。从攻击数据包开始记录。默认值为 1000 个数据包。
即使选择“Log Whole Flow(记录整个流)”,Sensor 也可能在出现故障时无法继续记录。
9 在“Enabled(启用)”处选择“Yes(是)”以“Enable Packet Log Channel Encryption(启用数据包日志通道加密)”。
10 单击“Update(更新)”。由于超出这一阈值而发出的警报称为限制警报。
您可以在 Threat Analyzer 的“Alert Details(警报详细信息)”的“Type(类型)”字段中看到此名称(有关详细信息,请
参阅“查看警报详细信息”。
11 通过执行“更新一个 Sensor 的配置”中的步骤,将所做的更改下载到您的 Sensor。
另请参阅
配置高级扫描第 242 页
配置攻击编译
攻击编译页面(“IPS Settings(IPS 设置)” | “Sensor_Name(Sensor 名称)” | “Advanced Scanning(高级扫描)” |
“Attack Compilation(攻击编译)”)允许您指定 IPS 策略中可以包含的攻击定义类型(针对 IPS Sensor 所定义)。
您还可以为 IPS Sensor选择以下攻击定义:
• 默认 McAfee 攻击(来自特征码集)
• 自定义攻击 McAfee 格式
• 自定义攻击 ‑ 导入的 Snort 规则
另请参阅
配置高级扫描第 242 页
在 Sensor 级别配置 IPS 策略
配置高级扫描 4
McAfee ® Network Security Platform 7.0 IPS 管理手册 259