ISA Server應(yīng)用配置(P620-643)
1、ISA Server的安裝
(1)安裝準(zhǔn)備
A、應(yīng)保證網(wǎng)絡(luò)正常工作。
B、必須為連接到ISA Server服務(wù)器的每個網(wǎng)絡(luò)單獨準(zhǔn)備一個網(wǎng)絡(luò)適配器，至少需要一個網(wǎng)絡(luò)適配器。
C、DNS服務(wù)器。
(2)安裝ISA Server
2、配置允許所有內(nèi)部用戶訪問Internet的所有服務(wù)的訪問規(guī)則
(1)網(wǎng)絡(luò)規(guī)則
網(wǎng)絡(luò)連接方式：路由、網(wǎng)絡(luò)地址轉(zhuǎn)換、本地主機訪問、VPN客戶端到內(nèi)部網(wǎng)絡(luò)、Internet訪問。
(2)訪問規(guī)則
A、防火墻系統(tǒng)策略。
B、建立訪問策略。
(3)配置撥號連接
3、使用邊緣防火墻模板建立訪問策略
具體內(nèi)容參閱P635-638內(nèi)容。
4、配置啟用HTTP緩存
具體參閱P638-643。
4.5 IDS和IPS(P643-658)
1、入侵檢測系統(tǒng)概述
(1)IDS的定義
是一種主動保護自己，使網(wǎng)絡(luò)和系統(tǒng)免遭非法攻擊的網(wǎng)絡(luò)安全技術(shù)，它依照一定的安全策略，對網(wǎng)絡(luò)、系統(tǒng)的運行狀況進行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機密性、完整性和可用性。
(2)IDS的作用
A、通過檢測和記錄網(wǎng)絡(luò)中的安全違規(guī)行為，懲罰網(wǎng)絡(luò)犯罪，防止網(wǎng)絡(luò)入侵事件的發(fā)生。
B、檢測其他安全措施未能阻止的攻擊或安全違規(guī)行為。
C、檢測黑客在攻擊前的探測行為，預(yù)先給管理員發(fā)出警報。
D、報告計算機系統(tǒng)或網(wǎng)絡(luò)中存在的安全威脅。
E、提供有關(guān)攻擊的信息，幫助管理員診斷網(wǎng)絡(luò)中存在的安全弱點，利于其進行修補。
F、在大型、復(fù)雜的計算機網(wǎng)絡(luò)中布置入侵檢測系統(tǒng)，可以顯著提高網(wǎng)絡(luò)安全管理的質(zhì)量。
(3)IDS的組成
一個IDS通常由探測器、分析器、響應(yīng)單元、事件數(shù)據(jù)庫組成。
(4)IDS的類型及技術(shù)
基于主機的入侵檢測、基于網(wǎng)絡(luò)的入侵檢測、混合入侵檢測系統(tǒng)(結(jié)合前兩種技術(shù))。
(5)分布式入侵檢測系統(tǒng)
DIDS采用了分布式智能代理的結(jié)構(gòu)方式，由幾個中央智能代理和大量分布的本地代理組成，其中本地代理負責(zé)處理本地事件，而中央代理負責(zé)整體的分析工作。
2、入侵檢測系統(tǒng)實例
(1)RIDS-100
由瑞星公司自主開發(fā)研制的新一代網(wǎng)絡(luò)安全產(chǎn)品，它集入侵檢測、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)監(jiān)視功能于一身。是一套基于網(wǎng)絡(luò)的DIDS，它主要由入侵檢測引擎和管理控制臺兩部分組成。
典型應(yīng)用方案：
A、監(jiān)聽、檢測發(fā)生在內(nèi)網(wǎng)之間的連接和攻擊�！ 、監(jiān)聽、檢測外網(wǎng)對內(nèi)網(wǎng)的攻擊。
(2)Cisco入侵檢測系統(tǒng)4200
Cisco IDS 4210可以監(jiān)控45Mbps的流量，適用于T1/E1和T3環(huán)境。
Cisco IDS 4235可以監(jiān)控200Mbps的流量，可以在交換環(huán)境中、多個T3子網(wǎng)上以及在10/100/1000接口的支持下提供保護。另外，它還可以部署在部分使用的千兆位鏈路上。
Cisco IDS 4250不但能以500Mbps的速度支持無與倫比的性能，還能保護千兆位子網(wǎng)以及正在穿越交換機的流量。
3、入侵防御系統(tǒng)
(1)入侵防御系統(tǒng)概述
IPS提供主動、實時的防護，其設(shè)計旨在對網(wǎng)絡(luò)流量中的惡意數(shù)據(jù)包進行檢測，對攻擊性的流量進行自動攔截，使它們無法造成損失。IPS如果檢測到攻擊企圖，就會睡去地將攻擊包丟掉或采取措施阻斷攻擊源，而不把攻擊流量放進內(nèi)部網(wǎng)絡(luò)。
注意區(qū)別：IPS與防火墻、IPS與IDS。
IPS系統(tǒng)根據(jù)部署方式可以分為在類：HIPS、NIPS、AIP。
IPS必須具備如下技術(shù)特征：嵌入式運行、深入分析的控制、入侵特征庫、高效處理能力。
(2)入侵防御系統(tǒng)的原理
在ISO/OSI網(wǎng)路層次模型(見OSI模型) 中，防火墻主要在第二到第四層起作用，它的作用在第四到第七層一般很微弱。而除病毒軟體主要在第五到第七層起作用。為了彌補防火墻和除病毒軟體二者在第四到第五層之間留下的空檔，幾年前，工業(yè)界已經(jīng)有入侵偵查系統(tǒng)(IDS: Intrusion Detection System)投入使用。入侵偵查系統(tǒng)在發(fā)現(xiàn)異常情況后及時向網(wǎng)路安全管理人員或防火墻系統(tǒng)發(fā)出警報�？上н@時災(zāi)害往往已經(jīng)形成。雖然，亡羊補牢，尤未為晚，但是，防衛(wèi)機制應(yīng)該是在危害形成之前先期起作用。隨后應(yīng)運而生的入侵反應(yīng)系統(tǒng)(IRS: Intrusion Response Systems) 作為對入侵偵查系統(tǒng)的補充能夠在發(fā)現(xiàn)入侵時，迅速作出反應(yīng)，并自動采取阻止措施。而入侵預(yù)防系統(tǒng)則作為二者的進一步發(fā)展，汲取了二者的長處。
入侵預(yù)防系統(tǒng)也像入侵偵查系統(tǒng)一樣，專門深入網(wǎng)路數(shù)據(jù)內(nèi)部，查找它所認(rèn)識的攻擊代碼特征，過濾有害數(shù)據(jù)流，丟棄有害數(shù)據(jù)包，并進行記載，以便事后分析。除此之外，更重要的是，大多數(shù)入侵預(yù)防系統(tǒng)同時結(jié)合考慮應(yīng)用程序或網(wǎng)路傳輸重的異常情況，來輔助識別入侵和攻擊。比如，用戶或用戶程序違反安全條例、數(shù)據(jù)包在不應(yīng)該出現(xiàn)的時段出現(xiàn)、作業(yè)系統(tǒng)或應(yīng)用程序弱點的空子正在被利用等等現(xiàn)象。入侵預(yù)防系統(tǒng)雖然也考慮已知病毒特征，但是它并不僅僅依賴于已知病毒特征。
應(yīng)用入侵預(yù)防系統(tǒng)的目的在于及時識別攻擊程序或有害代碼及其克隆和變種，采取預(yù)防措施，先期阻止入侵，防患于未然。或者至少使其危害性充分降低。入侵預(yù)防系統(tǒng)一般作為防火墻和防病毒軟體的補充來投入使用。在必要時，它還可以為追究攻擊者的刑事責(zé)任而提供法律上有效的證據(jù) (forensic)。
(3)IPS的檢測技術(shù)
A、基于特征的匹配技術(shù) B、協(xié)議分析技術(shù) C、抗DDoS/Dos技術(shù)
D、智能化檢測技術(shù) E、蜜罐技術(shù)
(4)IPS存在的問題
單點故障、性能瓶頸、誤報率和漏報率。
