70、Cisco Secure IDS传感器配置全解析

Cisco Secure IDS传感器配置全解析

1. 入侵检测配置概述

在使用IDS设备管理器（IDM）配置系统参数后，传感器就可以开始执行其主要任务——入侵检测。入侵检测配置主要包括三个任务：
- 配置特征码
- 配置系统变量
- 配置事件过滤器

特征码是Cisco Secure IDS的基本组成部分，它定义了入侵活动的特征，使传感器能够识别此类活动。系统变量用于定义与攻击检测、警报处理和过滤相关的参数和值。事件过滤器则可根据源和/或目标IP地址或系统变量来过滤特定特征码的警报。

2. 系统变量配置

系统变量分为两种类型：
- 警报通道系统变量
- 虚拟传感器系统变量

2.1 警报通道系统变量配置

在Cisco Secure IDS 4.x中，所有生成的警报都会发送到警报通道，这是一个处理引擎，用于对警报进行过滤和聚合，然后存储在事件存储中。以下是一些常见的警报通道系统变量：
| 系统变量 | 描述 |
| ---- | ---- |
| OUT | 定义所有外部网络，固定值为0 - 255.255.255.255，不可修改 |
| IN | 定义传感器内部的网络，默认空白。例如，若10.0.0.0/8网络为内部网络，可指定10；若只有10.20.0.0/16网络为内部网络，则指定10.20。可使用逗号分隔多个网络，用连字符指定网络范围 |
| DMZ1, DMZ2, DMZ3 | 用于定义网络拓扑中的非军事区（DMZ）网络，可过滤来自或指向DMZ网络的警报 |
| USER - ADDRS1 - U