蓝盾入侵检测系统分发与操作手册
网络入侵检测系统部署指南
网络入侵检测系统部署指南
一、概述
网络入侵检测系统（Intrusion Detection System，简称IDS）是一种
可以有效检测网络中各种安全威胁并及时响应的工具。本部署指南旨
在提供详细的步骤和建议，帮助管理员顺利部署网络入侵检测系统。
二、选购适合的网络入侵检测系统
在开始部署网络入侵检测系统之前，管理员需要根据组织的需求和
预算来选择适合的IDS。以下是一些常见的IDS选项：
1. 入侵检测系统（Intrusion Detection System，IDS）：主要通过监
控网络流量和日志数据来检测潜在的入侵行为。
2. 入侵防御系统（Intrusion Prevention System，IPS）：除了IDS的
功能外，还可以主动阻止入侵行为。
3. 入侵检测与防御系统（Intrusion Detection and Prevention System，IDPS）：综合了IDS和IPS的功能，提供更全面的安全保护。
三、部署网络入侵检测系统的步骤
1. 确定部署位置：根据网络拓扑结构和需求，选择合适的位置来部
署IDS。常见的部署位置包括边界防火墙、内部网络和关键服务器等。
2. 安装IDS软件：根据所选的IDS产品，按照官方文档提供的指引
完成软件的安装和配置。确保软件和系统的版本兼容，并进行必要的
更新和补丁操作。
3. 配置网络监测：根据网络的特点和监测需求，对IDS进行网络配置。包括设置监测的网络子网、端口、协议等参数。
4. 配置入侵检测规则：IDS通过检测网络中的不正常行为来判断是否有入侵事件发生。管理员需要根据实际情况，配置适合的入侵检测规则。可以参考官方文档或者安全社区的建议来选择和修改规则。
蓝盾入侵防御系统 BDIPS-G5000
3
网络服务
支持DHCP服务；
支持IP-MAC地址全网及部分绑定；
可做DNS代理，支持静态及动态DNS服务，实现对ARP欺骗和IP地址冒用的报警；
支持DHCP服务；
支持RIP/OSPF/BGP路由及静态路由服务；
4
防火墙功能
内置状态防火墙，支持基于源/目的IP地址、协议、网络接口、时间等自定义访问控制策略；
5
入侵检测
综合运用会话状态检测、应用层协议完全解析、误用检测、异常检测等多种检测技术, 并支持自定义协议检测事件；
支持对VLAN Trunk、SSL加密数据等进行检测；
支持IP碎片重组、TCP流重组、报警缩略再分析、规则阈值修改、多网段定义检测等功能；
超过5000条的检测规则, 全面兼容CVE、BugTraq等国际标准漏洞库；
序号
指标项
技术规格
1
产品架构
机架式硬件专业IPS入侵防御设备；
部署方式：支持旁路监听、透明接入、 NAT、混合模式；
支持多网段、跨网段的多路混合部署检测防御；
2
性能指标
1*10/100/1000M管理口，7*10/100/1000M检测口（4光口3电口）；
并发连接数目>=3,000，000；
每秒新建连接数目>=30，000；
网络防护中的入侵检测系统配置方法(八)
网络防护中的入侵检测系统配置方法
随着网络攻击的不断增多和变种，保护网络的安全性变得愈发重要。入侵检测系统（Intrusion Detection System，IDS）作为一种重
要的网络安全设备，起到了监控和检测网络中潜在威胁的作用。本文
将介绍入侵检测系统的配置方法，旨在提供一些指导原则，帮助网络
管理员有效地配置和部署入侵检测系统。
1. 配置规则集
入侵检测系统依赖于规则集来检测不同类型的攻击。网络管理员
应该根据自己的网络环境和需求定制规则集，去除不必要的规则，并
添加针对特定攻击的规则。此外，还可以从社区分享的规则集中选取
适合的规则，以增加入侵检测系统的有效性和准确性。
2. 设置监测模式
入侵检测系统可以选择不同的监测模式，如主动模式和被动模式。在主动模式下，入侵检测系统会主动断开与攻击者的连接，并向相应
的安全团队发送警报。而在被动模式下，入侵检测系统只会记录和报
告潜在攻击事件，但不对其进行干预。网络管理员应根据网络的敏感
程度和资源限制来选择合适的监测模式。
3. 配置实时告警
有效的实时告警可以及时警示网络管理员有关网络安全的问题。
入侵检测系统应配置相应的告警机制，如通过电子邮件、短信或网络
管理平台发送告警通知。此外，还可以设置多个安全团队的联系方式，以便在紧急情况下能够及时响应和采取行动。
4. 确定入侵事件的优先级
入侵检测系统通常会生成大量的日志信息，网络管理员需要根据
入侵事件的优先级对其进行分类和处理。优先级的确定可以根据攻击
的威胁程度、潜在的损害和重要性来决定。这样可以保证网络安全团
网络防护中的入侵检测系统配置方法(二)
网络安全是当前信息化时代亟待解决的重大问题之一，而入侵检
测系统则是保障网络安全的重要组成部分。入侵检测系统配置的合理
与否直接影响着网络的安全性。本文将从网络防护中的角度，探讨入
侵检测系统的配置方法。
一、入侵检测系统的基本构成
入侵检测系统（Intrusion Detection System，IDS）主要由传感器模块、检测引擎和警告模块构成。传感器模块负责采集网络数据流，检测引擎对采集的数据进行分析，警告模块则负责发送警报信息。
二、入侵检测系统的分类
入侵检测系统可分为基于主机的入侵检测系统（Host-based IDS，HIDS）和基于网络的入侵检测系统（Network-based IDS，NIDS）。HIDS监测主机上的活动，如文件修改、系统调用等，而NIDS监测整个网络上的流量。
三、入侵检测系统的配置方法
（一）确定配置目标
在配置入侵检测系统前，首先需要明确配置的目标。例如，是为
了满足合规性要求，还是为了保护特定的敏感数据等。根据不同的目标，可以有针对性地选择合适的配置方法。
（二）选择合适的入侵检测系统
根据网络规模和需求，选择适合的入侵检测系统。对于小型网络
来说，可以选择成本较低的开源入侵检测系统，如Snort、Suricata
等；对于大型网络来说，可以考虑商业入侵检测系统，如Cisco、IBM 等。
（三）设计合理的规则集
入侵检测系统的规则集是配置的核心。合理的规则集能够准确地
检测恶意行为，减少误报。规则集应根据网络的特点和需求进行设计，包括协议、端口、IP地址、关键字等方面的过滤条件。
蓝盾入侵防御系统(BD-NIPS)技术白皮书
蓝盾入侵防御（BD-NIPS）系统技术白皮书
蓝盾信息安全技术股份有限公司
目录
一、产品需求背景 (3)
二、蓝盾入侵防御系统 (4)
2.1概述 (4)
2.2主要功能 (5)
2.3功能特点 (8)
2.3.1固化、稳定、高效的检测引擎及稳定的运行性能 (8)
2.3.2 检测模式支持和协议解码分析能力 (8)
2.3.3 检测能力 (9)
2.3.4 策略设置和升级能力 (11)
2.3.5 响应能力 (12)
2.3.6管理能力 (13)
2.3.7 审计、取证能力 (14)
2.3.8 联动协作能力 (15)
三、产品优势 (16)
3.1强大的检测引擎 (16)
3.2全面的系统规则库和自定义规则 (16)
3.3数据挖掘及关联分析功能 (16)
3.4安全访问 (16)
3.5日志管理及查询 (17)
3.6图形化事件分析系统 (17)
四、型号 (18)
一、产品需求背景
入侵防御系统是近十多年来发展起来的新一代动态安全防范技术，它通过对计算机网络或系统中若干关键点数据的收集，并对其进行分析，从而发现是否有违反安全策略的行为和被攻击的迹象。也许有人会问，我已经使用防火墙了，还需要入侵防御系统吗？答案是肯定的。
入侵防御是对防火墙及其有益的补充，入侵防御系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与在线防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。入侵防御被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。
入侵检测系统部署指南
入侵检测系统部署指南
入侵检测系统部署指南
正如我们大家所知道的那样，互联网的无处不在已经完全改变了我们所知道的网络。过去完全孤立的网络现在连接到了全世界。这种无处不在的连接使企业能够完成过去不可想象的任务。同时，互联网也变成了网络犯罪分子的天堂。入侵检测系统（IDS）通常用于检测不正常的行为，旨在在黑客对你的网络造成实质破坏之前揪出黑客。本技术手册将从基础入门、购买建议、部署建议等方面来详细介绍。
基础入门
入侵检测系统（IDS）通常用于检测不正常的行为，旨在在黑客对你的网络造成实质破坏之前揪出黑客。他们可以是基于网络的，也可以是基于主机的。基于主机的IDS是安装在客户机上的，而基于网络的IDS是在网络上。
入侵检测系统是如何工作的？
快速了解IDS和IPS的区别
购买建议
在你开始评估各种入侵检测和防御系统产品之前，你应当回答一些关于自己的网络环境的问题，并要了解你的单位必须满足的一些外部要求，本文对这些问题和要求进行了总结。
购买IDS和IPS前需要考虑的几个问题
IDS选购最佳建议
部署建议
入侵检测系统（IDS）的选择，部署和维护工作是基于需求和公司现有的基础设施。一个产品可能会很好的为一家公司工作却不适合另一家。选择通常是最难做的决定，由于产品必须满足业务需求，预定的网络基础设施功能正常，并目前由人为支持。
如何确定你的企业是否需要IDS或IPS技术呢？
对于部署入侵检测系统的建议(上)
对于部署入侵检测系统的建议(下)
经费不足企业如何实施IDS？
无线IDS
无线入侵检测，这个词使我们想到安全，但许多无线入侵检测系统（WIDS）产品也可用于进行WLAN的性能监测，为故障排除、微调和使用规划提供有价值的见解。那么你要如何来利用WIDS从而获得更多的信息呢？
蓝盾主机监控与审计系统操作手册
蓝盾主机监控与审计系统操作手册(BD-SECSYS)
操
作
手
册
广东天海威数码技术有限公司
2004年7月
广东天海威数码技术有限公司蓝盾内网安全保密系统(BD-SECSYS)
目录
第一章系统概述...................................................................... ............................. 4 1、系统组成...................................................................... ..................................... 4 2、主机代理功能特
点 ..................................................................... .. (4)
2.1、网络检测防护功能...................................................................... . (4)
2.2、共享防护...................................................................... .. (5)
2.3、文件检测防护...................................................................... (5)
网络安全技术中防火墙与入侵检测系统的使用指南
网络安全技术中防火墙与入侵检测系统
的使用指南
随着全球互联网的迅猛发展，网络安全问题日益突出，企业和个人用户都面临着来自网络的各种威胁。为了保护网络免受恶意攻击和未经授权的访问，防火墙和入侵检测系统（IDS）成为了网络安全的重要组成部分。本文将详细介绍防火墙和入侵检测系统的使用指南，帮助用户更好地保护自己的网络安全。
一、防火墙的使用指南
防火墙作为网络安全的第一道防线，能够监控网络流量并控制数据的流动。以下是防火墙的使用指南：
1. 配置规则：防火墙的配置规则决定了允许或拒绝哪些网络流量通过。根据用户的需求，应当合理配置规则，避免阻拦正常的网络流量。
2. 更新软件：定期更新防火墙软件和固件，以获取最新的防御策略和安全补丁。同时，关闭不需要的服务和端口，以减少潜在的攻击面。
3. 监控日志：定期检查防火墙的日志，以便及时发现异常活动和潜在的攻击。如果发现异常，应及时采取相应的应对措施。
4. 网络分段：根据网络的安全需求，可以将网络分段，使用不
同的防火墙策略来保护不同的网络区域。这样可以减少潜在攻击
者的攻击范围。
5. 配置VPN：对于需要远程访问企业网络的用户，可以使用虚
拟私有网络（VPN）来加密数据传输，增加网络的安全性。
二、入侵检测系统的使用指南
入侵检测系统（IDS）是一种通过监测网络流量和系统日志，
检测可能的攻击行为的技术。以下是入侵检测系统的使用指南：
1. 配置规则：入侵检测系统可以根据预设的规则来检测各种威胁。用户应当根据自身需求，配置相应的规则并定期更新，以确
保系统能够及时发现新型威胁。
网络安全防护网络入侵检测系统的部署与配置
网络安全防护网络入侵检测系统的部署与配
置
网络安全是当今信息社会中的一个重要问题，随着互联网的普及和
信息技术的发展，各种网络安全威胁也日益增多。网络入侵是其中一
种常见的安全威胁，它可能导致个人隐私泄漏、资金损失甚至严重影
响国家安全。因此，部署和配置一个可靠的网络入侵检测系统是非常
必要的。本文将介绍网络入侵检测系统的部署与配置。
一、网络入侵检测系统的部署
网络入侵检测系统（Intrusion Detection System，简称IDS）用于监
控和检测网络中的异常行为，以及对可能的入侵进行及时响应。通常，IDS系统可分为两类：主机型IDS和网络型IDS。
1. 主机型IDS的部署
主机型IDS主要针对单个主机进行入侵检测，它基于主机上的日志
记录和系统调用等信息进行分析。主机型IDS的部署比较简单，只需
要在需要监控的主机上安装相应的IDS软件即可。常见的主机型IDS
软件有Snort、OSSEC等。
2. 网络型IDS的部署
网络型IDS主要通过监控网络流量来检测入侵活动。这种方式可以
监控整个网络，从而提供对网络中各个主机的入侵检测。网络型IDS
的部署相对复杂一些，需要在网络中合适的位置安装IDS传感器。一
种常见的部署方式是将IDS传感器放置在网络边界、内部网关等关键
位置，以便监控整个网络的入侵情况。
二、网络入侵检测系统的配置
1. IDS传感器的配置
安装好IDS传感器后，需要进行相应的配置才能正常工作。具体的
配置会因不同的IDS软件而有所差异，以下是一般性的配置快捷指南：- 设定传感器的IP地址和子网掩码；
网络安全技术中的入侵检测系统使用技巧
网络安全技术中的入侵检测系统使用技巧
随着互联网的普及和信息技术的发展，网络安全问题日益突出。为了保护网络
系统的安全，企业和组织都采用了各种网络安全技术，其中入侵检测系统（Intrusion Detection System, IDS）是一种常见的技术手段。
入侵检测系统是一种针对网络威胁和攻击的监控与防御机制，可以监测和识别
非法入侵行为，对网络系统的安全进行保护。在使用入侵检测系统时，以下几个技巧非常重要。
首先，了解入侵检测系统的原理和工作方式是至关重要的。入侵检测系统通常
包括网络监控和事件处理两个主要部分。网络监控通过对网络流量的监测和分析，来发现潜在的入侵行为。事件处理是在检测到入侵行为后，对入侵事件进行分析和响应的过程。通过了解入侵检测系统的原理和工作方式，可以更好地使用它来保护网络系统的安全。
其次，选择适合的入侵检测系统对于网络安全至关重要。市场上有多种入侵检
测系统可供选择，如网络入侵检测系统（Network-based Intrusion Detection System, NIDS）和主机入侵检测系统（Host-based Intrusion Detection System, HIDS）等。根
据实际需求和网络环境，选择适合的入侵检测系统可以提高检测的准确性和效果。
使用入侵检测系统时，还需要注意以下几点。首先，及时更新入侵检测系统的
规则和签名库。入侵检测系统通过匹配攻击特征来进行检测，因此规则和签名库的更新至关重要。及时更新规则和签名库可以提高检测的准确率，并有效地防止最新的攻击。
蓝盾防火墙日志管理系统操作手册
蓝盾防火墙日志管理系统
一、系统概述
通过分析蓝盾防火墙等系列安全产品的特点，我们将日志服务作为一个独立系统分离出来。为了便于管理和使用，以及日志服务的性能出发，又将日志系统设计成客户和服务模式，服务端是日志服务器，客户端是日志管理，服务端是服务程序，有两种版本，一种是以文件的方式存储日志，一种是以数据库(SQL SERVER)存储的日志，客户只有一种版本，对文件和数据库的管理操作方式是一致。客户端即日志管理，是以插件的形式提供，在日志安全中心添加一个插件设备具体操作参考3.1的“新建安全设备”来实现，客户端本身也以插件方式实现，用插件来解释日志字段，日志显示也是动态，所以本系具有通用性，可用于适用实现多种日志设备的管理。日志管理可以安装于任一台电脑进行管理，也可以进行远程管理。
二、系统安装与卸载
双击蓝盾日志管理安装程序bdlogsetup.exe，出现如下图所示，单击下一步。
单击“下一步”按钮，出现如下图所示：
如需要更改安装目录，单击“浏览”按钮，确认安装目录后，单击“下一步”按钮，出现如下图所示：
在系统的“开始”菜单的“程序”菜单中添加一项菜单，确认菜单名称后，一直单击“下一步”按钮即可，可能要一两分钟，最后出现如下图所示表示安装成功完成。
卸载：直接单击控制中心菜单下的“卸载蓝盾日志管理”或在“控制面板”
中，选中“蓝盾日志管理”，然后单旁边的“更改与删除”按钮，出现如下图所示：
单击“下一步”按钮，然后单击“完成”按钮即可。
三、系统操作
先启动蓝盾安全控制中心，启动后的出现如下图所示：
IDS(入侵检测系统)介绍和配置
IDS 入侵检测系统
① IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
我们做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。
不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。在这里，"所关注流量"指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。在如今的网络拓扑中，已经很难找到以前的HUB式的共享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。因此，IDS在交换式网络中的位置一般选择在：
（1）尽可能靠近攻击源
（2）尽可能靠近受保护资源
这些位置通常是：
·服务器区域的交换机上
·In ternet接入路由器之后的第一台交换机上
·重点保护网段的局域网交换机上
防火墙和IDS可以分开操作，IDS是个监控系统，可以自行选择合适的，或是符合需求的，比如发现规则或监控不完善，可以更改设置及规则，或是重新设置！
② IDS IQUE double screen 的缩写，中文名称是神游双屏多媒体互动系统，其实就是一台掌上游戏机
蓝盾入侵检测系统
基本操作
控制中心的安装
MYSQL安装 控制中心软件安装 运行控制中心注意事项
基本操作
1. 2. 3. 4.
次运行BD-NIDS要做什么 第1次运行 次运行 要做什么 运行MYSQL 运行 运行“蓝盾入侵检测系统” 运行“蓝盾入侵检测系统” 检测引擎管理 其它配置
典型案例
湛江师范大学 三水区供电公司 肇庆职业技术学院 其他
入侵检测系统概述
入侵检测系统的分类 按数据来源，分三类：
基于主机的入侵检测系统 基于网络的入侵检测系统 分布式入侵检测系统
按采用的方法，分三类：
基于行为的入侵检测系统 基于模型推理的入侵检测系统 采用两者混合检测的入侵检测系统
入侵检测系统概述
入侵检测系统的分类 按时间，分两类：
实时入侵检测系统 事后入侵检测系统
主要功能特点
1. 2. 3. 4. 5. 6. 7. 8.
固化、稳定、高效的检测引擎 检测模式支持和协议解码分析能力 检测能力 策略设置和升级能力 响应能力 管理能力 审计、取证能力 联动协作能力
主要功能特点
固化、稳定、高效的检测引擎 BD-NIDS检测引擎是固化的，采用标准的工 业机箱结构，可以方便的放置到标准机柜中，便 于机房管理人员的管理。 检测引擎的操作系统是BDOS2.0，是广东天 海威数码技术有限公司自主开发的蓝盾防火墙操 作系统的改进版。检测引擎系统软件已经预先配 置完毕；检测引擎内建有蓝盾防火墙V2.0版，自 身安全性很高，可以防范针对探测引擎的攻击。
盾互联网信息安全监测系统操作手册
蓝盾互联网信息安全监
测系统
操
作
手
册
蓝盾信息安全技术股份有限公司
前言 (4)
关于本手册 (4)
版本说明 (4)
术语解释 (4)
●前端 (4)
●后台 (4)
图例 (4)
第一章、开始配置管理 (5)
第二章、系统设置第二章、系统设置 (5)
一、系统状态 (6)
1 菜单项 (6)
2 界面 (6)
3 说明 (6)
二、管理配置 (6)
1 用户管理 (6)
2 角色管理 (8)
3 修改密码 (10)
三、产品升级、注册 (10)
1 系统升级 (10)
2 产品注册 (11)
第三章、信息监控 (12)
一、策略设置 (12)
1 关键词策略设置 (12)
2 黑白名单策略设置 (17)
3 图片策略设置 (18)
二、日志处理 (19)
1 关键词日志 (20)
2 URL日志 (23)
3 图片日志 (24)
4 日志设置 (25)
5 清除日志 (25)
三、监控设置 (25)
1 检测开关 (25)
2 拦截形式 (26)
3 GZIP检查 (27)
4 检测数据包 (28)
5 关键词长度 (29)
第四章、网站管理 (30)
一、网站管理 (30)
1 网站信息列表 (30)
2 强制广告 (31)
3备案管理 (32)
4 添加备案 (33)
5 网站历史性能 (34)
二、网站信息查看与设置 (35)
1 网站流量查看 (35)
2 网站流量设置 (36)
3 网站连接数查看 (37)
4 网站连接数设置 (38)
5 网站CPU查看 (39)
第五章、主机维护 (40)
一、系统服务设置 (40)
1 重启IIS (40)
2 重启服务器 (41)
3 远程桌面管理 (41)
蓝盾入侵防御系统(BDNIPS)技术白皮书
蓝盾入侵防御（BD-NIPS）系统技术白皮书
蓝盾信息安全技术股份有限公司
目录
一、产品需求背景 (3)
二、蓝盾入侵防御系统 (4)
2.1概述 (4)
2.2主要功能 (5)
2.3功能特点 (8)
2.3.1固化、稳定、高效的检测引擎及稳定的运行性能 (8)
2.3.2 检测模式支持和协议解码分析能力 (8)
2.3.3 检测能力 (9)
2.3.4 策略设置和升级能力 (11)
2.3.5 响应能力 (12)
2.3.6管理能力 (13)
2.3.7 审计、取证能力 (14)
2.3.8 联动协作能力 (15)
三、产品优势 (16)
3.1强大的检测引擎 (16)
3.2全面的系统规则库和自定义规则 (16)
3.3数据挖掘及关联分析功能 (16)
3.4安全访问 (16)
3.5日志管理及查询 (17)
3.6图形化事件分析系统 (17)
四、型号 (18)
一、产品需求背景
入侵防御系统是近十多年来发展起来的新一代动态安全防范技术，它通过对计算机网络或系统中若干关键点数据的收集，并对其进行分析，从而发现是否有违反安全策略的行为和被攻击的迹象。也许有人会问，我已经使用防火墙了，还需要入侵防御系统吗？答案是肯定的。
入侵防御是对防火墙及其有益的补充，入侵防御系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与在线防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。入侵防御被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。
无线网络入侵检测系统产品介绍
蓝云信息
无线网络蓬勃发展
• • • 移动互联网正在爆炸式增长 习惯于WiFi热点的覆盖 在工作场所自己架设WiFi热点
安全隐患
• WiFi热点可能是邪恶的
安全隐患
• 工作场所架设的WiFi热点开放了内网的接入口，绕过 了有线网络的防火墙
停车场上的黑客
BlueSecurity—阻断
• 阻断是针对无线终端与WiFi热点的连接来实现的
BlueSecurity—部署模式
单点模式是针对轻量级的应用环境，管理的空间小，设备少（如较大的空旷房 间或者机密的小空间）
24
BlueSecurity—部署模式
多点模式将使用服务器处理信息，使用特制的传感器监测无线空间，可以弹性 扩展，适合整个楼宇或者大面积室内区域的监控
BlueSecurity—异常事件检测
• 异常连接
– – 发现非授权的无线终端连接已连入内网的WiFi热点发出警报 无论WiFi热点授权与否，都需要警报
BlueSecurity—异常事件检测
• 异常连接
– – 发现授权的无线终端连接未授权的WiFi热点发出警报 遭遇钓鱼攻击会出现此类情况
BlueSecurity—异常事件检测
检测随身WiFi
• • • 将携带的随身WiFi B接入一台PC（已接入内网） 非法WiFi热点侵入报警 使用无线终端，如手机接入WiFi B,
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2、系统构架
蓝盾入侵检测系统体系结构以及各组成部分的关系如下图所示：
网络通讯包
分组捕获器 网络协议解码器
检测引擎部分
内部 网络 信息处理分中心
控制中心部分
信息处理中心
预处理系统 入侵检测系统
预警系统
预警响应中心 互动中心
入侵模式库
用户
蓝盾入侵检测系统体系结构
蓝盾入侵检测系统是基于网络的入侵检测系统，同主机日志审计型入侵检测 系统相比，在实时性、适应性、可扩展性方面具有其独特的优势。基于网络的入
3、 应用环境
BD-NIDS 控制中心可运行于微软的 Windows 98 、Windows 2000、Windows NT 以及 Windows XP 等操作系统上。
BD-NIDS 检测引擎是安装在计算机局域网上的物理设备，它可以同时监控 两个网段，它的主要功能是采集网络上的数据包信息，按照设定的规则过滤出 相关的数据，对于入侵或非法登录实时报警或切断，同时向控制中心发送报警 信息。
第 1 页(共 10 页)
蓝盾入侵检测系统分发与操作手册
广东天海威数码技术有限公司
第一部分 分发
1、 产品组成
BD-NIDS 包含控制中心和检测引擎两部分。 BD-NIDS 控制中心是整个入侵检测系统的控制部分。它负责接收网络上多个 检测引擎传回的多种信息，处理这些信息，并提供入侵预警，控制中心还负责控 制检测引擎系统的运行，提供对报警信息、原始网络两信息的记录和检索、统计 等功能。
广东天海威数码技术有限公司
一个管理口。根据网络安全需要将两个检测口分别连接到内部网和 DMZ，管理 口连接到管理网。在图 1 中可以使用集线器或带监听的交换机。
2、 BD-NIDS 控制中心安装
在管理网的计算机上安装控制中心。 第一步： 启动计算机并进入 Windows(9x/NT/2000/XP) 第二步： 在安装盘中选择并运行“ 蓝盾入侵检测系统安装.exe” 第三步： 进入选择安装目录界面
分组捕捉器通过分组捕捉机制，为入侵检测系统提供从物理网络（网络接口 卡）直接收集数据链路层网络原始信息的能力。网络协议解码器实现了相当于计 算机系统中网络协议栈的功能，将由分组捕捉器获得的原始网络信息，根据不同 的网络协议解码相应的分组数据结构，并将已解码的协议分组信息提交入侵检测 引擎和轮廓引擎。入侵检测系统对已解码的网络协议数据进行分析，并从这些网 络活动中寻找预先定义的攻击模式，一旦发现其中含有攻击事件的特征标志，即 将此事件提交预警系统。预警系统根据入侵检测引擎提交的事件种类，根据预先 指定的响应行为来执行相应的动作。入侵模式库用来描述攻击事件的特征和相应 的响应规则。用来对入侵检测引擎进行控制，使其能根据所描述的攻击事件模式 特征来识别攻击事件，并控制预警系统的相应动作。预处理系统用于预先处理各 种网络信息，比如TCP流重组、UNICODE漏洞检测等，预处理系统可以检测各种已 知或未知的入侵企图。检测引擎的信息处理分中心用于同控制中心进行各种信息 的交流，包括接受控制中心的命令、向控制中心报警、为控制中心提供各种原始 网络信息等功能。控制中心的信息处理中心用于同检测引擎的信息处理分中心进 行通讯，其功能包括控制各检测引擎、接收检测引擎送回的各种命令。预警响应 中心用于将检测引擎送回的各种预警信息记录在案并向系统管理员报警。
第二部分 操作 ........................................................................................................................................4
1、 BD-NIDS检测引擎安装 ..............................................................................................................4 2、 BD-NIDS控制中心安装 ..............................................................................................................5 3、 BD-NIDS启动与关闭 ..................................................................................................................6 4、 BD-NIDS操作设置 ......................................................................................................................7
BD-NIDS 检测引擎实际是系统运行的核心，它监听该引擎所在的物理网 络上的所有通信信息，并分析这些网络通信信息，将分析结果与检测引擎上运行 的策略集相匹配，依照匹配结果对网络信息的交换执行报警、阻断、日志等功能。 同时它还需要完成对控制中心指令的接收和响应工作。蓝盾入侵检测系统的检测 引擎部分是由策略驱动的网络监听和分析系统两部分组成。
4、 升级
在控制中心提供了升级引擎系统功能，控制中心可以将最新入侵检测特征 库，分发到每个检测引擎上。
第 3 页(共 10 页)
蓝盾入侵检测系统分发与操作手册
广东天海威数码技术有限公司
5、 版本识别
控制中心显示 BD-NIDS 引擎的版本及控制中心版本。BD-NIDS 的所有文件 都使用了版本控制技术。目前都是 1.0 版本。
第二部分 操作
1、 BD-NIDS 检测引擎安装
BD-NIDS 安装示意图如下：
图 1：蓝盾入侵检测系统示意图 根据网络安全需要将 BD-NIDS 检测引擎安装在网络的关键点，检测引擎可 即安即用。图 1 中两个独立的网络是内部网和 DMZ，检测引擎有两个检测口和
第 4 页(共 10 页)
蓝盾入侵检测系统分发与操作手册
蓝盾入侵检测系统 (BD-NIDS)
分 发 与 操 作 手 册
广东天海威数码技术有限公司 日期：2002-9-22
蓝盾入侵检测系统分发与操作手册
广东天海威数码技术有限公司
目录
第一部分 分发 ........................................................................................................................................2
1、 产品组成 .................................................................................................................................2 2、系统构架 ........................................................................................................................................ 2 3、 应用环境 ......................................................................................................................................3 4、 升级 ..............................................................................................................................................3 5、 版本识别 ......................................................................................................................................4
图 2 选择目录界面
第四步：开始拷贝文件
图 3 选择目录
第 5 页(共 10 页)
附录 .......................................................................................................................................................... 9
4.1、 网卡IP地址 ...........................................................................................................................7 4.2、 引擎设置...............................................................................................................................7 4.3、 报警开关设置.......................................................................................................................7 4.4、 缓冲设置...............................................................................................................................7 4.5、 IP分组流水和入侵信息设置 ...............................................................................................8 5、 BD-NIDS日志说明 ......................................................................................................................8
第 2 页(共 10 页)
蓝盾入侵检测系统分发与操作手册
Biblioteka Baidu
广东天海威数码技术有限公司
侵检测系统在数据链路层对通过网络传输的数据包进行实时的监听与检查，在检 测网络入侵事件与入侵企图方面，有其固有的优势。
蓝盾入侵检测系统从体系结构上分为二个主要部分：检测引擎部分和控制中 心部分。检测引擎部分是入侵检测的主体部分，负责发现入侵企图并向控制中心 报告各种有用信息；控制中心是系统的控制部分，负责向用户通报各种信息，控 制检测引擎的运行。检测引擎和控制中心的通讯使用内部局域网络（一般是专用 内部局域网络）。一个控制中心可以控制多个检测引擎。