天阗入侵检测与管理系统
反扫描技术的原理及应用
反扫描技术的原理及应用摘要：在网络生活中，扫描是很多黑客攻击第一步。
因此，我们要做的第一步就是反扫描工作，拒绝黑客的攻击。
本文简要地阐述了反扫描技术的原理、组成部分以及实际应用，对最新反扫描技术的成果进行了简单的介绍。
关键词：防火墙技术、入侵检测技术、审计技术、访问控制技术、信息欺骗扫描是网上攻击者获取信息的最重要途径，是攻击开始的前奏。
黑客常常利用扫描技术进行信息的收集。
因此，做好反扫描工作刻不容缓。
当然，防范和发现扫描需要靠多种技术综合才能做到。
网络管理员或者个人用户为了阻止非正常的扫描操作并防止网络攻击，增加系统安全性，研究了反扫描技术。
一、反扫描技术的原理扫描技术一般可以分为主动扫描和被动扫描，它们都是需要在扫描过程中与受害主机互通正常或非正常的数据报文。
其中主动扫描是主动向受害主机发送各种探测数据包，根据其回应判断扫描的结果。
被动扫描是与受害主机建立正常的连接后，发送属于正常范畴的数据包，并且被动扫描不会向受害主机发送大规模的探测数据。
要想进行反扫描，其原理如下：1.减少开放端口，做好系统防护。
默认情况下，有很多不安全或没有什么用的端口是开启的。
21端口的FTP服务，易被黑客通过匿名登录利用，建议如不架设FTP，就关闭。
53端口DNS服务，最易遭到黑客攻击，建议如不提供域名解析服务，就关闭。
135端口远程过程调用，易被“冲击波”病毒攻击，建议不定期关闭该端口。
还有139、443、445、1080等端口都存在易被黑客攻击的漏洞。
因此，减少开放端口对于做好系统防护工作是十分有必要的。
2.实时监测扫描，及时做好警告。
我们每个人都应有安全意识，对计算机要定期进行全盘扫描，防止病毒入侵。
对于外来插入的移动存储介质，也应先扫描再打开。
对于不确定是否安全的文件，可以在沙箱中打开查看。
在上网的过程中，防火墙及个人杀毒软件都要打开，进行实时监测，谨防网络病毒。
最好的办法是用虚拟机上网，可以大大减少网络病毒对主机的危害。
入侵检测系统(IDS)
信息分析
模式匹配----误用检测（Misuse Detection）
维护一个入侵特征知识库 准确性高
统计分析--------异常检测（Anomaly Detection）
统计模型 误报、漏报较多
完整性分析
关注某个文件或对象是否被更改 事后分析
17
模式匹配
模式匹配就是将收集到的信息与已知的网络入侵 和系统误用模式数据库进行比较，从而发现违背 安全策略的行为
入侵检测系统IDS
黑客攻击日益猖獗,防范问题 日趋严峻
政府、军事、邮电和金融网络是黑客攻击的主要 目标。即便已经拥有高性能防火墙等安全产品， 依然抵挡不住这些黑客对网络和系统的破坏。据 统计，几乎每20秒全球就有一起黑客事件发生， 仅美国每年所造成的经济损失就超过100亿美元。
网络入侵的特点
特点：异常检测系统的效率取决于用户轮廓的完 备性和监控的频率。因为不需要对每种入侵行为 进行定义，因此能有效检测未知的入侵。同时系 统能针对用户行为的改变进行自我调整和优化， 但随着检测模型的逐步精确，异常检测会消耗更 多的系统资源。
误用检测模型
如果入侵特征与正常的用户行为能匹配，则系统 会发生误报；如果没有特征能与某种新的攻击行 为匹配，则系统会发生漏报。
NetRanger IDS
Intrusion Detection公司
Kane Security Monitor
Axent Technologies公司
OmniGuard/Intruder Alert
当前主流产品介绍
Internet Security System公司
RealSecure
识别黑客常用入侵与攻击 监控网络异常通信 鉴别对系统漏洞和后门的利用 完善网络安全管理
入侵检测系统
入侵检测系统1. 引言1.1 背景近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。
作为网络安全防护工具“防火墙”的一种重要的补充措施，入侵检测系统(Intrusion Detection System，简称 IDS)得到了迅猛的发展。
依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性从外面看似非常安全，但内部缺乏必要的安全措施。
据统计，全球80%以上的入侵来自于内部。
由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。
入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。
在入侵攻击过程中，能减少入侵攻击所造成的损失。
在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。
入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性。
1.2 背国内外研究现状入侵检测技术国外的起步较早，有比较完善的技术和相关产品。
如开放源代码的snort，虽然它已经跟不上发展的脚步，但它也是各种商业IDS的参照系；NFR公司的NID等，都已相当的完善。
虽然国内起步晚，但是也有相当的商业产品：天阗IDS、绿盟冰之眼等不错的产品，不过国外有相当完善的技术基础，国内在这方面相对较弱。
2. 入侵检测的概念和系统结构2.1 入侵检测的概念入侵检测是对发生在计算机系统或网络中的事件进行监控及对入侵信号的分析过程。
使监控和分析过程自动化的软件或硬件产品称为入侵检测系统（Intrusion Detection System），简称IDS。
TDS
天阗威胁检测与智能分析系统四川新华智合科技有限责任公司二零一零年九月目录1.TDS是什么？ (1)2.为什么会出现TDS？ (1)3.TDS的功能特点 (2)4.IDS的不足 (2)5.TDS针对传统IDS的优势 (3)5.1全面的威胁检测能力 (3)5.2专家级的智能分析能力 (4)5.3可视化的威胁呈现能力 (5)1. TDS是什么？天阗威胁检测与智能分析系统是启明星辰公司自行研制开发的新一代入侵检测类网络安全产品。
她继承并发扬了启明星辰天阗入侵检测与管理系统的入侵检测能力，用以满足在网络在面临海量攻击事件情况下的威胁检测与呈现需求。
她一方面增强了检测能力，融特征检测、精确检测算法以及基于基线的异常检测为一体，使其可以检测到日新月异的攻击；另外，更为突出的是，她提供了传统IDS产品所不具备的智能分析能力，通过对事件的智能分析，帮助管理员找到真正具有威胁能力的事件，这大大降低了运维工作量，使威胁处理成为可能。
同时，她提供了对信息系统整体事件的威胁态势分析，帮助决策者实现针对当前威胁态势的安全建设决策。
启明星辰在入侵检测技术领域的成就深受国家权威部门的肯定和认可，是国家计算机网络应急技术处理协调中心(CNCERT)和CNCVE的承建单位.。
同时，启明星辰公司的天阗入侵检测通过了CVE严格的标准评审，获得最高级别的CVE兼容性认证（CVE Compatible），从而成为国内IDnVA市场中较少的获得CVE认证的厂商之一，这标志着启明星辰公司在入侵检测方面的技术实力已与国际接轨，其研发成果已得到了国际权威组织的充分认可。
天阗威胁检测与智能分析系统正是基于启明星辰强大的技术实力基础上，研制开发出的具备强大的功能的智能系统。
它是第一款可以在面临海量攻击事件网络中有效的帮助用户进行威胁事件处理一级威胁态势分析的产品。
2. 为什么会出现TDS？在黑客技术仅仅被少数人利用的时代，入侵检测技术被用于发现这些黑客的攻击行为。
易驱CV用户手册
易驱CV用户手册一、产品概述易驱CV是一款高性能的数据转换器，旨在满足用户在各种复杂环境下的数据转换需求。
本产品具有即插即用、方便携带、兼容性强等特点，是专业技术人员和普通用户理想的数据转换工具。
二、产品特点1、高速传输：易驱CV采用最新的USB3.0技术，支持高速数据传输，极大提高了数据转换的效率。
2、全面兼容：本产品兼容多种操作系统，无需安装驱动程序，即可在任何计算机上使用。
3、便携设计：易驱CV采用轻便、耐用的设计，方便用户随时随地使用。
4、稳定可靠：经过严格的质量控制和测试，易驱CV具有高度的稳定性和可靠性，确保数据传输的安全。
三、使用步骤1、将易驱CV插入计算机的USB端口。
2等待系统自动识别并安装驱动程序，如有需要，手动安装驱动程序。
3、在计算机上打开文件管理器，找到并打开易驱CV的存储设备。
4、将需要转换的数据文件复制到易驱CV的存储设备中。
5、完成数据转换后，将转换后的数据文件从易驱CV的存储设备中复制到目标位置。
四、注意事项1、请勿在易驱CV工作时断开连接，以免造成数据丢失或设备损坏。
2、请勿将易驱CV暴露在高温、高湿、多尘的环境中，以免影响其正常工作或缩短使用寿命。
3、请定期对易驱CV进行清理和保养，以保证其良好的工作状态。
4、如遇到任何使用问题或故障，请及时售后服务中心获取帮助。
五、售后服务我们提供全面的售后服务，包括产品咨询、使用指导、故障排除等。
如遇到任何问题，欢迎我们的客服团队，我们将尽快为大家解决。
我们还提供产品保修服务，如产品在正常使用下出现质量问题，我们将免费为大家维修或更换。
vacon变频器用户手册标题：Vacon变频器用户手册一、引言本用户手册旨在为使用Vacon变频器的用户提供详细的使用指南和操作建议。
Vacon变频器是一种广泛使用的电力转换设备，可实现交流电源频率的稳定输出，适用于各种工业和商业应用。
在阅读本手册之前，我们建议用户仔细阅读本手册，并按照指南进行操作，以确保安全和设备正常运行。
天阗入侵检测与管理系统安装手册
用户安装手册——天阗入侵检测与管理系统产品名称：天阗入侵检测与管理系统版本标识：V6.0.3.1单 位：北京启明星辰信息安全技术有限公司版 权 声 明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息安全技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其作出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息安全技术有限公司2008年4月出版。
北京启明星辰信息安全技术有限公司保留对本手册及本声明的最终解释权和修改权。
目次1．简述 (1)2．安装准备 (1)2.1管理软件安装准备 (1)2.2引擎安装准备 (2)2.3网络资源准备 (3)3．开箱检查 (4)4．软件安装 (5)4.1网络型管理软件安装 (5)4.2管理型管理软件安装 (11)4.3使用O RACLE数据库的注意事项 (15)4.4软件卸载 (16)5．引擎安装与配置 (17)5.1接口说明 (17)5.2超级终端安装及设置 (17)附录A 快速使用流程 (25)附录B 多级管理设置 (28)附录C 数据源的配置 (31)天阗用户安装手册 1．简述天阗入侵检测与管理系统由管理软件和引擎两部分组成，管理软件是产品包装中附的免费软件。
启明星辰IDS用户安装手册
用户安装手册用户安装手册——天阗V6.0产品名称：天阗入侵检测与管理系统版本标识：V6.0.1.8单位：北京启明星辰信息技术有限公司北京启明星辰信息技术有限公司天阗用户安装手册版权声明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其作出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息技术有限公司2006年3月出版。
北京启明星辰信息技术有限公司保留对本手册及本声明的最终解释权和修改权。
1用户安装手册目录第1章软件安装 (1)1.1 准备条件 (1)1.2 网络型安装过程 (1)1.2.1 MSDE数据库 (3)1.2.2网络入侵检测 (3)1.3 管理型安装过程 (10)1.3.1 MSDE数据库 (12)1.3.2网络入侵检测 (12)1.3.3异常流量监测 (21)1.3.4入侵事件定位 (22)1.3.5入侵风险评估 (24)1.3.6天阗使用Oracle数据库的注意事项 (25)第2章软件卸载 (26)第3章硬件安装 (27)3.1 准备条件 (27)3.2 标识说明 (27)3.3 超级终端安装及设置 (28)3.4 天阗网络引擎配置 (33)3.5 应用配置 (34)3.5.1选项介绍 (34)3.5.2初始应用 (36)3.6 常用交换机镜像设置 (36)附录一：快速使用指南 (41)快速使用流程 (41)多级管理设置 (44)附录二：数据源的配置 (48)北京启明星辰信息技术有限公司天阗用户安装手册第1章软件安装1.1准备条件硬件配置要求：CPU：P 4 2.0 以上RAM：1G以上硬盘：20G以上的剩余空间网卡：Intel百兆或千兆电口网卡辅件：光驱、键盘、鼠标注：推荐您最好专机专用，安装天阗控制台的机器不要作为其他用途的服务器。
天阗6.0入侵检测系统使用维护
天阗6.0常见问题处理
如何确定控制中心与探测引擎通信正常
在控制中心使用ping <探测引擎IP>命令后， 使用 arp –a 命令。若出现探测引擎IP 并其 MAC地址，则说明控制中心与探测引擎通 信没问题。 若控制中心与探测引擎中间有路由器存在， 可以使用以下命令：telnet <探测引擎IP> 22。（需要先在探测引擎打开该端口） 。 若连接不被切断有信息返回说明控制中心 与探测引擎通信没问题。
网络入侵检测系统常用功能 网络入侵检测系统高级功能 网络入侵检测系统日常维护
日常工作建议
每日查看天阗控制台工作是否启动或是 否工作正常。 每日查看控制台连接引擎是否正常 每日早晚各一次查看报警信息。 对可疑事件进行及时分析。 及时调整并下发天阗工作策略。 根据情况及时上报事件。
日常维护建议
至少每周进行一次天阗事件库更新。 注意启明星辰网站对天阗事件库的更新 或从售后服务部门获取。 注意天阗控制中心和引擎的升级包。 定期查看日志数据库大小及进行数据库 维护。
表示不等于 表示小于关系 表示相等关系 表示大于关系 表示包含关系
变量定义
常用变量定义 源地址:ip_sip 目的地址:ip_dip 源端口:tcp_sport 目的端口:tcp_dport
动态策略
新建方案 添加规则
响应方式 过滤条件 合并方式
高级功能
多级管理 响应方式 过滤条件 事件合并 事件自定义 动态策略
天阗6.0常见问题处理
如何确认天阗安装完全
控制中心，检查snmp是否正确安装 添加组件，看下拉列表。 打开管理报表，看水晶报表 打开服务，查看datatransfer（数据传 输）、venusautostora测引擎与控制中心连接不上
威胁管理-天阗入侵检测(IDS)
产品简介天阗入侵检测与管理系统（IDS）是启明星辰自主研发的入侵检测类安全产品，其主要作用是帮助用户量化、定位来自内外网络的威胁情况，提供有针对性的指导措施和安全决策依据，并能够对网络安全整体水平进行效果评估，天阗入侵检测与管理系统（IDS）采用了融合多种分析方法的新一代入侵检测技术，配合经过安全优化的高性能硬件平台，坚持“全面检测、有效呈现”的产品核心价值取向，可以依照用户定制的策略，准确分析、报告网络中正在发生的各种异常事件和攻击行为，实现对网络的“全面检测”，并通过实时的报警信息和多种格式报表，为用户提供翔实、可操作的安全建议，帮助用户完善安全保障措施，确保将信息“有效呈现”给用户。
功能特点●全面检测——全面信息收集：天阗IDS支持多级、分布式部署，实现策略统一下发，信息集中收集。
——全面协议分析：天阗IDS支持协议自识别与协议插件技术，可准确识别非常规端口的协议和新型协议。
——全面检测机制：天阗IDS支持基于特征和基于原理的两种检测方式，在保障检测精度的基础上，扩大了检测可识别的范围。
——全面事件分析：启明星辰有一套业界最规范的后继服务支撑体系，确保对新型事件的快速准确响应。
——全面检测范围：天阗IDS提供网络入侵事件、网络违规事件、流量异常事件等多种异常检测。
——全面检测性能：天阗IDS采用最短时间优先算法，确保了产品在网络数据高负载情况下的检测效率。
●有效呈现——精确报警信息：天阗IDS结合了环境指纹技术，在发现有攻击行为后，与存储的环境信息进行二次匹配，将那些能够确信为“有用”的报警信息单独呈现，减少用户的分析操作消耗。
——详尽信息呈现：天阗IDS的报警信息除了事件的双方地址、协议等信息外，还包括了对事件的具体描述、漏洞信息、修补建议、影响系统等，可以将最细致的事件信息呈现给用户。
——威胁地址定位：天阗IDS提供与实际地理拓扑相结合的报警显示方式。
在大规模部署的情况下，可以将设备拓扑与地理拓扑相结合，使得管理员可以直观而迅速的判断威胁所在。
天阗入侵检测实验手册
产品认证工程师培训实验手册 ---入侵检测系统启明星辰信息技术有限公司培训认证部为了更好的方便用户使用和配置天阗6.0入侵检测系统，我们为用户提供了以下实际使用环境中的实验，每个案例都是很典型的实例。
包括以下内容：实验1：通过超级终端登陆探测引擎,并进行配置实验2：对控制中心进行基本配置操作实验3：在显示中心添加树形窗口，可以查看不同安全级别的事件发生的目的IP、源IP及事件的名称。
实验4：使用策略向导生成一个新策略，在策略中不包含TFTP、FINGER、RLOGIN 协议；危险级别只包含高级事件、中级事件两类。
实验5：生成这三天综合报表；生成危险级别_目的IP地址的交叉报表。
实验6：设置每月自动备份日志。
目录实验1 (4)实验2 (10)实验3 (16)实验4 (18)实验5 (23)实验6 (26)实验1：实验题目：通过超级终端登陆探测引擎,并进行配置实验目的：使参训人员了解天阗6.0入侵检测系统的探测引擎如何通过超级终端登陆并进行相关配置实验步骤：一、 识别标识网络引擎上一共有三种用途的信号接口和一个USB端口，他们的说明如下：：超级终端的连接端口；：硬件引擎的数据包监听/串接端口，连接交换机的镜像端口；：硬件引擎的管理控制端口，主要用于与控制台通讯；: 硬件引擎的USB端口，主要用于引擎系统软件的升级。
二、 超级终端安装及设置1、启动超级终端(以windows 2000 advanced server为例)。
如图1-1所示：图1-12、新建连接名称—输入相应名称。
如图1-2所示：图1-23、选择连接时使用的COM口，根据串口线所连接到控制中心计算机上具体的COM 口号来确定选择哪个COM口。
如图1-3所示：图1-34、端口设置选择“还原为默认值”图1-4三、 天阗网络引擎配置1．天阗网络引擎利用超级终端进行基本设置，配置好超级终端以后，回车进入探测引擎启动画面。
如图1-5所示：图1-52．输入用户名：venus，回车后再输入正确的密码(出厂密码设置为1234567)后进入如图1-6所示：图1-6在超级终端上显示的控制界面分成4个部分：配置选项、辅助选项、恢复选项和退出选项。
启明星辰 网御星云ids用户配置手册
用户安装手册——天阗入侵检测与管理系统产品名称：天阗入侵检测与管理系统版本标识：V7.0.1.0单位：北京启明星辰信息安全技术有限公司版权声明本手册中任何信息包括文字叙述、文档格式、插图、照片、方法、过程等内容，其著作权及相关权利均属于北京启明星辰信息安全技术有限公司（以下简称“本公司”），特别申明的除外。
未经本公司书面同意，任何人不得以任何方式或形式对本手册内的全部或部分内容进行修改、复制、发行、传播、摘录、备份、翻译或将其全部或部分用于商业用途。
本公司对本手册中提及的所有计算机软件程序享有著作权，受著作权法保护。
该内容仅用于为最终用户提供信息，且本公司有权对其做出适时调整。
“天阗”商标为本公司的注册商标，受商标法保护。
未经本公司许可，任何人不得擅自使用，不得进行仿冒、伪造。
本公司对本手册中提及的或与之相关的各项技术或技术秘密享有专利（申请）权、专有权，提供本手册并不表示授权您使用这些技术（秘密）。
您可通过书面方式向本公司查询技术（秘密）的许可使用信息。
免责声明本公司尽最大努力保证其内容本手册内容的准确可靠，但并不对因本手册内容的完整性、准确性或因对该信息的误解、误用而导致的损害承担法律责任。
信息更新本手册依据现有信息制作，其内容如有更改，本公司将不另行通知。
出版时间本文档由北京启明星辰信息安全技术有限公司2013年8月出版。
北京启明星辰信息安全技术有限公司保留对本手册及本声明的最终解释权和修改权。
目录1．简述 (1)2．安装准备 (1)2.1天阗V7.0控制中心安装准备 (1)2.1.1 硬件需求 (1)2.1.2 软件需求 (2)2.2引擎安装准备 (3)2.3网络资源准备 (4)3．开箱检查 (5)4．软件安装 (6)4.1天阗V7.0控制中心安装 (6)4.1.1 SQL Server 2005 Express edition数据库 (7)4.1.2 天阗入侵检测与管理系统V7.0 (23)4.2软件卸载 (35)5．引擎安装与配置 (37)5.1接口说明 (37)5.2超级终端安装及设置 (37)5.2.1 超级终端安装 (37)5.2.2 超级终端启动 (38)5.2.3 引擎配置 (41)5.2.4 引擎接入位置简介 (47)附录A 快速使用流程 (48)附录B 多级管理设置 (51)附录C 常用交换机镜像设置 (53)天阗V7.0.1.0用户安装手册1．简述天阗产品由天阗入侵检测与管理系统V7.0控制中心和引擎两部分组成，控制中心是产品包装附的免费软件，包括主页、威胁展示、流量统计、日志报表、常用配置、高级配置、帮助这7个大模块组成。
启明星辰产品介绍
可视化IDS
威胁检测系：垂直检测让安全事件呈现变得简单
遭到非法入侵
软件系统信息
天阗入侵检测系统
管理权限获取
服务器账户管理
恶意代码检测系统
文档信息
敏感信息检测系统
敏感信息获取
银行卡卡号信息
异常流量检测系统
正常访问受阻
身份证信息
垂直引擎
Hale Waihona Puke 安全审计系：精确溯源才能实现安全审计目标
安全审计系——天玥系列
天玥网络安全审计系统 （数据库审计）
启明星辰安全产品全产品介绍
启明星辰全流程安全产品布局
无线安全 防火墙 边界安全 UTM VPN 入侵防御 终端安全 终端管理 入侵检测
检查 管控 监测
业务安全监控 应用性能管理 网络行为分析
身份与网络管理 运维安全管控 互联网行为管控 Web核查
安全运营管理平 台
安全管理
应用安全
Web应用防火墙
配置核查
WS1000
外部客户端
射频安全区
访客电脑
安全工具系：网络风险需要清晰呈现
安全工具系——天镜系列
系统扫描 关键需求
假如有一天，我要向领导 汇报网络中都有哪些风险 点？ 假如有一天，领导需要我 提交网络升级方案怎么办？
Web应用扫描 产品功能
操作系统扫描 弱口令检测 无线脆弱检测 威胁集中呈现 应用系统扫描 Web网站扫描 风险综合评估 修复建议指导
无线安全检测 针对问题
对各类操作系统、应用系 统、Web网站及网络设备 的脆弱性的全面检测 对各类安全风险及隐患的 全面呈现 量化资产面临的风险并提 供修复建议
办公网络
假如上级主管机关检查， 需要我提交合规报告怎么 办？ 部署示意
启明星辰产品速查手册V2
WAG-WAF210
1U设备，8个10/100/1000Base-T接口，单电源。
WAG-WAF1010
1U设备，12个千兆Combo接口，单电源。
WAG-WAF1010R
2U设备，12个千兆Combo接口，双电源。
WAG-WAF1020
3.2.4.
对中小企业
部署USG网关让中小企业用户可以在一个统一的架构上建立自己的安全基础设施，而以往困扰用户的安全产品协调性、资金和技术匮乏和缺乏中小企业级安全解决方案等问题也能够得到完全解决。
USG网关产品部署在总部和分支机构网络Internet出口，同时开启FW、AV和IPS功能，全面抵御来自互联网的病毒和攻击威胁。同时可作为VPN网关，各分支机构与总部之间开启VPN隧道，保证相互间通信的保密性。SOHO员工和在外出差的员工可以在任何时候通过VPN客户端与总部的天清汉马USG一体化安全网关建立VPN隧道，访问公司内部的资源，实现高效安全的网络应用。
2.2.2.
在代理部署模式下，天清WAG的业务口工作在路由方式下，业务口分配IP地址。代理模式需更改用户原有的网络拓扑，在代理部署模式下，能够完全对访问用户隐藏Web服务器的真实IP地址，有效保障Web服务器安全。代理模式为Web服务器提供了最高程度的保护，能够确保Web服务器操作系统、发布程序不直接暴露在Internet，保障Web应用的安全。
大型企业
对于大型企业，网络规模较大、用户数量多、业务系统较多，网络建设类似于城域网。在安全建设方面也存在多点建设，除去在集团总部的互联网出口需要安全防控外，各下属单位也有安全防护需求。
图大型企业网络结构示意图
在总部互联网出口部署的天清汉马USG一体化安全网关能够抵御来自互联网的入侵攻击，同时为出差员工提供VPN接入，确保通信的保密性。在各单位出口部署USG网关，可以有效控制不同部门之间的越权访问，并且防止病毒在内网的大规模爆发。
启明星辰天阗千兆入侵检测系统问世
启 明 星 辰 吸 取 了 在 其 百 兆 入 侵 检 测 的 成 熟 产 品 开 发 和 广 泛 环 境 应 用 尤 其 是 国 内 最 大 规 模 分 布 式 入 侵 检 测 系 统 的部 署 应 用 下 的成 功 经 验 ， 数 据 高 速 采 集 技 术 和 在 高 速 分 析 算 法 等 方 面 的先 进 技 术 取 得 了 具 有 划 时 代 意 义 的 巨大 突破 ， 而 实 现 了 从 在 高 速 网络 环 境 下 入 侵 行 为 的实 时 检 测
算 机入侵 和病 毒以及其 他安全事 故一直
如 影 随 形 般 伴 随 着 网络 的 发 展 ， 网 络 升 级 了 ，那 么 安 全 呢 ？ 网络 进 入 了 千 兆 时 代 ， 信 息 安 全 产 品还 停 留在 百 兆 时 代 ， 而 即 保 证 不 了 网 络 的 安 全 ，反 而 会 成 为 网
力 的 有效 方 法 。
生 了计算机技术 ，自从 网络体系 取代单
机 应 用 以来 ，人 们 一 直 在 为 提 高 网 络 互 联 的速 度 而 奋 斗 。从 最 早 的 Ｋ级 传 输 速 度 的 网 络 到 １ Ｍ １０ 传 输 速 度 的 网络 ， ０ ＼０ Ｍ
直 到 现 在 千 兆 级 网 络 已成 为 现 实 ，从 文
维普资讯
ｔ ｓ ｒ ｉ ｅｉ 日 ｎ ｃｔ ｕｙ
启 明星辰 天 阗千 兆 入侵 检 测 系统 问世
二 十 一 世 纪 高 速 发 展 的 现 代 科 学 诞 发 展 ， 千 兆 网络 交 换 设 备 、 兆 网 络 服 如 千 务 器 、 兆 级 网 络 防 火 墙 等 等 ， 统 的 百 千 传 兆 网 络 入 侵 检 测 产 品 无 法 适 应 现 有 的 网
天清入侵防御系统介绍
产品白皮书天清入侵防御系统（V6.0）（Intrusion Prevention System）版本标识：V6.0.1.0单位：启明星辰信息技术版权声明启明星辰信息技术所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等容，除另有特别注明外,其著作权或其他相关权利均属于启明星辰信息技术。
未经启明星辰信息技术书面同意，任何人不得以任何方式或形式对本手册的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
“天清”为启明星辰信息技术的注册商标，不得侵犯。
免责条款本文档依据现有信息制作，其容如有更改，恕不另行通知。
启明星辰信息技术在编写该文档的时候已尽最大努力保证其容准确可靠，但启明星辰信息技术不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
信息反馈如有任何宝贵意见，请反馈：信箱：市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦邮编：100094：8传真：0您可以访问启明星辰：获得最新技术和产品信息。
目录第1章概述1.1关于天清天清入侵防御系统（Intrusion Prevention System）是启明星辰信息技术自行研制开发的入侵防御类网络安全产品。
天清入侵防御系统围绕深层防御、精确阻断这个核心，通过对网络中深层攻击行为进行准确的分析判断，在判定为攻击行为后立即予以阻断，主动而有效的保护网络的安全。
启明星辰坚信，不了解黑客技术的最新发展，就谈不上对黑客入侵的有效防。
为了了解黑客活动的前沿状况，把握黑客技术的动态发展，深化对黑客行为的本质分析，预防黑客的突然袭击并以最快速度判断黑客的最新攻击手段，启明星辰专门建立了积极防御实验室(V-AD-LAB)，通过持续不断地研究、实践和积累，逐渐建立起一系列数据、信息和知识库作为公司产品、解决方案和专业服务的技术支撑，如攻击特征库、系统漏洞库、系统补丁库和IP定位数据库等。
天阗威胁检测与智能分析系统
辅助处理辅助处理-固化处理流程
使用工具 详细口令
A.确认存在安全威胁 确认存在安全威胁 B.根据确认结果对事件进 根据确认结果对事件进 行分类
具体步骤 对事件处理方法的记录， 对事件处理方法的记录， 批处理同类事件
4 记录 3 处理 2 1 分析 确认
事件处理流程化并可积累处理经验！ 事件处理流程化并可积累处理经验！
事件频发，该优先处理哪些？ 事件频发，该优先处理哪些？ 哪些地址需要重点关注？ 哪些地址需要重点关注？
29
多维关联分析-处理结果如何
事件环比分析 ：本期工作成效
事件处理分析
：本期工作数量
事件发展分析
：本期事件趋势
攻击者分析
：是外界攻击者加强 导致事件变多还是工 作忽视？
30
多维关联分析 一次典型决策判断过程
5
安全必须与环境结合
环境
哪些事件值得关注？ 哪些事件值得关注？ 这些事件如何确认？ 这些事件如何确认？ 措施有效吗？ 措施有效吗？
事件
只有在实际网络环境结合分析安全事件才有意义。 只有在实际网络环境结合分析安全事件才有意义。
6
智能分析让威胁可视化
威胁可视化使得管理员提供 宏观信息，并能迅速直观发 现重点关注事件，还能能提 供辅助分析处理手段。
确定存在安全威胁 调整显示方式 自动处理同类事 件
抑制显示 处理事件
根据事件动态自动处理事件！ 根据事件动态自动处理事件！
21
• 从入侵到威胁 • 从量到质：突出重点事件 • 从难到易：事件辅助处理 • 从易到无：智能执行动作 • 从一到多：多维智能分析 • 体系结构
多维关联分析提供可决策的报告
• 频发事件
– 对于蠕虫类等海量链 接事件，通过历史趋 势来判断威胁程度
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
事件说明：zotbot病毒是一
种。。。。。。。
响应
检测+“响应”
防护
影响系统：windows操作系统
处理建议：。。。。。。。。。。。。。。
补丁下载：
http://securityresponse.symantec.co m/avcenter/venc/data/w32.zotob.a. html
– 详细处理方法
事件名称： 事件 描述 影响
TCP_蠕虫_W32.zotob.a/b变种_IRCBOT
W32.zotob蠕虫是Mytob蠕虫的最新变种。目前该蠕虫产生了两个变种，名称分别为W32.zotob.a和W32.zotob.b。该事件表明源IP 主机已经中毒且正在连接目的IP的IRC服务器，并被攻击者远程控制。该蠕虫利用了微软2005年8月10日公布的最新系统严重漏洞 －－Microsoft Windows Plug and Play远程缓冲区溢出漏洞 (MS05-039) 进行主动攻击。Zotob蠕虫攻击TCP端口445，和冲击波、 振荡波方法类似，攻击代码向目标系统的445端口发送漏洞代码，使目标系统造成缓冲区溢出，同时运行病毒代码，进行传播。该 病毒传播的广度非常大。病毒攻击目标系统时 WINDOWS系统 b建议您：下载微软公布的MS05-039漏洞的最新补丁，避免病毒利用该漏洞攻击存在该漏洞的主机；升级最新的杀毒工 具，或者下载针对该蠕虫的专杀工具进行杀毒。 ，可能造成系统不断重启，类似于震荡波、冲击波发作时候的情形，但是Zotob蠕 虫影响的进程变了，为系统关键进程“Service.exe”。中毒的主机还可能会主动通过IRC连接某些IRC服务器上的机器人，并通过该 机器人被病毒散播者控制，病毒散播者可以远程控制连接到这些IRC服务器上的中毒主机进行一些非法的操作。。 Zotob蠕虫除了 利用漏洞攻击外，还具有邮件传播、自动下载新病毒等等这些邮件病毒所具有的危害。
36
天阗IDS的“第一”
• 连续六年国内IDS市场份额第一
– 多年市场成功销售，保证产品持续发展 – 客户遍布全行业，树立良好的用户口碑 – 销售全过程体系成熟：销售、售前、售后以及商务经验传承
• •
多次权威测评产品排名第一 IDS领域的技术先驱
– – – – – – –
– 最全面的资质认证，国际CVE产品兼容证书 – 各种专利技术保证产品检测能力和性能领先
扩充能力
基于原理检测 综合优势
基于特征检测 对新攻击的应 变能力
基于特征检测 综合优势
精确检测覆盖面
基于原理检测
27
全面检测之五：组网能力全面
• 面向复杂网络
OA办公区
生产网络 多个接口灵活组网模式：
•面对不同网络下发不同策略 •在同一界面上统一管理 TCO方面： • 免除重复投资 • 节略管理投入
BigHammer 内置防火墙交换机 IPS
定位威胁
安全策略服务器
IDS
AV
Internet
SmartHammer 防火墙
路由器
VPN VPN路由器 VPN
Radius & AAA
人员数据库
清除步骤
80端口
========== 1. 结束病毒进程 %System%\FuckJacks. exe ……
全面检测威胁面临的挑战之一
• 协议分析要求全面
公开协议 上千种应用 多种协议变量
协 议 分 析
未公开协议
数据库：TNS（oracle）、TDS（SQL）等
即时通讯：TCQ、MSNP等
动态协商端口
新型协议：SIP、P2P等
非标准端口
用户自行定义协议端口
12
全面检测威胁面临的挑战之二
• 攻击识别要求全面
•特点
–特征变，检测方法就要变
•特点
–特征变，检测方法不用变
动态的检测 以变应变 检测不全面
15
静态的检测 以不变应万变 检测扩充复杂
全面检测威胁面临的挑战之五
• 检测对象覆盖要求全面
– 面向多级网络
分支机构
Internet 单位总部
远程办公
合作单位
– 面向复杂网络
16
数据检测完整性保证
• 计算机数量和网络的发展
威 胁 管 理
IDS
入 侵 行 为 检 测
入 侵 行 为 呈 现
安 全 运 营
为风险管理提供基础数据，并为安全建设 决策提供参考 科学的安全建议，保证网络具备相应的威胁抵御能力 实时告警，多种格式用户报表，日志记录，历史备份等； 识别各种协议，对各种攻击、病毒等入侵行为的检测；
IDS为风险管理和安全决策提供支持
攻击行为 异常流量 网络协议 检测机制 物理覆盖
检测算法
部署位置
网络性能
检测 内容
检测 机制
检测 对象
检测 性能
全面检测
18
有效呈现威胁的诸多要求
多种用户自定义 不同部署位置
多种报警方式 结合网络拓扑 界面直接管理
功能自动执行
有效呈现
事件详细解释 及时报警显示
定位事件源头
清晰传播途径 科学处理步骤
•
——安全管理员
疑问：这么多信息都需要一条条分析么？ 能不能有一种方法降低IDS的报警数量？ 为什么会有这么多报警信息？
受病毒感染机器
Internet
UNIX
结合环境，精确报警信息， 降低“误”报率 “环境指纹”技术
ANI蠕虫
31
Solaris
AIX
有效呈现之二：详尽描述
• “看到报警应该怎么处理？”
– 摩尔定律
• 全世界因特网流量每6个月翻一番 • 一年内因特网上网用户翻两番
网 络 发 展
Internet、区域网络 多个局域网 单个局域网 单个局域网 单个PC 单个PC 1990S 2000S
多个局域网、单个
局域网、单个PC
单个PC
1980S
时间
网络规模的发展要求IDS满足高性能检测
17
小结-全面的威胁检测要求
9
IDS如何发挥应有价值
入侵检测
黑客攻击 蠕虫病毒 木马后门 间谍软件 ……
威胁管理
实时报警
事件统计 处理办法 安全措施
……
全面的检测覆盖
有效的威胁呈现
做好全面和有效才能体现IDS的价值
10
• 深入认识IDS价值
• 发挥IDS价值的客观要求 • 天阗全面检测与有效呈现 • 天阗IDS产品介绍 • 天阗典型应用
• 通过详细日志定位问题
大量低级事件为特殊 端口连接事件且主要 来自三台主机
5
IDS实际应用中的价值发挥
• 解决问题，有效控制病毒传播 – 措施1：禁止威胁扩散
主机：王二
– 措施2：寻求启明星辰安全专家帮助 – 措施3：升级IDS产品，根据处理方法杀毒
清除步骤
升级包
========== 1. 结束病毒进程 %System%\FuckJacks. exe ……
总控
总局主控制中心
数据汇总流
天阗IDS引擎 各地直属机构子控中心 直管分属子控中 心
– 威胁监控
• 通过事件报告发现异常： 类似蠕虫病毒
天阗IDS引擎
下级子控
天阗IDS引擎
下级子控
日常：周事件统计报告 高级 0；中级 245； 低级 1027；
异常：某周事件统计报告 高级 0；中级 266； 低级 51843； 现场对三台主机进行 排查，发现主机中出 现熊猫烧香图标
协议分析
协议伺服器
23
全面检测之二：流量检测
• 异常流量检测乱序算法
– 传统使用hash算法 • 性能较差 • 维护hash表将消耗极大内存 – 采用熵值计算的微缩算法 • 熵值是混乱和无序的度量 • 计算方法简单“S＝ KlnΩ” • 无需维护随会话量而增长的表
流量
时间
24
全面检测之三：攻击识别
1
• 深入认识IDS价值
• 发挥IDS价值的客观要求 • 天阗全面检测与有效呈现 • 天阗IDS产品介绍 • 天阗典型应用
回顾中国IDS历史
• IDS在中国
– 起源：抓“黑客”; 发展：入侵检测到威胁检测
3
IDS面临新需求
攻击效率越来越高，检测思路面临挑战 自动化攻击：出售攻击工具、黑色产业链
检测
这里的响应是指被动响应——报警
参考文 档:dfe./dfejw/df
相关编号：cve-xxxxx 危害描述：
32
有效呈现之三：关联定位
大规模部署
报警信息：172.16.235.21 slammer病毒 31次
33
有效呈现之四：详细事件处理指导
– 事件呈现
• 拓扑 报警
• 抗躲避能力
–超过12种常用躲避方法检测
–支持攻击还原、编码拟态识别
• 攻击识别能力
–支持会话内/间关联识别复杂攻击
–基于漏洞机理的攻击识别复杂 –支持多达20个的逻辑操作 –支持正则表达式 – ……
25
全面检测之三：攻击类型识别全面
• 攻击类型包括：
– – – – – – – – – – – – – –
产品升级包
科学指导事件处理
7
度量安全建设效果 发现→定位→解决→管理
从风险管理看IDS威胁管理
ISO13335：风险管理模型
威胁管理
量化威胁
威胁
定位威胁
科学指导 度量安全建设效果
三分技术 七分管理
8
深入认识IDS价值
• 科学使用IDS
– 不再是抓“黑客”的简单IDS – 从威胁检测上升到威胁管理层面
管理模板更新