防火墙、入侵检测系统与整体安全策略.

– 源IP地址 – 目的IP地址 – IP协议（例如TCP或UDP） – IP协议信息（例如TCP/UDP端口号，TCP序 列号，TCP控制位）
• 默认情况下，ASA对TCP和UDP协议提供 状态化连接，但ICMP协议是非状态化的
4/27
状态化防火墙2-2
• 状态化防火墙进行状态化处理的过程
Conn表 Inside IP Address IP Protocol Inside Port Outside IP Address Outside Port 10.1.1.1 TCP 12000 172.16.1.1 80
入侵检测系统的配置
IDS/IPS概述
• 入侵检测系统（Intrusion Detection System，IDS）
– 对入侵行为发现（告警）但不进行相应的处理
• 入侵防护系统（Intrusion Prevention System，IPS）
– 对入侵行为发现并进行相应的防御处理
IDS工作原理
• 删除startup-config配置文件
asa# write erase
14/27
多安全区域
• DMZ区域的概念和作用
– DMZ（DeMilitarized Zone）称为“隔离区”， 也称“非军事化区” – 位于企业内部网络和外部网络之间的一个网络区 可以放置一些必须公开的 服务器，例如Web服务器、 域
• 使用一个或多个监听端 口“嗅探” • 不转发任何流量
IDS
受保护的网络
对收集的报文，提取相应的流量统计特征值，并 利用内置的特征库，与这些流量特征进行分析、 比较、匹配 根据系统预设的阀值，匹配度较高的报文流量将 被认为是攻击，IDS将根据相应的配置进行报警 或进行有限度的反击
IDS工作流程
7/27
ASA的基本配置-主机名和密 码
• 配置主机名
ciscoasa(config)# hostname asa
• 配置密码
– 配置特权密码
asa(config)# enable password asa802
– 配置远程登录密码
asa(config)# passwd cisco
8/27
ASA的接口
10.1.1.1 PC
Inside
Outside
172.16.1.1 Web
发起 HTTP请求 转发HTTP请求 防火墙将连接信息 防火墙拦截该流量，并检查其连接信息 添加到Conn表 在 在Conn Conn表中找到 表中未找 匹配信息，流量 到匹配信息，流 被允许 量被丢弃 服务器响应请求
5/27
R1
E0/1
E0/0
RR
R2
1）在 ASA 上配置静态路由 asa# show route asa(config)# route outside 172.16.1.0 255.255.255.0 172.16.2.1 ……………… S 172.16.1.0 255.255.255.0 [1/0] via 172.16.2.1, outside 2）在路由器 RR上配置静态路由 C 172.16.2.0 255.255.255.0 is directly connected, outside C 10.1.1.0 255.255.255.0 is directly connected, inside
asa(config-if)# nameif DMZ asa(config-if)# ip address 192.168.1.254 255.255.255.0 asa(config-if)#security-level 50
DMZ 10.1.1.1/24 Inside E0/1 R3 192.168.1.1/24
13/27
ASA的其他配置
• ICMP协议
允许ICMP报文穿越 ASA asa(config)# access-list 111 permit icmp any any asa(config)# access-group 111 in int outside
• 保存running config配置
10/27
配置ACL
• 配置ACL有两个作用
– 允许入站连接 – 控制出站连接的流量 配置标准 配置扩展ACL
[standrad] {permit | deny} asa(config)# access-list acl_name [extended] ip_addr mask protocol src_ip_addr src_mask dst_ip_addr dst_mask [operator port]
控制出站连接的流量 • 允许入站连接
ASA 如果inside 区域有多个子网，要禁止子网10.1.1.0/24的 – 的默认规则是禁止入站连接，如果要允许 流量出站 入站连接，就需要配置ACL
asa(config)# access-list out_to_in permit ip host 172.16.1.1 host asa(config)# access-list in_to_out deny ip 10.1.1.0 255.255.255.0 10.1.1.1 any asa(config)# access-group out_to_in in int outside asa(config)# access-list in_to_out permit ip any any asa(config)# access-group in_to_out in int inside
FTP服务器和论坛等
DMZ Inside Outside
Internet
默认的访问规则
• DMZ区的安全级别
– 介于inside和outside之间
• 有六条默认的访问规则
DMZ
在实际应用中，通常需要 配置访问规则和地址转换 允许outside访问DMZ
Inside
Outside
DMZ区域的基本配置
• 接口的名称
– 物理名称 – 逻辑名称
用来描述安全区域，例如inside、 outside
• 接口的安全级别
• 不同安全级别的接口之间访问时，遵从的默认规则
允许出站（ outbound）连接 Inside
Outside Internet
安全级别高 安全级别低
禁止入站（inbound）连接
禁止相同安全级别的接口之间通信
防火墙、入侵检测系统与整体安全策略
防火墙的应用
Cisco防火墙简介
• 硬件与软件防火墙
– 软件防火墙 – 硬件防火墙
• ASA安全设备
– ASA 5500系列 常见型号：5505、5510、5520、5540、5550、 5580
3/27
状态化防火墙2-1
• 状态化防火墙维护一个关于用户信息的连 接表，称为Conn表 •பைடு நூலகம்Conn表中的关键信息
asa# write memory或 asa# copy running-config startup-config
• 清除running config的所有配置
asa(config)# clear config all
• 清除running config中指定命令的配置
asa(config)# clear config configcommand [level2configcommand]
包括网络流量的内容、用户 连接活动的状态和行为 信息收集 3 种技术手段： 模式匹配 统计分析 完整性分析 统计分析首先给信息对象（如用户、连接等） 信号分析
创 完整性分析主要关注某个文件或对象是否被更改 建一个统计描述，统计正常使用时的一些测量 ，包括文件和目录的内容及属性，它在发现被更 属 模式匹配是将收集到的信息与已知的网络入侵和 改的、被特洛伊木马感染的应用程序方面特别有 性（如访问次数等）。测量属性的平均值将被 对入侵行为做出适当的反应， 系统误用模式数据库进行比较，从而发现违背安 用 效。 包括详细日志记录、实时报 全策略的行为。 来与网络行为进行比较，任何观察值在正常偏 优点：只要是成功的攻击导致了文件或其它对象 警和有限度的反击攻击源 优点：只需收集相关的数据集合，显著减少系统 差 的任何改变，它都能够发现 负担。 之外时，就认为有入侵发生。 缺点：不用于实时响应 缺点：需要不断的升级，不能检测到从未出现过 优点：可检测到未知的入侵和更为复杂的入侵 的攻击手段 缺点：误报、漏报率高，且不适应用户正常行 为 的突然改变
E0/2 Outside E0/0
安全级别0
172.16.1.1/24 R2
R1
安全级别100
• 验证默认规则 配置ACL实现R2能够Telnet到R3
– R1上可以 Telnet 到 R2和R3 在 使用“ show conn detail ”命令查看Conn表 – 在 R3 上可以 Telnet 到R2”命令查看路由表 但不能Telnet到R1 使用“ show route – 在R2上不能Telnet到R1和R3
安全算法的原理2-1
• ASA使用安全算法执行以下三项基本操作
– 访问控制列表
• 基于特定的网络、主机和服务（TCP/UDP端口号） 控制网络访问
– 连接表
• 维护每个连接的状态信息 • 安全算法使用此信息在已建立的连接中有效转发 流量
– 检测引擎
• 执行状态检测和应用层检测 • 检测规则集是预先定义的，来验证应用是否遵从 每个RFC和其他标准
使用正常的掩码
将ACL应用到接口
asa(config)# access-group acl_name {in | out} interface interface_ name
11/27
配置ACL
R1 10.1.1.1/24 Inside E0/1