路由器和安全设备管理器(SDM)和Cisco

IOSCLI在CiscoIOS入侵防御系统(IPS)配置示例目录简介先决条件要求使用的组件规则配置启用CiscoIOSIPS以出厂默认设置自卫队在启用默认以后追加另外的签名自卫队选择签名并且与签名类别一起使用更新默认自卫队文件的签名相关信息简介在思科路由器和安全设备管理器(SDM)2.
2,CiscoIOSIPS配置在SDM应用程序内集成.
您不再要求启动单独的窗口为了配置CiscoIOSIPS.
在思科SDM2.
2,新的IPS配置向导指南您通过在路由器的必要步骤enable(event)CiscoIOSIPS.
另外,您能仍然使用高级配置选项启用,禁用和调整与思科SDM2.
2的CiscoIOSIPS.
思科建议您运行CiscoIOSIPS以pretuned签名定义文件(SDFs):攻击drop.
sdf、128MB.
sdf和256MB.
sdf.
这些文件为用不同的内存数量的路由器创建.
文件与思科SDM捆绑在一起,推荐SDFs,当您首先启用在路由器时的CiscoIOSIPS.
这些文件可能从http://www.
cisco.
com/pcgi-bin/tablebuild.
pl/ios-sigup(仅registeredcustomers也下载).
启用默认的进程SDFs在Enable(event)CiscoIOSIPS被选派以出厂默认设置自卫队.
当默认SDFs不是满足的时或您想要添加新建的签名,您在追加的另外的签名能使用在启用默认以后描述的步骤自卫队.
先决条件要求Java运行时环境(JRE)版本1.
4.
2或以上要求使用CiscoSDM2.
2.
一个Cisco建议的和被调整的签名文件(根据DRAM)与思科SDM捆绑在一起(装载在与思科SDM的路由器闪存).
使用的组件本文档中的信息根据思科路由器和安全设备管理器(SDM)2.
2.
本文档中的信息都是基于特定实验室环境中的设备编写的.
本文档中使用的所有设备最初均采用原始(默认)配置.
如果您使用的是真实网络,请确保您已经了解所有命令的潜在影响.
规则有关文档规则的详细信息,请参阅Cisco技术提示规则.
配置启用CiscoIOSIPS以出厂默认设置自卫队CLI步骤完成此步骤为了使用CLI配置有CiscoIOSIPS的一个Cisco1800系列路由器装载在路由器闪存的128MB.
sdf.
配置路由器启用安全设备事件Exchange(SDEE)事件通知.
yourname#conft1.
输入配置命令(一每条线路),然后按Cntl+Z结束.
yourname(config)#ipipsnotifysdee2.
创建用于关联到接口的IPS规则名称.
yourname(config)#ipipsnamemyips3.
配置location命令的IPS从哪个文件指定CiscoIOSIPS系统将读签名.
此示例使用在flash:的文件128MB.
sdf.
此命令的位置URL部分可以是所有有效URL用途闪烁,磁盘或者协议通过FTP、HTTP、HTTPS、RTP、SCP和TFTP为了指向文件.
yourname(config)#ipipssdflocationflash:128MB.
sdf注意:您必须启用terminalmonitor命令是否通过远程登录会话配置路由器或将看不到SDEE消息,当签名引擎构件时.
4.
启用在您要使CiscoIOSIPS扫描流量的接口的IPS.
在这种情况下,我们在interfacefastethernet0的两个方向启用.
yourname(config)#interfacefastEthernet0yourname(config-if)#ipipsmyipsin*Oct2600:32:30.
297:%IPS-6-SDF_LOAD_SUCCESS:SDFloadedsuccessfullyfromopacl*Oct2600:32:30.
921:%IPS-6-SDF_LOAD_SUCCESS:SDFloadedsuccessfullyfromflash:128MB.
sdf*Oct2600:32:30.
921:%IPS-6-ENGINE_BUILDING:OTHER-4signatures-1of15engines*Oct2600:32:30.
921:%IPS-6-ENGINE_READY:OTHER-0ms-packetsforthisengineswillbescanned*Oct2600:32:30.
921:%IPS-6-ENGINE_BUILDING:MULTI-STRING-0signatures-2of15engines*Oct2600:32:30.
921:%IPS-6-ENGINE_BUILD_SKIPPED:MULTI-STRING-therearenonewsignaturedefinitionsforthisengine*Oct2600:32:30.
921:%IPS-6-ENGINE_BUILDING:STRING.
ICMP-1signatures-3of15engines*Oct2600:32:30.
941:%IPS-6-ENGINE_READY:STRING.
ICMP-20ms-packetsforthisenginewillbescanned*Oct2600:32:30.
945:%IPS-6-ENGINE_BUILDING:STRING.
UDP-17signatures-4of15engines*Oct2600:32:31.
393:%IPS-6-ENGINE_READY:STRING.
UDP-448ms-packetsforthisenginewillbescanned*Oct2600:32:31.
393:%IPS-6-ENGINE_BUILDING:STRING.
TCP-58signatures-5of15engines*Oct2600:32:33.
641:%IPS-6-ENGINE_READY:STRING.
TCP-2248ms-packetsforthisenginewillbescanned*Oct2600:32:33.
641:%IPS-6-ENGINE_BUILDING:SERVICE.
FTP-3signatures-6of15engines*Oct2600:32:33.
657:%IPS-6-ENGINE_READY:SERVICE.
FTP-16ms-packetsforthisenginewillbescanned*Oct2600:32:33.
657:%IPS-6-ENGINE_BUILDING:SERVICE.
SMTP-2signatures-7of15engines*Oct2600:32:33.
685:%IPS-6-ENGINE_READY:SERVICE.
SMTP-28ms-packetsforthisenginewillbescanned*Oct2600:32:33.
689:%IPS-6-ENGINE_BUILDING:SERVICE.
RPC-29signatures-8f15engines*Oct2600:32:33.
781:%IPS-6-ENGINE_READY:SERVICE.
RPC-92ms-packetsforthisenginewillbescanned*Oct2600:32:33.
781:%IPS-6-ENGINE_BUILDING:SERVICE.
DNS-31signatures-9of15engines*Oct2600:32:33.
801:%IPS-6-ENGINE_READY:SERVICE.
DNS-20ms-packetsforthisenginewillbescanned*Oct2600:32:33.
801:%IPS-6-ENGINE_BUILDING:SERVICE.
HTTP-132signatures-10of15engines*Oct2600:32:44.
505:%IPS-6-ENGINE_READY:SERVICE.
HTTP-10704ms-packetsforthisenginewillbescanned*Oct2600:32:44.
509:%IPS-6-ENGINE_BUILDING:ATOMIC.
TCP-11signatures-11of15engines*Oct2600:32:44.
513:%IPS-6-ENGINE_READY:ATOMIC.
TCP-4ms5.
-packetsforthisenginewillbescanned*Oct2600:32:44.
513:%IPS-6-ENGINE_BUILDING:ATOMIC.
UDP-9signatures-12of15engines*Oct2600:32:44.
517:%IPS-6-ENGINE_READY:ATOMIC.
UDP-4ms-packetsforthisenginewillbescanned*Oct2600:32:44.
517:%IPS-6-ENGINE_BUILDING:ATOMIC.
ICMP-0signatures-13of15engines*Oct2600:32:44.
517:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
ICMP-therearenonewsignaturedefinitionsforthisengine*Oct2600:32:44.
517:%IPS-6-ENGINE_BUILDING:ATOMIC.
IPOPTIONS-1signatures-14of15engines*Oct2600:32:44.
517:%IPS-6-ENGINE_READY:ATOMIC.
IPOPTIONS-0ms-packetsforthisenginewillbescanned*Oct2600:32:44.
517:%IPS-6-ENGINE_BUILDING:ATOMIC.
L3.
IP-5signatures-15of15engines*Oct2600:32:44.
517:%IPS-6-ENGINE_READY:ATOMIC.
L3.
IP-0ms-packetsforthisenginewillbescannedyourname(config-if)#ipipsmyipsoutyourname(config-if)#ipvirtual-reassembly第一次IPS规则应用对接口,CiscoIOSIPS开始被构件的签名从自卫队位置命令指定的文件.
若被设定SDEE信息被记录到控制台并且传送到系统日志服务器.
与引擎的SDEE消息指示签名引擎构建过程.
最后,当两个编号是相同的时,所有机车被制造.
注意:IP虚拟重组是该接口的功能(当打开)自动地重新组装通过该接口进入路由器的分片数据包.
思科建议您启用在流量进入路由器的所有接口的ip虚拟集结号.
在上述示例中,除打开"在interfacefastethernet0的ip以外虚拟集结号",我们在内部接口VLAN1配置它.
yourname(config)#intvlan1yourname(config-if)#ipvirtual-reassemblySDM2.
2步骤完成此步骤为了使用CiscoSDM2.
2配置有CiscoIOSIPS的一个Cisco1800系列路由器.
在SDM应用程序,请单击配置,然后单击入侵防御.
1.
点击创建IPS选项卡,然后单击启动IPS规则向导.
思科SDM通过SDEE要求IPS事件通知为了配置CiscoIOSIPS功能.
默认情况下,SDEE通知没有启用.
如此镜像所显示,思科SDM提示您通过SDEE启用IPS事件通知2.
:单击Ok.
欢迎到IPSPolicies向导对话框的IPSPolicies向导窗口出现.
3.
单击Next.
挑选接口窗口出现.
4.
选择您要启用IPS的接口,并且点击入站或出站复选框为了指示该接口的方向.
注意:思科建议您启用入站和出站方向,当您启用在接口时的IPS.
5.
单击Next.
自卫队位置窗口出现.
6.
单击添加为了配置自卫队位置.
签名位置对话框出现的添加.
7.
点击在闪存单选按钮的指定自卫队,并且从在闪存下拉列表的文件名选择256MB.
sdf.
8.
点击自动保存复选框,并且点击OK键.
注意:当有签名更改时,自动保存选项自动地保存签名文件.
自卫队位置窗口显示新的自卫队位置.
注意:您能添加另外的签名位置为了选定备份.
9.
点击使用内置的签名(作为备份)复选框.
注意:思科建议您不使用内置签名选项,除非指定一个或更多位置.
10.
单击Next继续操作.
概略的窗口出现.
11.
单击完成.
当IPS引擎编译所有签名,命令传送状态对话框显示状态.
12.
一旦进程完成,请点击OK键.
签名编译Status对话框显示签名编译信息.
13.
此信息显示哪些引擎在该引擎方面被编译了和签名数量.
对于显示已跳过在Status(状态)列的引擎,没有为该引擎装载的签名.
点击Close为了关闭签名编译Status对话框.
14.
为了验证哪些签名在路由器当前装载,请单击配置,然后单击入侵防御.
15.
点击编辑IPS选项卡,然后单击签名.
IPS签名列表在签名窗口发表.
16.
在启用默认以后自卫队的追加的另外的签名CLI步骤没有创建签名或读签名信息的CLI命令联机从分布式IOSSxxx.
zip文件.
思科建议您使用SDM或管理中心IPS传感器管理在CiscoIOSIPS系统的签名.
对于已经有就绪一个的签名文件并且要合并有自卫队的此文件在CiscoIOSIPS系统运行的客户,您能使用此命令:yourname#showrunning-config|includeipipssdfipipssdflocationflash:128MB.
sdfyourname#签名定义的签名文件location命令是路由器装载签名文件的地方,当重新加载时或,当重新配置时路由器IOSIPS.
对于是合并的进程成功的,必须也更新签名文件定义的文件location命令.
请使用show命令为了检查当前配置的签名位置.
输出显示已配置的签名位置.
此命令从显示当前运行签名装载的地方.
yourname#showipipssignaturesBuiltinsignaturesareconfigured签名是从flash:128MB.
sdf装载的为时思科自卫队发行版本S128.
0趋势自卫队发行版本V0.
01.
与从上一步的信息一起请使用复制IPS自卫队命令,为了合并签名文件.
yourname#copytftp://10.
10.
10.
5/mysignatures.
xmlips-sdfLoadingmysignatures.
xmlfrom10.
10.
10.
5(viaVlan1):!
[OK-1612bytes]*Oct2602:43:34.
904:%IPS-6-SDF_LOAD_SUCCESS:SDFloadedsuccessfullyfromopaclNoentryfoundforlport55577,fport4714Noentryfoundforlport51850,fport4715*Oct2602:43:34.
920:%IPS-6-SDF_LOAD_SUCCESS:SDFloadedsuccessfullyfromtftp://10.
10.
10.
5/mysignatures.
xml*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILDING:OTHER-4signatures-1of15engines*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILD_SKIPPED:OTHER-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILDING:MULTI-STRING-0signatures-2of15engines*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILD_SKIPPED:MULTI-STRING-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILDING:STRING.
ICMP-1signatures-3of15engines*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILD_SKIPPED:STRING.
ICMP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILDING:STRING.
UDP-17signatures-4of15engines*Oct2602:43:34.
920:%IPS-6-ENGINE_BUILD_SKIPPED:STRING.
UDP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:34.
924:%IPS-6-ENGINE_BUILDING:STRING.
TCP-59signatures-5of15engines*Oct2602:43:36.
816:%IPS-7-UNSUPPORTED_PARAM:STRING.
TCP9434:0CapturePacket=False-Thisparameterisnotsupported*Oct2602:43:37.
264:%IPS-6-ENGINE_READY:STRING.
TCP-2340ms-packetsforthisenginewillbescanned*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILDING:SERVICE.
FTP-3signatures-6of15engines*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILD_SKIPPED:SERVICE.
FTP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILDING:SERVICE.
SMTP-2signatures-7of15engines*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILD_SKIPPED:SERVICE.
SMTP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILDING:SERVICE.
RPC-29signatures-8of15engines*Oct2602:43:37.
288:%IPS-6-ENGINE_BUILD_SKIPPED:SERVICE.
RPC-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
292:%IPS-6-ENGINE_BUILDING:SERVICE.
DNS-31signatures-9of15engines*Oct2602:43:37.
292:%IPS-6-ENGINE_BUILD_SKIPPED:SERVICE.
DNS-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
296:%IPS-6-ENGINE_BUILDING:SERVICE.
HTTP-132signatures-10of15engines*Oct2602:43:37.
296:%IPS-6-ENGINE_BUILD_SKIPPED:SERVICE.
HTTP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
316:%IPS-6-ENGINE_BUILDING:ATOMIC.
TCP-11signatures-11of15engines*Oct2602:43:37.
316:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
TCP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
316:%IPS-6-ENGINE_BUILDING:ATOMIC.
UDP-9signatures-12of15engines*Oct2602:43:37.
316:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
UDP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILDING:ATOMIC.
ICMP-0signatures-13of15engines*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
ICMP-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILDING:ATOMIC.
IPOPTIONS-1signatures-14of15engines*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
IPOPTIONS-therearenonewsignaturedefinitionsforthisengine*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILDING:ATOMIC.
L3.
IP-5signatures-15of15engines*Oct2602:43:37.
320:%IPS-6-ENGINE_BUILD_SKIPPED:ATOMIC.
L3.
IP-therearenonewsignaturedefinitionsforthisengineyourname#在您发出copy命令后,路由器装载签名文件到内存然后制造签名机车.
在控制台SDEE消息输出中,每个签名引擎的建立状态显示.
%IPS-6-ENGINE_BUILD_SKIPPED表明2.
没有此引擎的新的签名.
%IPS-6-ENGINE_READY表明有新的签名,并且引擎准备好.
和前面,15个引擎"15"消息表明所有机车被制造了.
IPS-7-UNSUPPORTED_PARAM表明CiscoIOSIPS不支持某一参数.
例如,CapturePacket和ResetAfterIdle.
注意:这些消息是对于仅信息和不会有在CiscoIOSIPS签名功能或性能的影响.
这些日志消息高于调试(级别7)可以通过设置日志级别关闭.
当路由器重启,它将有合并的签名设置更新签名,请更新签名定义的SDFlocation命令,这样.
在合并的签名保存到128MB.
sdf闪存文件后,此示例显示出文件大小差异.
yourname#showflash:-#---length-------date/time------path4504630Aug30200522:58:34+00:00128MB.
sdfyourname#copyips-sdfflash:128MB.
sdfyourname#showflash:-#---length-------date/time------path4522656Oct26200502:51:32+00:00128MB.
sdf警告:新的128MB.
sdf当前包含客户合并的签名.
内容是与Cisco默认128MB.
sdf文件不同.
思科建议您更换此文件对不同的名称避免混乱.
如果名称更改,签名location命令需要更改.
3.
SDM2.
2步骤在CiscoIOSIPS启用后,新建的签名可以被添加到运行设置的签名以思科SDM导入功能的路由器.
完成这些步骤为了导入新建的签名:选择默认SDFs或IOSSxxx.
zip更新文件导入另外的签名.
1.
单击配置,然后单击入侵防御.
2.
点击编辑IPS选项卡,然后单击导入.
3.
从从导入下拉列表的PC选择.
4.
选择您要导入签名的文件.
此示例使用在本地PC硬盘下载从Cisco.
com和保存的最新的更新.
5.
单击Open(打开).
警告:由于内存限制,新的签名仅有限数量可以被添加在已经部署的签名顶部.
如果许多签名选择,路由器也许不能装载所有新建的签名由于内存不足.
一旦签名文件负载完成,IPS导入对话框出现.
6.
通过左侧树型视图导航,并且在您要导入的签名旁边单击导入复选框.
7.
点击合并单选按钮,然后点击OK键.
注意:替换选项用您选择导入的签名替换在路由器设置的当前签名.
一旦点击OK键,思科SDM应用程序宣布签名到路由器.
8.
注意:在签名期间,编译和加载高CPU利用率发生.
在CiscoIOSIPS在接口后启用,签名文件启动装载.
路由器花费大约五分钟装载自卫队.
您能尝试使用showprocesscpu命令为了查看从CiscoIOS软件CLI的CPU利用率.
然而,当路由器装载自卫队时,请勿尝试使用其它命令或装载其他SDFs.
(因为CPU利用率是接近100百分比利用率在装载自卫队时),这可能造成签名编译进程采取更加长完成.
如果他们不在允许状态,您也许需要通过签名列表浏览和启用签名.
总签名编号增加到519.
此编号包括属于文件共享子范畴的所有签名可用在IOS-S193.
zip文件.
对于关于如何的更多高级主题使用思科SDM管理CiscoIOSIPS功能,参考思科SDM文档在此URL:选择签名并且与签名类别一起使用为了确定如何有效选择网络的正确签名,您必须知道关于您保护的网络的一些工作.
在思科SDM2.
2选择正确套的及以后进一步协助客户的更新签名类别信息签名保护网络.
类别是方式分组签名.
它帮助缩小签名选择到彼此是相关的签名的一子集.
一个签名只可能属于一个类别或可能属于多个类别.
这些是五个顶层类别:OS—基于操作系统的签名目录q攻击—基于攻击的签名目录q服务—基于服务的签名目录q2-4层协议—基于协议级别的签名目录q版本—基于版本签名目录q这些类别中的每一个进一步分开成子范畴.
为例,请考虑与一宽带连接的家庭网络对互联网和VPN通道对公司网络.
宽带路由器有在对互联网的开放(Non-VPN)连接启用的CiscoIOS防火墙防止所有连接起源于互联网和连接对家庭网络.
于家庭网络起源到互联网的所有流量允许.
假设,用户使用基于Windows个人计算机并且使用应用程序类似HTTP(Web浏览)和电子邮件.
防火墙可以配置,以便仅应用程序用户需要允许流经路由器.
这将控制能传播在网络中不需要和潜在坏流量的流.
考虑家庭用户不需要也不使用一特定服务.
如果该服务允许流经防火墙,有攻击能使用流在网络中的一个潜在的孔.
最佳实践只允许是需要的服务.
现在,选择是更加容易的启用的什么签名.
您需要启用仅签名您准许流经防火墙的服务的.
在本例中,服务包括电子邮件和HTTP.
思科SDM简单化此配置.
为了使用类别选择需要的签名,请选择Service>HTTP,并且启用所有签名.
此选择过程在签名导入对话也运作,您能选择所有HTTP签名和导入他们到您的路由器.
需要选择的另外的类别包括DNS、NETBIOS/SMB、HTTPS和SMTP.
默认自卫队文件的更新签名三每制造的SDFs(攻击drop.
dsf、128MB.
sdf和256MB.
sdf)在http://www.
cisco.
com/pcgi-bin/tablebuild.
pl/ios-sigup(仅registeredcustomers的Cisco.
com当前被张贴).
当他们是可用的,这些文件新版本将被张贴.
为了更新运行CiscoIOSIPS以这些默认SDFs,去网站并且下载这些文件最新的版本的路由器.
CLI步骤复制下载的文件到路由器配置装载这些文件从的位置.
要欲知路由器哪里当前配置,请使用showrunning-config|在ipipssdf命令.
Router#showrunning-config|inipipssdfipipssdflocationflash://256MB.
sdfautosave在本例中,路由器使用在闪存的256MB.
sdf.
当您复制新的下载的256MB.
sdf对路由器闪存时,文件更新.
1.
重新加载CiscoIOSIPS子系统运行新的文件.
有两种方式重新加载CiscoIOSIPS:重新加载路由器或重新配置CiscoIOSIPS触发IOSIPS子系统重新加载签名.
为了重新配置CiscoIOSIPS,请删除从配置接口的所有IPS规则,然后重新应用IPS规则回到接口.
这将触发CiscoIOSIPS系统重新加载.
2.
SDM2.
2步骤完成这些步骤为了更新在路由器的默认SDFs:单击配置,然后单击入侵防御.
1.
点击编辑IPS选项卡,然后单击全局设置.
2.
UI的顶部显示全局设置.
UI的底下一半显示当前配置的自卫队位置.
在这种情况下,从闪存的256MB.
sdf文件配置.
从文件菜单选择文件管理.
文件管理对话框出现.
3.
点击从PC的负载文件.
保存File对话框出现.
4.
选择需要更新的自卫队,并且点击开放.
SDM警告消息出现.
5.
点击是为了替换现有文件.
对话框显示加载进程的进度.
6.
一旦加载进程完成,请点击在自卫队位置工具栏查找的重新加载签名.
此操作重新加载CiscoIOSIPS.
7.
注意:IOSSxxx.
zip包包含该所有的签名CiscoIOSIPS支持.
当他们变得可用,升级到此签名包在Cisco.
com被张贴.
为了更新在此包包含的签名,请参阅Step2.
相关信息CiscoIntrusionPreventionSystemq安全产品的问题信息通告(FieldNotice)(包括CiscoSecureIntrusionDetection)q技术支持-CiscoSystemsq