圖1 Strata guard在網(wǎng)關(guān)模式時的網(wǎng)絡(luò)接入原理圖
圖2 Strata guard在標準模式時的網(wǎng)絡(luò)接入原理圖
當Strata guard工作在旁路模式時，不能檢測所有的網(wǎng)絡(luò)流量，而它工作在網(wǎng)關(guān)模式時，所有通過它的網(wǎng)絡(luò)流量都會被檢測。因此，我建議用戶還是將Strata guard安裝到一臺單獨的主機上，用它來作為整個企業(yè)的入侵檢測防御型網(wǎng)關(guān)。在本文中，我也只向大家說明如何將Strata guard作為網(wǎng)關(guān)模式使用時的安裝設(shè)置方法，因為這樣才可以得到Strata guard的所有功能，才能體現(xiàn)自己動手打造入侵檢測防御系統(tǒng)的意義。
安裝strata guard入侵檢測防御軟件
當將strata guard入侵檢測防御系統(tǒng)部署到網(wǎng)絡(luò)中后，接下來的工作就是將strata guard軟件安裝到準備好了的系統(tǒng)當中。strata guard的安裝非常簡單和直觀，安裝過程中可以使用Tab鍵來切換選擇，使用上下箭頭鍵來上下移動選擇，使用空格鍵來確認選擇。
在本文中，由于strata guard將作為網(wǎng)關(guān)模式進行安裝，因此，在開始安裝之前，我們應(yīng)當將下載回來的光盤鏡像刻錄到光盤當中，然后將安裝光盤放入入侵檢測防御系統(tǒng)的光驅(qū)當中，設(shè)置系統(tǒng)從光驅(qū)引導(dǎo)后，重新啟動系統(tǒng)，不一會兒就會出現(xiàn)如圖3.1所示的準備安裝界面。
圖3 strata guard的準備安裝界面
在上圖所示的準備安裝界面中輸入“install”，然后按回車鍵，就會出現(xiàn)一個確認安裝strata guard的對話框界面，在此界面中再一次輸入“install”，然后選擇“OK”按鈕并按回車鍵后，就可以繼續(xù)下一步的安裝過程。
接下來就會出現(xiàn)如圖3.2所示的設(shè)置eth0（Network Configuration for eth0）IP地址和子網(wǎng)掩碼的界面。eth0就是用來管理strata guard的網(wǎng)卡，它的IP地址應(yīng)該是一個靜態(tài)的私有IP地址，與其所連接的局域網(wǎng)處于同一個IP地址段。在本文中，我在此界面中的“IP Address”文本條上輸入“192.168.1.3”，在“Net mask”文本條中輸入“255.255.255.0”，然后選擇“OK”按鈕并按回車鍵，就會出現(xiàn)如圖3.3所示的設(shè)置網(wǎng)關(guān)和DNS（Miscellaneous Network Settings）的界面。在本文中，我在此界面中的“Gateway”文本條中輸入網(wǎng)關(guān)IP地址192.168.1.1，在“Primary DNS”文本條中輸入主要DNS服務(wù)器的IP地址61.235.164.18，完成后選擇“OK”按鈕，然后按回車鍵繼續(xù)下一步的安裝過程。
接下來就會進入如圖3.4所示的設(shè)置strata guard主機名（Hostname Configuration）的界面，在此界面中輸入自己設(shè)定的主機名，例如myips，選擇“OK”按鈕，按回車鍵后，就進入如圖3.5所示的選擇時區(qū)（Time Zone Selection）的界面。在此界面中使用Tab鍵切換到選擇時區(qū)的下拉框中，通過向上箭頭鍵選擇“Asia/Shanghai”時區(qū)后，再選擇“OK”按鈕并按回車鍵，就可繼續(xù)下一步的安裝過程。
圖8 設(shè)置strata guard根（root）密碼的界面
WEB方式初始化設(shè)置strata guard入侵檢測防御系統(tǒng)
如果想要strata guard入侵檢測防御系統(tǒng)能夠按照我們的意圖檢測所有通過它的網(wǎng)絡(luò)流量，并且對檢測到的惡意流量進行報警和主動防御，那么，當strata guard入侵檢測防御系統(tǒng)重新啟動后，我們就必需通過WEB的方式遠程初始化設(shè)置strata guard系統(tǒng)。
strata guard入侵檢測防御系統(tǒng)的初始化配置是通過向?qū)У姆绞絹磉M行，每一個配置界面中的配置項，在其界面的右邊都有詳細的說明，對于英文比較好的用戶，可以根據(jù)向?qū)е械奶崾?，就可以非常容易地完成strata guard所有的初始化設(shè)置。
在與strata guard入侵檢測防御系統(tǒng)相連的局域網(wǎng)中，選擇一臺計算機，在其WEB瀏覽器的地址欄中輸入“https://strata guard入侵檢測防御系統(tǒng)的主機名或IP地址”的方式來遠程訪問它，輸入的IP地址就是在安裝strata guard時設(shè)置的eth0的IP地址。在本文中，我輸入的是“https://192.168.1.3”，按回車鍵后，首先會出現(xiàn)一個SSL安全連接的警告提示框，直接單擊“是”按鈕，就會出現(xiàn)一個授權(quán)申明的界面，在此界面中單擊“Accept”按鈕，就會出現(xiàn)一個如圖4.1所示的設(shè)置strata guard管理員帳戶和密碼的界面。
在上圖所示界面中的“User ID”文本框中輸入管理員帳戶，如“admin”，在“Password”文本框中輸入要設(shè)置的密碼，在“Re-enter password”文本框中重新輸入一次新設(shè)置的密碼，然后單擊“CONTINUE”按鈕，繼續(xù)下一步的初始化的設(shè)置。
接下來就會出現(xiàn)如圖4.2所示的輸入授權(quán)碼的界面，將在下載strata guard時得到授權(quán)碼復(fù)制后，粘貼到此界面中的“Enter new license key”文本框中，然后單擊此文本框右邊的“VALIDATE”按鈕來驗證此授權(quán)碼。如果授權(quán)碼驗證通過，那么，一行包含“License key is VALID”的字符就會出現(xiàn)在此界面右邊的解釋區(qū)域，然后單擊此界面中的“Next”按鈕，就會出現(xiàn)如圖4.3所示的“System”標簽配置界面。
在初始化設(shè)置strata guard 系統(tǒng)時，主要是檢查“System”標簽頁中的各種網(wǎng)絡(luò)配置是否正確。例如，我們可以檢查此界面中的“Interface used to manage Strata Guard”下拉框中的網(wǎng)卡是否是eth0，以及“Interface that analyzes network traffic (IDS)”下拉框中是否為連接外網(wǎng)網(wǎng)卡的eth1。如果這些都沒有錯誤，單擊此界面中的“Next”按鈕，就會出現(xiàn)圖4.4所示的“Network”標簽配置界面。
在“Network”標簽配置界面，其中的監(jiān)控網(wǎng)絡(luò)流量（Monitor Network Traffic）默認設(shè)置為所有網(wǎng)絡(luò)（All networks）。如果我們是按網(wǎng)關(guān)的方式安裝strata guard的，那么，我們還可以單擊此界面左下角的“Configure advanced filters”按鈕，進入其高級過濾設(shè)置界面。在高級過濾設(shè)置界面中可以完成對DNS、HTTP、SMTP等協(xié)議的過濾設(shè)置，還可以設(shè)置database服務(wù)器的IP地址。完成“Network”標簽配置界面中的必要設(shè)置后，單擊“Next”按鈕，進入下一步的初始化設(shè)置。
接下來會出現(xiàn)“Autodiscovery”標簽配置界面，此標簽頁中的內(nèi)容都是按默認方式工作，不需要我們在初始化配置時進行設(shè)置，因此，直接單擊此界面中的“Next”按鈕進入“Multi-node”標簽配置界面。對于免費版的strata guard，是沒有多點管理功能的，因而此標簽頁中的內(nèi)容也不需要我們進行設(shè)置，直接單擊此界面中的“Next”按鈕繼續(xù)下一步的初始化設(shè)置。
接下來就會出現(xiàn)如圖4.5所示的“Firewall”標簽配置界面。如果strata guard是按標準方式進行安裝的，并且需要與防火墻聯(lián)動來實現(xiàn)入侵防御的功能，那么，就必需在“Firewall”標簽配置界面中為它指定聯(lián)動的防火墻類型。我們可以在此界面中的“Select mode/firewall”下拉框中選擇某種已經(jīng)在網(wǎng)絡(luò)中安裝了的防火墻類型，然后再在出現(xiàn)的相應(yīng)文本框中輸入與防火墻連接時需要的信息就可以完成設(shè)置。如果strata guard以網(wǎng)關(guān)模式工作，或者在標準模式下只需要IDS功能，那么，就不必對此界面中的內(nèi)容進行設(shè)置，直接單擊此界面中的“Next”按鈕，進入下一個初始化設(shè)置步驟即可。
接下來出現(xiàn)的“Notification”標簽配置界面，用來設(shè)置通過E-Mail發(fā)送警報的方式，如果不需要使用此功能，我們可以直接單擊此界面中的“Next”按鈕，就可以進入如圖4.6所示的“Rules”標簽配置界面。
圖15 Rules標簽配置界面
“Rules”標簽配置界面中的內(nèi)容用來設(shè)置自動檢測新規(guī)則的具體時間，以及更新新的規(guī)則時的缺省動作。對于免費版的strata guard來說，只能使用手動更新的方式來更新新的規(guī)則，因此也就不必對此界面中的內(nèi)容做出調(diào)整，保持其默認后單擊“Next”按鈕，就會進入如圖4.7所示的“Thresholds”標簽配置界面。
“Thresholds”標簽配置界面中的內(nèi)容用來設(shè)置發(fā)現(xiàn)某種嚴重程度的攻擊時，用Red、Yellow和Green三種顏色中的哪種顏色來顯示。如果我們對strata guard目前所處網(wǎng)絡(luò)中的攻擊方式不熟悉，那么在初始化設(shè)置時可以暫時不對此界面中的內(nèi)容進行修改，等到strata guard入侵檢測防御系統(tǒng)運行一段時間后，再根據(jù)實際情況來修改。因此，在初始化設(shè)置strata guard入侵檢測防御系統(tǒng)時，可以直接單擊此界面中的“Done”按鈕，在出現(xiàn)的提示是否保存所有修改的對話框中單擊“OK”按鈕，就可以完成整個strata guard入侵檢測防御系統(tǒng)的初始化設(shè)置，并且會自動重新啟動系統(tǒng)，以使所有的初始化設(shè)置生效。
當strata guard入侵檢測防御系統(tǒng)重新啟動后，重新通過WEB瀏覽器連接strata guard，在出現(xiàn)的登錄界面中輸入初始化設(shè)置時建立的管理員帳戶和密碼，單擊“OK”按鈕后就會出現(xiàn)如圖4.8所示的WEB管理主界面。
在進入strata guard的WEB管理主界面后，可能會彈出一個是否啟用“Quick-tune”功能的界面，如圖4.9所示。
Quick-tune功能主要用來設(shè)置我們網(wǎng)絡(luò)中使用的哪些操作系統(tǒng)和服務(wù)器的活動不會觸發(fā)警報，這樣就會使用strata guard入侵檢測系統(tǒng)在檢測過程中降低誤報率，而將所有功能都集中到有意義的攻擊檢測上去。使用這種功能并不是必需的，但還是推薦啟用Quick-tune功能。
我們可以在Quick-tune功能啟用界面中的“Select the operating systems on your network”區(qū)域選擇網(wǎng)絡(luò)中主機使用的操作系統(tǒng)類型，在“Select the Web servers on your network”區(qū)域選擇網(wǎng)絡(luò)中應(yīng)用的WEB服務(wù)器，如果不能確定網(wǎng)絡(luò)中使用什么樣的WEB服務(wù)器，那么選擇所有類型。然后在“Select attacks to ignore”區(qū)域，選擇需要忽略的攻擊，我們可以按要求來選擇，通過這些來減少誤報的產(chǎn)生。完全設(shè)置后，在“Apply changes”區(qū)域，單擊“Override”按鈕寫入剛才的配置，然后單擊此界面中的“Run Quick-tune”按鈕啟動此功能。
Strata guard入侵檢測防御系統(tǒng)的攻擊特征庫
新的網(wǎng)絡(luò)攻擊方法會不斷地出現(xiàn)，為了讓Strata guard入侵檢測防御系統(tǒng)能夠檢測和阻止這些新的網(wǎng)絡(luò)攻擊，我們就必需不斷更新它的攻擊特征庫。對于免費版的Strata guard，我們可以在任何時候通過WEB方式連接到Strata guard入侵檢測防御系統(tǒng)，然后單擊其WEB主界面右上角的“Configure System”按鈕，打開如圖5.1所示的配置系統(tǒng)界面。在此界面中選擇“Rules”標簽，打開規(guī)則標簽頁，然后單擊其中的“Check for rule updates”就可以更新Strata guard入侵檢測防御系統(tǒng)的攻擊特征庫。
我們也可以到http://sgfree.stillsecure.com網(wǎng)站下載最新攻擊規(guī)則來更新Strata guard的攻擊特征庫。Strata guard的攻擊規(guī)則可以是SAT-Developed規(guī)則、Open Source Snort Rules Consortium(OSSRC)規(guī)則，也可以是VRT規(guī)則或與Snort兼容的其它GPL授權(quán)的規(guī)則。所有的攻擊規(guī)則在被Strata guard入侵檢測防御系統(tǒng)使用之前，都會被StillSecure公司的事件警報組（Security alert team）重新審查和試驗。Strata guard還允許我們自行定制攻擊規(guī)則添加到攻擊庫中，定制的方式與定制Snort攻擊規(guī)則相同。
綜上所述，以免費版的Strata guard入侵檢測防御軟件加定制的PC打造的高性能入侵檢測防御系統(tǒng)，不僅為中小企業(yè)節(jié)省了大量的IT安全投入成本，而且還得到了與同等性能的傳統(tǒng)IPS相同的安全防范功能。因此，使用本文所述方法打造的網(wǎng)關(guān)型入侵檢測防御系統(tǒng)，完成可以成為某些中小企業(yè)選擇IPS時的另一種不錯的選擇。我相信大家在看過本文后，都已經(jīng)對它產(chǎn)生了濃厚的興趣，那么，從現(xiàn)在開始就動手試試吧。
