McAfee IPS系统运维手册

NBDC

McAfee IPS系统运维手册

目录

第一章操作手册 (1)

1 设备面板标识 (1)

1.1M-8000设备 (1)

1.2M-3050/M-4050设备 (2)

2 运维部分功能 (3)

2.1系统登录 (3)

2.2系统运行状态监视 (4)

2.3S ENSOR管理 (6)

2.4S IGNATURE手动更新 (9)

2.5S IGNATURE更新查看 (11)

2.6策略管理和调整 (13)

2.7备份和恢复 (16)

2.8D O S学习设置 (19)

2.9NSM主备切换 (20)

2.10故障信息抓取 (21)

第二章IPS应急手册 (23)

1故障发现 (23)

1.1巡检设备 (23)

1.2设备自带系统监控 (23)

1.3关于设备温度的说明 (26)

2 现场分析与处理 (27)

2.1故障分析 (27)

2.2故障处理 (27)

3 厂商二线分析与处理 (30)

第三章IPS监控手册 (29)

1IPS系统监控 (29)

2IPS事件监控 (30)

第一章操作手册

1 设备面板标识

1.1 M-1450设备

1) 端口

M-1450高度为1个机架单位(2RU)，配备有以下端口：

2) 面板LED指示灯

M-1450设备前面板上的 LED 指示灯提供传感器健康状况信息及其端口上活动的状态信息。 M-1450前面板上的 LED 指示灯状态信息含义如下表：

1.2 M-3050设备

1) 端口

M-3050高度为2个机架单位(2RU)，配备有以下端口：

2) 面板LED指示灯

M-3050设备前面板上的 LED 指示灯提供传感器健康状况信息及其端口上活动的状态信息。 M-3050前面板上的 LED 指示灯状态信息含义如下表：

2 运维部分功能

2.1系统登录

IPS的管理控制台NSM通过HTTPS登录和管理，因为HTTPS使用的证书是NSM的机器名，建议使用https://设备名登录（若因为设备名无法解析而无法使用设备名登录请在客户端上添加hosts记录）。在提示框中分别输入用户名和密码。

2.2系统运行状态监视

登录到NSM，Home页面中的 Operational Status将显示当前Manager及Sensor的相关状态，以下图为例主Manager显示有一个Critical（严重）（红色）报警。

打开Status页面查看故障。

在检查故障后，手动 Acknowledge（确认）该故障。

确认完成后返回Status页面，则显示正常。

2.3 Sensor管理

2.3.1 Sensor登录

通过ssh登录管理。

2.3.2 Sensor设置

Sensor的策略通过NSM进行管理，需要在sensor上作的设置如下：

1）set sensor name C01-HXIPS-M8000-01 （设置IPS的设备名）；

2）set sensor ip 1.1.1.1 255.255.255.0 （设置IPS的IP地址及子网掩码）；

3）set manager ip 1.1.1.2 255.255.255.0 （设置IPS Manager的IP地址）；

4）set sensor gateway 1.1.1.254 （设置IPS的网关地址）；

5）set sensor sharedsecret key （设置IPS与IPS Manager的通信共享密钥）。

2.3.3 Sensor状态查看

通过SSH登录IntruShield Sensor用status命令查看

Trust Established : yes ;

Alert Channel : up ;

Log Channel : up

这三项必须是yes、up、up状态

2.3.4 Sensor远程访问控制

Sensor AAA配置（TACACS+）

1)选择SPDB / Device List > Remote Access > TACACS+

2)在Enable TACACS+部分选择Yes

3)输入TACACS+ Server IP: xxx

4)在Enable Encryption部分选择Yes进行加密，并且输入加密密钥

5)点击Save保存设置

Sensor SNMP配置

1）登录NSM，进入SNMP管理界面，选择SPDB / Device List > Remote Access > Permitted NMS，点击New，输入允许访问此设备的SNMP服务器IP地址：xxx

2）选择SPDB / Device List > Device List > Remote Access > SNMPv3 Users，点击New，创建SNMPv3访问账号snmpuser，输入两次认证密钥和私有密钥

3）复制\config\mibs下的MIB文件到SNMP服务器编译以后即可监控到Sensor的设备状态

Sensor sshaccesscontrol

1） set sshaccesscontrol enable(disable): 启用或者禁用sshaccesscontrol。默认值为禁用。

在禁用情况下，并且SSHD enable的情况下，任何机器都可以通过SSH连接到sensor。启用sshaccesscontrol，是指启用access control功能。

2） sshaccesscontrol add (delete): 如下图显示，按照A.B.C.D E.F.G.H 方式添加。删除列表方法相同。

3） show sshaccesscontrol status: 显示当前起作用的access control list (允许地址列表)

2.4 Signature手动更新

1）选择Configure\Manager\Update server\Manual Import\浏览。

2）点击“浏览”打开，选择要从客户端上传到Manager的signatire软件，点击Open再点击Import 导入到manager中。

3）上传完毕后，系统会提示upload complete，关闭窗口。

4）选择相应的管理域下的需要升级的Sensor的“Device List/xxxx >Configuration Update”，点击“Update”

5）Signature升级完成后，不需重起设备。

2.5 Signature更新查看

1)查看当前signature库

Signatures对IPS非常重要，若IPS的Signatures库得不到及时更新则IPS不能正确识别新出现的攻击。用户可从下述目录查看IPS的Signatures信息：选择Sensor名（对应具体的sensor名）

/sensor/Summary/Signature Set Version”，

将此版本信息与Manager页面Summary中的版本比较即可知Signatures库更新是否正常。

2)查看可用更新

由于目前不采用McAfee Update Server更新的方式，为了知道当前的Signatures库是否是最新的，需要登录McAfee官方网站（https://www.360docs.net/doc/f09179490.html,/cn）企业用户产品下载页面中输入Grant NO.号码进行查询，并下载所需要的更新软件（注意：不支持断点续传）。

2.6策略管理和调整

McAfee Sensor接入网络后，会有各种报警，用户管理员可以根据报警设置相应的策略，如过滤某种不关心的攻击等（如即时通讯，P2P下载等违规应用类攻击），或对in-line模式的某些高危攻击进行阻断设置。

1) 确认需要策略调整警报的报警Sensor、端口及其所应用的策略，目前，所有IPS（互联网接入区Sensor除外）均采用Default IPS Pufa策略，以下我们以此策略为例进行示范。登录到NSM，导向到需要修改策略的子域下的IPS Setting/Policies/Default IPS Pufa/View\Edit，即可对策略进行编辑，

2) 弹出如下的策略管理界面，

3) 以攻击IM: Fetion Instant Messenger traffic Detected为例，可以在策略过滤器应用栏选择im类别，再进行Apply，也可以在Attack Name栏直接输入攻击名查询，

4) 右击某条报警（IM: Fetion Instant Messenger traffic Detected，注意Inbound和Outbound 都要选择），选择Disable，则此警报被屏蔽，IPS不会再检测此警报和对此警报报警，

5) 对于同一警报，也可以通过右击选择Edit或Bulk Edit（选择多条攻击时使用），选择Enable 攻击，并在Blocking Option For 6.0 Sensors\customize blocking setting\Enable Blocking处激活来阻断该类攻击（仅限in-line部署模式），

6) 策略更改完成后，还需要选择相应的管理域下的需要升级的Sensor的“Device

List/xxxx >Configuration Update”，点击“Update”以完成策略的下发。

2.7 备份和恢复

2.7.1 自动备份

选择“Manager/Backing up/ Automation”下的“Yes”和“Weekly”On“Sunday”，并选择时间和备份数据路径，推荐备份Config Table即可（默认为C:\PromgramFiles\McAfee\Network Security Platform\App\backups\scheduledbackups下）

2.7.2 手动备份

1）进入“C:\PromgramFiles\McAfee\Network Security Platform\App\bin”（假设安装目录为默认C 盘）双击dbbackup.bat

2）选择备份类型，如all tables(保护配置和所有告警及审计信息)、config tables 或Audit & alert tables

3) 输入备份文件名如back1和备份文件存放路径如C:\IPSback，点击backup开始备份

2.7.3 数据恢复

1）在NSM服务器任务栏的右下方，停止IPS Manager Intrushield的manager、 User Interface 和watchdog三个服务。

2）进入“C:\PromgramFiles\McAfee\Network Security Platform\App\bin”双击dbbackup.bat

3）选择“Backup/DB Restore”，若需要恢复的备份数据在列表中则选择该数据后点击“Restore”即可

4）若需要恢复的数据不在列表中则点击“Browse”找到相应的备份文件后打开，再点击“Restore”