实验十三 IDS设备部署与配置.
3-6-1 实训指导(入侵检测引擎初始化配置)
IDS配置与应用（二）IDS产品配置实训—引擎初始化配置一、实训目的1.掌握IDS引擎的配置方式。
2.掌握IDS管理中心的配置步骤。
3.了解IDS与防火墙的联动。
二、实训设备和工具安装有Windows 2003操作系统的若干台计算机，一台入侵检测设备，一台交换机(或HUB），一台天融信防火墙（或支持TOPSEC联动协议的防火墙）。
三、实训内容和步骤任务1：配置IDS引擎步骤：第一步：IDS配置前准备工作在实际使用中，IDS通常都是旁路到网络中的，所以我们要先在交换机上配置好镜像端口，如果是HUB的话就不用管了。
第二步：IDS引擎配置要设计IDS的配置策略，需要了解具体的现场情况，根据前边的需求分析以及方案设计，并进一步了解客户网络结构，我们得到并确认如下信息：服务器区域IP段：192.168.2.0/24，网关指向192.168.2.1内网区域IP段：192.168.1.0/24，网关指向192.168.1.1为此我们规划IDS的接口地址分配如下表：然后将IDS按照上表接入网络中，并用控制主机通过COM口对IDS引擎进行配置。
（图3-3：IDS 引擎配置接入图）1) 打开超级终端（天融信IDS 波特率是38400），输入用户名和密码（superman/talent ）登陆系统。
（图3-4：IDS 引擎登陆界面）2) 对控制口进行配置。
对控制口进行配置。
选择“系统管理”，选择“网络配置”，进入“IP 配置”页面，然后配置ip （192.168.1.250），掩码（255.255.255.0），网关（192.168.1.1）。
控制主机（图3-5：IDS管理口配置界面）3)监听口配置。
回到主界面，选择“引擎管理”，进入“引擎控制”界面，建议首先备份一下当前配置，然后再编辑当前配置，选择“探头配置”，将监听网卡选择为所需要的抓包口，响应网卡选择为上面配置的管理口接口。
在这里我将IDS的抓包口选择为设备上的“扩展3端口”。
网络入侵检测系统(IDS)与入侵防御系统(IPS)的原理与配置
网络入侵检测系统（IDS）与入侵防御系统（IPS）的原理与配置网络入侵检测系统（Intrusion Detection System，简称IDS）和入侵防御系统（Intrusion Prevention System，简称IPS）是当今信息安全领域中非常重要的工具。
它们能够帮助组织监测和防御网络中的恶意活动，保护机密信息和系统资源的安全。
本文将介绍IDS和IPS的原理和配置。
一、网络入侵检测系统（IDS）的原理与配置网络入侵检测系统（IDS）是用于监测网络中的入侵行为，并及时发出警报的一种安全设备。
它根据事先定义好的规则、签名和行为模式，对网络中的恶意活动进行监控和分析。
以下是IDS的工作原理及配置要点：1. IDS的工作原理IDS通常分为两种类型：主机型IDS和网络型IDS。
主机型IDS安装在每台主机上，通过监控主机上的日志文件和系统活动，来识别入侵行为。
而网络型IDS则安装在整个网络中，监控网络流量并检测异常行为。
IDS的工作过程一般包括以下几个步骤：a. 数据收集：IDS通过网络捕获数据包或者获取主机日志，用于后续的分析。
b. 数据分析：IDS通过事先定义好的规则和行为模式，对收集到的数据进行分析和比对，以识别潜在的入侵行为。
c. 报警通知：当IDS检测到入侵行为时，会向管理员发送警报通知，以便及时采取应对措施。
2. IDS的配置要点在配置IDS时，需要注意以下几个要点：a. 硬件和软件选择：根据网络规模和安全需求选择适当的IDS设备和软件。
常见的商业IDS产品包括Snort、Suricata等，也可以选择开源的IDS方案。
b. 规则和签名管理：定义合适的规则和签名，以适应组织的网络环境和威胁情况。
规则和签名的更新也是一个重要的工作，需要及时跟踪最新的威胁情报。
c. IDS的部署位置：根据网络拓扑和安全要求，选择合适的位置部署IDS。
常见的部署方式包括加入网络的边界、服务器集群等。
二、入侵防御系统（IPS）的原理与配置入侵防御系统（IPS）是在IDS的基础上增加了防御措施的网络安全设备。
网络防护中的入侵检测系统配置方法(七)
网络防护中的入侵检测系统配置方法随着网络的快速发展，网络安全问题日益引起人们的关注。
在互联网时代，入侵检测系统（Intrusion Detection System，简称IDS）成为了保障网络安全的重要工具。
本文将探讨网络防护中的入侵检测系统配置方法，着重讨论IDS的部署位置、配置策略以及系统性能的优化等方面。
一、部署位置的选择入侵检测系统的部署位置是配置方法中的第一步。
在建立IDS之前，需要仔细分析企业或组织的网络拓扑结构，并确定合适的部署位置。
常见的部署位置包括入口位置和内部位置。
入口位置即网络与外界相连的边界处， IDS部署在入口位置能够对外部网络的攻击进行监测和防护。
这样做的好处是能及时发现入侵行为，从而避免外部攻击对网络安全造成的严重威胁。
内部位置指位于企业内部网络的核心位置， IDS部署在内部位置能够监测企业内部网络内的攻击行为，及时发现内部威胁。
通过与外部入口位置的IDS相配合，形成完整的外部与内部安全防护体系。
在选择部署位置时，需要根据实际情况综合考虑网络规模、系统性能和安全需求等因素，找到合适的平衡点。
二、配置策略1. 硬件和软件配置IDS的硬件配置需要考虑处理器性能、内存容量和硬盘空间等因素。
当网络规模较大、数据包处理较为复杂时，需要配置高性能的硬件设备；当需要长时间保存日志和事件时，需要足够的硬盘空间。
软件配置包括IDS的操作系统、数据库和IDS引擎。
在选择操作系统时，要考虑其稳定性和安全性；选择数据库时，要考虑其性能和可靠性；同时要根据实际情况选择合适的IDS引擎，如Snort、Suricata等。
2. 规则库配置IDS的规则库是用于检测和识别攻击行为的重要组成部分。
在配置规则库时，需要根据实际需求选择合适的规则，并定期更新和维护。
规则库的配置应根据不同的攻击类型进行分类，如网络扫描、漏洞利用、拒绝服务等。
在配置规则时，要注意灵活性和精确性的平衡，以减少误报率和漏报率。
此外，还可以根据实际情况制定自定义规则，进一步提升IDS的检测和防护能力。
IDS(入侵检测系统)介绍和配置
IDS 入侵检测系统① IDS是英文“Intrusion Detection Systems”的缩写，中文意思是“入侵检测系统”。
专业上讲就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
我们做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。
一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。
不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便可以工作。
因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。
在这里，"所关注流量"指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。
在如今的网络拓扑中，已经很难找到以前的HUB式的共享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。
因此，IDS在交换式网络中的位置一般选择在：（1）尽可能靠近攻击源（2）尽可能靠近受保护资源这些位置通常是：·服务器区域的交换机上·In ternet接入路由器之后的第一台交换机上·重点保护网段的局域网交换机上防火墙和IDS可以分开操作，IDS是个监控系统，可以自行选择合适的，或是符合需求的，比如发现规则或监控不完善，可以更改设置及规则，或是重新设置！② IDS IQUE double screen 的缩写，中文名称是神游双屏多媒体互动系统，其实就是一台掌上游戏机介绍■ 革命性双屏设计双屏——创造前所未想的游戏乐趣，开创随身游戏新时代■ 手写笔触摸屏触碰、滑动，全新的操控方式，不一样的游戏感觉■ 无线网络传输支持多人无线联机游戏，将快乐与朋友共分享■ PictoChat! 涂鸦聊天无线网络传输，畅快聊天更自由；手写输入，随意涂抹无拘束■ 兼容上千款游戏兼容上千款Game Boy Advance游戏。
网络流量监测与入侵检测系统(IDS)的部署
网络流量监测与入侵检测系统（IDS）的部署随着互联网的不断发展和信息技术的飞速进步，网络安全问题越来越受到人们的关注。
为了保护网络的安全，网络流量监测与入侵检测系统（IDS）的部署显得尤为重要。
本文将介绍网络流量监测与入侵检测系统的定义、原理和部署方法，并分析其对网络安全的作用和意义。
一、网络流量监测与入侵检测系统的定义和原理网络流量监测与入侵检测系统（IDS）是一种通过对网络流量进行实时监测和分析，识别网络中潜在的攻击和入侵行为，并及时采取相应措施进行防护的技术手段。
其主要原理是通过对网络流量进行数据包的捕获和分析，结合事先设定好的规则和模型，检测和识别出异常的网络活动，从而提升网络安全性。
二、网络流量监测与入侵检测系统的部署方法1. 硬件设备部署：网络流量监测与入侵检测系统的部署首先需要选择适当的硬件设备，包括服务器、网络交换机、网卡等。
服务器应具备较高的处理能力和存储容量，以应对大规模的流量监测与分析任务。
网络交换机需要支持数据包的镜像功能，以便将流量引导到监测系统。
而网卡需要支持高速数据包捕获，以确保流量的准确和及时捕捉。
2. 软件平台部署：网络流量监测与入侵检测系统的部署还需要选择适当的软件平台，包括操作系统、IDS软件等。
操作系统可以选择Linux或Windows等，具体根据实际情况和需求进行选择。
IDS软件则有许多种类，如Snort、Suricata等。
在选择时要考虑软件的功能、性能和易用性，并根据实际需求进行配置和调优。
3. 系统配置与调优：在部署网络流量监测与入侵检测系统之前，还需要进行系统的配置和调优。
配置包括网络设备的设置、系统参数的优化和规则库的更新等。
调优则包括对系统性能的优化，如通过增加内存、调整缓冲区大小等方式提升系统的处理能力和响应速度。
此外，还需要定期对规则库进行更新和升级，以保障系统的有效性和及时性。
三、网络流量监测与入侵检测系统对网络安全的作用和意义1. 及时发现和阻止攻击：网络流量监测与入侵检测系统可以实时监测和识别网络中的攻击行为，通过采取相应的防护措施，可以及时发现并阻止攻击行为的发生，保护网络的安全。
网络安全防护网络入侵检测系统的部署与配置
网络安全防护网络入侵检测系统的部署与配置网络安全是当今信息社会中的一个重要问题，随着互联网的普及和信息技术的发展，各种网络安全威胁也日益增多。
网络入侵是其中一种常见的安全威胁，它可能导致个人隐私泄漏、资金损失甚至严重影响国家安全。
因此，部署和配置一个可靠的网络入侵检测系统是非常必要的。
本文将介绍网络入侵检测系统的部署与配置。
一、网络入侵检测系统的部署网络入侵检测系统（Intrusion Detection System，简称IDS）用于监控和检测网络中的异常行为，以及对可能的入侵进行及时响应。
通常，IDS系统可分为两类：主机型IDS和网络型IDS。
1. 主机型IDS的部署主机型IDS主要针对单个主机进行入侵检测，它基于主机上的日志记录和系统调用等信息进行分析。
主机型IDS的部署比较简单，只需要在需要监控的主机上安装相应的IDS软件即可。
常见的主机型IDS软件有Snort、OSSEC等。
2. 网络型IDS的部署网络型IDS主要通过监控网络流量来检测入侵活动。
这种方式可以监控整个网络，从而提供对网络中各个主机的入侵检测。
网络型IDS的部署相对复杂一些，需要在网络中合适的位置安装IDS传感器。
一种常见的部署方式是将IDS传感器放置在网络边界、内部网关等关键位置，以便监控整个网络的入侵情况。
二、网络入侵检测系统的配置1. IDS传感器的配置安装好IDS传感器后，需要进行相应的配置才能正常工作。
具体的配置会因不同的IDS软件而有所差异，以下是一般性的配置快捷指南：- 设定传感器的IP地址和子网掩码；- 配置传感器的监控策略，可以设置对特定协议、端口或流量进行监控；- 配置传感器的告警方式，比如发送邮件、短信通知等；- 更新传感器的规则库，以便及时发现最新的入侵行为。
2. IDS中央管理系统的配置在网络入侵检测系统中，通常还会有一个中央管理系统用于集中管理和配置各个IDS传感器。
配置中央管理系统需要完成以下步骤：- 安装中央管理系统软件，并配置数据库；- 添加和管理IDS传感器，包括设定传感器的IP地址和管理凭证等；- 配置中央管理系统的用户权限，以便实现对不同用户的区分管理；- 设置告警通知方式，可以将告警信息发送到相关人员邮箱或手机等。
网络攻击检测系统的配置步骤
网络攻击检测系统的配置步骤网络攻击已经成为现代社会安全领域的一个重大威胁。
为了保护网络安全，企业和组织通常会采用网络攻击检测系统（Intrusion Detection System，简称IDS）来监测和识别网络中的异常活动。
本文将介绍网络攻击检测系统的配置步骤，帮助读者了解如何正确设置和部署IDS来确保网络的安全性。
1.明确目标和需求在配置网络攻击检测系统之前，首先需要明确目标和需求。
不同的组织可能有不同的需求，例如检测特定类型的攻击、实时响应攻击或者记录并审计攻击日志。
明确目标和需求可以帮助决定配置哪种类型的IDS以及如何进行具体的设置。
2.选择合适的IDS选择合适的IDS是配置网络攻击检测系统的关键一步。
市场上有许多不同的IDS可供选择，包括基于网络流量的IDS和基于主机的IDS。
根据自己的需求和预算，选择适合的IDS产品或方案。
3.部署IDS一旦确定了合适的IDS，就可以开始部署系统。
首先，需要根据网络拓扑图和架构确定合适的部署位置。
常见的部署位置包括入侵检测网关（Intrusion Detection Gateway）和内部服务器。
然后，在每个部署位置上安装IDS软件和硬件。
在部署过程中，还需要确保IDS与其他网络设备和系统的兼容性。
4.配置IDS规则配置IDS规则是确保系统准确识别和报告攻击的关键一步。
IDS根据预定义的规则或签名来检测网络中的攻击活动。
规则可以包括具体的攻击特征、异常行为或传输协议规范等。
根据自己的需求，可以使用默认规则库或自定义规则来配置IDS。
5.优化和调试配置网络攻击检测系统后，需要进行一系列的优化和调试工作以确保正常运行。
首先，需要对IDS进行性能测试，以确定其是否能够满足预期的流量和吞吐量。
随后，可以通过模拟攻击或使用已知的攻击样本来验证IDS的有效性。
在这个过程中，需要注意检查系统日志和报警功能是否正常工作。
6.更新和维护网络安全环境不断变化，因此定期更新和维护IDS是保持网络安全的关键。
网络入侵检测系统（IDS）的安装部署
⽹络⼊侵检测系统（IDS）的安装部署安装snort⼊侵检测系统1、登录ids系统登录实验机后，打开桌⾯上的putty程序，输⼊10.1.1.106，再点击Open.。
输⼊⽤户名：root，密码：bjhit2、安装LAMP环境（省略）在putty⾥⾯输⼊如下命令进⾏安装apt-get install mysql-server libapache2-mod-php5 php5-mysql libphp-adodb注意：因为下载时间太长，会耽误过多的时间，所以提前已经安装好了。
这⾥给mysql的root⽤户，设置的密码是123456。
3、安装snort软件包(已安装)#apt-get install snort-mysql在安装过程中会提⽰下图所⽰信息。
（这⾥是填写监听的⽹段）4、创建snortdb数据库登录mysql mysql -u root -p123456进⼊数据库后，创建⼀个数据库命名为snortdb。
create database snortdb;grant create, insert, select, update on snortdb.* to snort@localhost;set password for snort@localhost=password('snortpassword');创建⼀个数据库⽤户，⽤户名为snort，密码为snortpassword。
将snort-mysql⾃带的软件包中附带的sql⽂件，导⼊到数据库中。
cd /usr/share/doc/snort-mysql/zcat create_mysql.gz | mysql snortdb -u snort -psnortpasswordrm /etc/snort/db-pending-config5、配置snort配置好了数据库后，需要配置Snort配置⽂件（/etc/snort/snort.conf），告诉snort以后⽇志写⼊到snortdb数据库中。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验十三 IDS设备部署与配置
【实验名称】
IDS设备部署与配置
【计划学时】
2学时
【实验目的】
1.熟悉IDS设备的部署方式
2.掌握设备的连接和简单设置
【基本原理】
一、IDS的4种部署方式
1镜像口监听
镜像口监听部署模式是最简单方便的一种部署方式，不会影响原有网络拓扑结构。
在这种部署方式中，把NIDS设备连接到交换机镜像口网络后，只需对入侵检测规则进行勾选启动，无需对自带的防火墙进行设置，无需另外安装专门的服务器和客户端管理软件，用户使用普通的Web浏览器即可实现对NIDS的管理（包括规则配置、日志查询、统计分析等），大大降低了部署成本和安装使用难度，增加了部署灵活性。
部署方式如下图所示：
2NA T模式（可充当防火墙）
NAT模式是将蓝盾NIDS设备作为防护型网关部署在网络出口位置，适合于没有防火墙等防护设备的网络。
在这种部署方式中，蓝盾NIDS设备可同时作为防火墙设备、防DDoS 攻击网关使用，可有效利用内置的防火墙进行有效入侵防御联动。
NAT部署采取串联方式部署在主交换机前面，需要对网络拓扑结构进行改造，需要对蓝盾NIDS设备的自带防火墙进行规则设置及内外线连接设置，以达到多重防御的效果。
用户通过Web浏览器可实现对NIDS 的全面管理（包括规则配置、日志查询、统计分析等）。
部署方式如下图所示：
3透明桥模式
透明桥模式是将蓝盾NIDS设备作为透明设备串接在网络中。
这样既可以有效利用到蓝盾NIDS的各项功能，也可以不必改变原有网络拓扑结构。
在这种部署方式中，蓝盾NIDS 设备可同时作为防火墙设备、防DDoS攻击网关使用，可以利用内置的防火墙进行有效入侵防御联动。
用户通过Web浏览器可实现对NIDS的全面管理（包括规则配置、日志查询、统计分析等）。
通常可以透明方式部署在DMZ区域，可将NIDS作为第二道防护网保护服务组群。
部署方式如下图所示：
4混合模式
混合模式是应用以上三种模式的任意组合将蓝盾NIDS设备部署在较复杂网络。
例如，可以通过一个网口监听某个工作区域子网，通过一对网口透明部署在DMZ区域，一对网口作为NAT防火墙保护另一个重点工作区域，同时对多个网络区域进行保护。
用户通过Web浏览器可实现对NIDS的全面管理（包括规则配置、日志查询、统计分析等）。
部署方式如下图所示：
Internet
外部网络路由器
防火墙主交换机
子网A 蓝盾NIDS设备
管理PC
子网B
NAT
镜像口监听
透明
接入层交换机
接入层交换机
接入层交换机
二连接及设置
1 连接设备
下图以镜像口监听模式为例，显示如何连接蓝盾NIDS设备。
2 网口出厂配置
蓝盾NIDS设备提供的以太网接口主要有两种类型：管理口和业务口。
管理口的以太网接口有IP地址（出厂设置为192.168.0.145），供设备管理流量和其它告警上报流量通过。
连接到设备管理口的所有管理终端计算机组成的网络称为“管理网络”。
用户通过管理网络
内的终端计算机可以访问设备管理口，对系统进行管理和配置。
业务口可配置为镜像口监听模式、透明桥模式、网关NAT模式或者混杂模式。
业务口主要用于捕获网络协议报文进行检测分析，是入侵检测系统“业务”的来源。
3各网口的出厂设置如下：
除了默认管理LAN1网口外，其余网口的设置均可在界面进行重新配置。
例如，用户可以将LAN3、LAN4网口配置为透明桥。
4 登录管理界面
从管理PC登录蓝盾NIDS设备Web管理界面前，需要确认管理PC的IP地址与设备缺省管理口IP地址设置在同一网段：192.168.0.0/24。
透过网线或独立交换机（非业务交换机）将管理PC连接到LAN1口，打开IE浏览器，在IE地址栏输入https://192.168.0.145 ,便可登录到蓝盾NIDS设备的web管理界面。
初始用户名为“admin”，密码为“888888”。
登录后出现主界面如图所示：
注意：
蓝盾NIDS设备前面板上标志为LAN1的以太网口为系统缺省管理口，缺省IP地址192.168.0.145。
如此默认IP地址与用户网络IP地址无冲突，建议用户使用此默认IP地址。
如果确实有需要更改管理口IP地址，则在下次启动时需要使用更改后的IP地址登录。
基于系统安全考虑，管理系统同一时间内只允许1个同名的用户登录。
用户可设置多个用户帐号，为不同用户分配不同操作权限进行管理
5、网络配置前的准备
出厂配置已经有定义好的管理口、监听口。
建议尽量使用出厂配置模式。
如果出厂
配置不满足实际网络需求，才进行合理调整。
网络配置前，请先确定网络的拓扑结构和连接方式(旁路、透明、NAT、混合)，并
定义好使用的网口，以免配置过程中造成混乱。
如需要添加桥或NA T的外线接口，首先需要删除默认选项的监听网口。
例如，删
除LAN3、LAN4镜像口，释放网口LAN3、LAN4。
否则在透明桥接口或者NAT
网口选项中没有网口可供使用。
【实验拓扑】
以镜像口监听的部署方式来进行实验配置。
INTERNET
蓝盾防火墙
192.168.228.254/24
LAN2口
192.168.228.127/24
网关：192.168.228.254
镜像口
蓝盾
NIDS
【实验步骤】
一、IDS的初始配置。
1、“网络设置”→“网口配置”→“网口”，将E2的LAN2的IP配置为192.168.228.127，
点击保存，然后重启网络。
（将LAN2口做为管理口，用于管理设备）
2、“系统”→“系统工具”→“IP工具”，直接ping 网关192.168.228.254检验与内网的连通性。
3、“系统”→“管理设置”→“管理界面访问设定”，网口选择LAN2，其余选项缺省，点击添加。
参数定义：
网口：wan设定、admin等端口
源IP或网络：某个固定IP地址或者网段是否能访问这些协议和网段。
备注：描述该规则用处。
注意：此项规则用于是否允许某个IP或者网段登录到管理界面
4、“现有规则”中新增一条通过LAN2访问IDS界面的策略。
5、“系统”→“管理设置”→“密码”，按下图配置管理员用户，不启用USBKEY。
下面就出现了一个超级管理员用户
6、可以增加低权限的用户，即是只允许浏览IDS，不允许进行操作，如下图所示：
下面就出现了一个新用户king，只有“查看日志”“实时报表”的权限
7、“系统”→“管理设置”→“用户安全设置”，以下配置是一种相对安全的配置方法。
参数定义：
登陆超时时间设置(秒)：就是超过这个时间将会锁定
登陆失败限制次数：就是登陆超过限制次数，将会将用户锁定
用户锁定时间(分)：将用户锁定多长时间，等过了这个时间后才可以重新登陆
密码最小长度：当密码长度不够时将不能建此用户
开启密码强度限制(强制为数字与字符组合)：输入密码时一定要提高密码的强度要数字+字符
以下为验证的结果：
当密码长度不够时将出现提示，不能建立新用户。
输入密码时一定要提高密码的强度，需要数字+字符。
登陆超过限制次数，系统会将用户锁定，1分钟后用户才能重新登陆。
8、“网络设置”→“镜像口设置”→“镜像设定”将LAN4口配置为镜像口，用于接收经过交换机的信息
下面“现有规则”中出现了一条镜像规则
注意：以下实验镜像模式下均采用此配置
【实验总结】
本实验介绍了IDS设备的部署和配置，通过学习在镜像口监听模式下的IDS部署方式，了解IDS初始化配置及安全管理相关知识。