入侵检测运维指南

1、v1.0可编辑可修改入侵检测设备运维指南1v1.0可编辑可修改修改记录时间版本修改内容iv1.0可编辑可修改一、每日例行维护1、系统管理员职责为保证入侵检测设备的正常运行，系统管理员需要在每日对设备进行例 行检查。系统管理员每日在上班后，在入侵检测管理程序主界面查看”显示 中心、网络引擎”是否处于连接状态，确保”综合显示中心”窗口 已打开。若“网络引擎”处于断开状态，需要检查入侵检测设备面板上的通 讯端口的指示灯是否为绿色，如果通讯端口指示灯熄灭，通知网络 管理员，配合查看交换机与入侵检测设备通讯口之间的端口链路是 否正常。如交换机及线路都正常的情况下，重启入侵检测引擎。如果还存在问题请及时电

2、话联系厂商工程师。查看设备面板抓包口的指示灯状态，网络接口指示灯正常情况下是 绿色；如果工作端口出现接口灯不亮的情况下，需要及时通知网络 管理员，配合查看交换机与入侵检测设备抓包口之间的端口链路是 否正常。如交换机及线路都正常的情况下，重启入侵检测引擎。如果还存在问题请及时电话联系厂商工程师。2、安全员职责安全员每天定时（每日至少2次，9点、17点）查看综合显示中心的告 警信息。如果出现高风险事件（如DDO敌击、缓冲区漏洞攻击等入侵行为事件） 按照以下步骤处理：通知防火墙安全管理员，查看防火墙日志，是否对该攻击行为已自 动进行阻断。如已进行了阻断，组织系统管理员、网络管理员，定位攻击源IP。源

3、攻击IP定位后，安排相关技术人员处理该IP机器，查明该IP机 器发起攻击的原因。对该IP机器处理后，形成报告并送阅主管领导，如需要，可报安全 管理处备案。如防火墙未对该攻击进行阻断，除通过防火墙紧急手工阻断该连接 会话外，可初步判断为入侵事件成功，需紧急启动入侵事件预案程 序。每天对运行入侵检测控制台的 PC服务器进行运行状态进行检查，确保 PC服务器上SQL SERVER据处于正常运行状态。如SQL SERVER务运行状态不正常，重启 SQL务或服务器。对于无法解决的故障或者问题，及时通知厂商技术人员。、周期性维护工作在入侵检测设备的运行过程中，需要定期对设备进行维护。1、系统管理员职责系统

4、管理员每周需要通过互联网络从启明星辰公司的网站上下载最 新的事件库进行手动升级。在升级完成后，生成最新的策略文件，并将策略文件下发到网络引 擎。系统管理员每周对入侵检测设备的升级及变动情况进行汇总，形成报告后，提交主管领导。系统管理员每月对入侵检测设备的升级及变动情况进行汇总，形成报告后，提交主管领导。2、安全管理员职责安全员应定期登陆系统（每周一次），查询本周系统日志，通过报表 工具对出现的高级的告警信息统计汇总，并形成报告，送阅主管领导。安全管理员在每个日志备份周期到期的后一天应查看日志的自动备份工作是否正常。如果出现不正常的情况，应及时对日志进行手动备份，并查找无法自动备份的原因，是否是

5、由于磁盘空间不足无法备份。如果不是由于磁盘空间不足造成，则有可能是由于PC服务器时间运行造成日志服务器相关进程异常造成的，需要重启日志服务器。安全员应每月通过报表工具对出现的高级的告警信息统计汇总，分析后形成报告，送阅主管领导。3、审计员职责审计员应定期查看审计日志，每月查询所有系统管理员的操作行为， 记录并形成报告，送阅相关领导。三、不定期维护工作安全系统管理员在对策略文件进行修改后，需要将需改后的策略下发到网络引擎，以使修改后的策略生效。3v1.0可编辑可修改安全产品（入侵检测）周常检查记录单设备名称（）入侵检测系统管理员检查日期安全管理员检查内谷（系统营埋员）序号检查项正常值正常/、止常

6、处理办法1显示中心网络引擎已连接2综合显示中心已打开3抓包口绿色4通讯端口绿色故障处理记录记录：1、网络引擎无法正常工作，显示为黄色，提示TIOD进程无法启动，需要确认系统时间是否有受更或者在系统控制菜单里重启系统引擎即可。检查内容（安全管理员）序号检查项正常值正常不止常处理办法1告警信息无局风险告警事件2管理控制台SQL数据库正常运行异常处理记录记录：1、如发现 Windows系统下MSSQL Slammer蠕虫攻击，则需定位目标主机和攻击源地 址情况，可能是内网中存在大量蠕虫病毒，建议杀毒处理。四、运维检查记录表#v1.0可编辑可修改五、运维报告（月报）绿盟入侵检测系统（IDS） 11月没

7、有高危事件产生，产生中危事件17048次,般连接性事件19450次。卜面是产生的安全事件饼状图o3IDS报警事件级别对比饼状图中级安全事件特征分类图2000010000120008000 捆家 40000TT>?_题住稽样一薪碓H匚用户蜜芽酒曳>OS_1DT_FLO 口L榨鞭用纤SCJI.UDFC 门底nimTJi 憔TCP. Is-Wi 0 dor上畸慝务卑度请点TCP.1ST总嘴照m拾威以DQS.snr.FiflOJ,苏Ewomr 口）了_薄喀味得_15口=解厮期和嚣曲根115_17国世冲冥IDS系统报警事件数量对比直方图中危事件分类表:厅P中危事件类型发生次数源地址产生原因1SCAN_UDP 口扫描23正常事件2TCP_MS-Wi