本文为汇总的配置提供解释、优点和示例在思科入侵防御系统(IPS)。
Cisco 建议您了解以下主题:
本文档中的信息基于以下软件和硬件版本:
The information in this document was created from the devices in a specific lab environment.All of the devices used in this document started with a cleared (default) configuration.If your network is live, make sure that you understand the potential impact of any command.
有关文档规则的信息,请参阅 Cisco 技术提示规则。
IPS汇总提供模式聚集事件到单个戒备,因此传感器发送的戒备的容量可以被减少。每个签名用反射一种首选的默认值创建,正常行为。然而,每个签名有影响的特殊参数戒备如何被处理,因此签名默认行为可以在每种引擎类型的约束内被调整。
在阶引擎处理了组分事件后,汇总和事件动作被处理。这让传感器注意在一系列的事件的可疑活动。
基本的聚合提供两个模式:
常见情况是经过调整基准的周期为了识别亢奋警告的签名。经常有需要根据数据流混合的汇总的一定数量的低级和与信息有关级的签名。查看这些签名为了确定适当的阈值。
迅速安全壳SSH会话,当积极地警告,能迅速填装事件存储。目前, SSH暴力尝试被拒绝。
如果只需要戒备每五分钟,请使用概略的选项提醒频率与汇总间隔300秒:
sensor# configure terminal
sensor(config)# service signature-definition sig0
sensor(config-sig)# signatures 3653 0
sensor(config-sig-sig)# alert-frequency
sensor(config-sig-sig-ale)# summary-mode summarize
sensor(config-sig-sig-ale-sum)# summary-interval 300
sensor(config-sig-sig-ale-fir-yes)# exit
sensor(config-sig-sig-ale-sum)# show settings
alert-frequency
-----------------------------------------------
summary-mode
-----------------------------------------------
summarize
-----------------------------------------------
summary-interval: 300 default: 15
summary-key: Axxx <defaulted>
specify-global-summary-threshold
-----------------------------------------------
yes
-----------------------------------------------
global-summary-threshold: 240 <defaulted>
-----------------------------------------------
-----------------------------------------------
-----------------------------------------------
sensor(config-sig-sig-ale-fir)# exit
sensor(config-sig-sig-ale)# exit
sensor(config-sig-sig)# exit
sensor(config-sig)# exit
Apply Changes:?[yes]:
精选从在HTTP请求嵌入的SQL查询是其中一个在边缘配置的最普通的亢奋警告的签名。
为了每小时查看一个攻击者/受害者对的签名5474,使用,火一旦提醒频率的选项与汇总间隔3600秒:
sensor# configure terminal
sensor(config)# service signature-definition sig0
sensor(config-sig)# signatures 5474 0
sensor(config-sig-sig)# alert-frequency
sensor(config-sig-sig-ale)# summary-mode fire-once
sensor(config-sig-sig-ale-fir)# specify-global-summary-threshold yes
sensor(config-sig-sig-ale-fir-yes)# global-summary-threshold 3600
sensor(config-sig-sig-ale-fir-yes)# summary-interval 3600
sensor(config-sig-sig-ale-fir-yes)# exit
sensor(config-sig-sig-ale-fir)# show settings
fire-once
-----------------------------------------------
summary-key: Axxx default: Axxx
specify-global-summary-threshold
-----------------------------------------------
yes
-----------------------------------------------
global-summary-threshold: 3600 default: 240
summary-interval: 3600 default: 15
-----------------------------------------------
-----------------------------------------------
-----------------------------------------------
sensor(config-sig-sig-ale-fir)# exit
sensor(config-sig-sig-ale)# exit
sensor(config-sig-sig)# exit
sensor(config-sig)# exit
Apply Changes:?[yes]:
在本例中,签名火,当发现a扫描套作为区域被配置的目的地IP地址内部或外部的传输控制协议/用户数据报协议(UDP)扫描程序。如果IPS管理器Express (IME)发送默认值,高严重级别的事件作为电子邮件通知,那里也许在千位电子邮件。
为了减少电子邮件的数量,请使用,火一旦选项提醒频率,与汇总间隔720秒或一次每12分钟。
sensor# configure terminal
sensor(config)# service signature-definition sig0
sensor(config-sig)# signatures 13000 0
sensor(config-sig-sig)# alert-frequency
sensor(config-sig-sig-ale)# summary-mode fire-once
sensor(config-sig-sig-ale-fir)# specify-global-summary-threshold yes
sensor(config-sig-sig-ale-fir-yes)# global-summary-threshold 720
sensor(config-sig-sig-ale-fir-yes)# summary-interval 720
sensor(config-sig-sig-ale-fir-yes)# exit
sensor(config-sig-sig-ale-fir-yes)# show settings
fire-once
-----------------------------------------------
summary-key: Axxx <defaulted>
specify-global-summary-threshold
-----------------------------------------------
yes
-----------------------------------------------
global-summary-threshold: 720 default: 240
summary-interval: 720 default: 15
-----------------------------------------------
-----------------------------------------------
-----------------------------------------------
sensor(config-sig-sig-ale-fir)# exit
sensor(config-sig-sig-ale)# exit
sensor(config-sig-sig)# exit
sensor(config-sig)# exit
Apply Changes:?[yes]:
当前没有可用于此配置的验证过程。
目前没有针对此配置的故障排除信息。