Thực hiện tính năng IPS với ASA SSM AIP

[phamminhtuan]

Bùi Nguyễn Hoàng Long
VnPro

Lab 5: Thực hiện tính năng IPS với ASA SSM AIP

I. Mô tả:
Thực hiện hành động Deny Packet Inline và Produce Alert khi thiết bị nhận gói icmp echo request.

II. Cấu hình:
1. Cấu hình trên ciscoasa
Cấu hình thông tin cổng inside
ciscoasa(config)# interface e0/0
ciscoasa(config-if)# ip address 192.168.2.1 255.255.255.0
ciscoasa(config-if)# nameif inside
INFO: Security level for "inside" set to 100 by default.
ciscoasa(config-if)# no shut

Cấu hình thông tin cổng outside
ciscoasa(config)# interface e0/1
ciscoasa(config-if)# ip address 192.168.3.1 255.255.255.0
ciscoasa(config-if)# nameif outside
INFO: Security level for "outside" set to 0 by default.
ciscoasa(config-if)# no shut

Tăt tính năng NAT (tùy chọn)
ciscoasa(config)# no nat-control

Định nghĩa ACL cho phép truy cập với icmp
ciscoasa(config)# access-list PING permit icmp any any
ciscoasa(config)# access-group PING in interface outside

Xác định luồng dữ liệu được xử lý bởi sensor
ciscoasa(config)# access-list FILTER permit ip any host 192.168.2.2

Định nghĩa class-map
ciscoasa(config)# class-map IPS
ciscoasa(config-cmap)# match access-list FILTER

Định nghĩa policy-map
ciscoasa(config)# policy-map POLICY
Xác định phương thức xử lý luồng dữ liệu của sensor
ciscoasa(config-pmap-c)# ips inline fail-open

Gán chính sách lên cổng
ciscoasa(config)# service-policy POLICY interface outside

2. Cấu hình trên ASA SSM AIP

Thực hiện Enable cổng Monitor



Gán cổng vào Virtual Sensor



Kích hoạt Sig ID 2004



Chọn hành động là Deny Packet Inline và Procude Alert



Tạo gói icmp echo request



Gói icmp echo request bị loại bỏ bởi hành động Deny Packet Inline và cảnh báo được tạo để cho biết sự vi phạm



Chọn Details để xem thông tin chi tiết gói vi phạm


Ngoài hành động Deny Packet Inline, bạn có thể chọn Deny Attacker Inline với hành động này không những gói vi phạm bị loại bỏ mà tất cả việc truy cập từ địa chỉ vi phạm sẽ đều bị từ chối




Tạo gói icmp echo request





Xem chi tiết cảnh báo



Danh sánh địa chỉ bị từ chối truy cập

[mrdaongoc]

Anh Tuấn cho em hỏi vấn đề này nha : Nếu mà để config cho chạy ở chế độ promiscuous thì config thế nào.

[phamminhtuan]

Anh Tuấn cho em hỏi vấn đề này nha : Nếu mà để config cho chạy ở chế độ promiscuous thì config thế nào.

Chào bạn,

Tham khảo bài này, mode promicuous nhận bản sao của lưu lượng mạng được chọn, vi phạm cảnh báo chứ không có chặn.

http://vnpro.org/forum/showthread.php/49090-IDS-v%E1%BB%9Bi-IDS-4215