nm-cids

aip-ssm asa插ips

4200---4215硬件ips

ios ips

csa软件Ips

nm-cids插在路由器的模块

idsm-2 65 76 ips模块

nm-cids

1.集成在一些计入级router里边

2.提供全功能的入侵防御

3.运行5.0的ips软件

4.有能力监控所有的路由器接口

5.能够监控所有在router解密的gre和ipsec流量

6.使小的分支机构能够得到完全的入侵检测保护,隔离对中心网络的攻击.

处理能力45mbps

有一个100m的带外网关console和sensor口是在背板上

支持硬件2600xm,2691,3660,3725,3745,2811,2821,2851,3825,and3845的路由器.

路由器软件要求最低12.2(15)

ids 软件ids 4.1或更高

直接从背板取数据,和物理介质无关,能够对在路由器终结gre和ipsec包进行监控.

路由器增加了拷贝数据包的任务,所以降低了性能

这个模块只能做ids功能,不能做ips功能.

虚拟内部console

外部带外网管接口

接内部总线的接口

可以再接口级别或者子接口级别进行监控

必须启用cef

需要特殊考虑的router特性

acls

encryption

nat

ip multicast

udp flooding

ip broadcast

gre tunnels

和ios ips处理方法正好相反,nm-cids后与inbourd acls处理

如果路由器外部接口在进方向有访问控制列表,先过acl然后再送到ids监测.

如果是outbound方向先过ids然后再过acl

1.inbound acl

2.nat和decryption

3.forward to nm-cids

4.outbound acl

解密后和加密前进行处理

没有转换的内部地址送到nm-cids上去

内部的被转换后的地址送到nm-cids不易对实际攻击跟踪

inside nat是没有问题的

outside nat会把转换后的目的ip抓到ips

ip组播,udp泛红,ip广播,只能够在input方向分析;不能够在output方向分析.

不会对gre流量进行分析,只会对加密前解密后流量进行分析.

nm-cids不监控的流量

1.arp

2.被ios丢弃的包

nm-cids获取时间

1.从路由器获取时间

2.单独设置ntp服务

安装nm-cids

1.插入nm-cids到路由器

2.确认ios ips没有运行,ios ips和模块ips是冲突的.

2691,3725需要断电插入nm-cids

3660,3745,3800可直接插入

如何确认模块是好的

1.模块灯是绿色的

2.show runing-config出现一个interface ids-sensor1/0口

3.或show version 出现1 cisco ids sensor(s),ids monitoring on slot 1

4.确认有没有运行cisco ios ids,show ip ips

step1:确认nm-cids插到那个槽位

step2:enable cef

step3:configure the interface

router#show interfaces ids-sensor slot-number/port-number

router#show int ids-sensor 1/0

router#show runing-config

interface ids-sensor1/0

ip unnumbered loopback0(使用环回口作为ip,不可路由的ip地址)

hold-queue 60 out

router(config)#ip cef

router(config)#int lo0

router(config-if)#ip add 1.2.3.4 255.255.255.255

router(config)#int ids-sensor 1/0

router(config-if)#ip unnumbered lo0

ntp clock配置

router(config)#ntp server 172.26.26.54

router(config)#ntp server 172.26.26.55 prefer

router(config)#ntp authentication-key 12345 md5 ntpkey

router(config)#int f0//0

router(config-if)#ids-service-module monitoring(把这个接口数据送到ids分析)

router(config)#int f0/0.1

router(config-if)#ids-service-module monitoring

service-rrodule ids-sensor这个命令和反向telnet都能直接访问nm-cids

router#service-module ids-sensor 1/0 session(登陆到ids模块)

router#telnet 10.0.1.2 2033[2001+(32 x slot number反向telnet)

默认用户名密码cisco

第一次进入和ips一样需要更改默认密码,并且使用setup初始化

servicesengine boot-loader>boot helper(启动blos)

router#service-module ids-sensor 1/0 reload/shutdown/status(重启ids)