70、思科安全入侵检测系统（IDS）传感器配置指南

思科安全入侵检测系统（IDS）传感器配置指南

1. 入侵检测配置概述

完成系统参数配置后，传感器即可开始执行其主要任务——入侵检测。入侵检测配置主要包含三项任务：
- 配置签名
- 配置系统变量
- 配置事件过滤器

签名是思科安全 IDS 的基本组成部分，它定义了入侵活动的特征，使传感器能够识别此类活动。系统变量可定义与攻击检测、警报处理和过滤相关的参数和值，而事件过滤器则用于根据特定条件过滤警报。

2. 系统变量配置

系统变量分为两种类型：
- 警报通道系统变量
- 虚拟传感器系统变量

2.1 警报通道系统变量配置

在思科安全 IDS 4.x 中，所有生成的警报都会发送到警报通道，该通道是一个处理引擎，对警报进行过滤和聚合，然后将其存储在事件存储中。

警报通道系统变量控制警报的过滤策略，每个变量都有一个值，可以修改该值以改变传感器的警报处理特性。以下是一些常见的警报通道系统变量：
| 变量名 | 描述 |
| ---- | ---- |
| OUT | 定义所有外部网络，固定值为 0–255.255.255.255，不可修改 |
| IN | 定义传感器内部的所有网络，默认值为空 |
| DMZ1、DMZ2、DMZ3 | 用于定义网络拓扑中的非军事区（DMZ）网络 |
| USER - ADDRS1 - 5 | 允许管理员定义一个或多个 IP 地址，用于过滤相关警报 |
| SIG1 - 5 | 用于定义特定签名，以排除与该签名相关的警报 |

配置警报通