入侵防御系統(tǒng)測(cè)試方案

1、網(wǎng)絡(luò)入侵防御系統(tǒng)測(cè)試方案網(wǎng)絡(luò)入侵防御系統(tǒng)測(cè)試方案 參測(cè)廠商參測(cè)廠商 測(cè)試單位測(cè)試單位 測(cè)試時(shí)間測(cè)試時(shí)間 目目 錄錄 1參測(cè)產(chǎn)品情況調(diào)查參測(cè)產(chǎn)品情況調(diào)查.4 1.1表格一：測(cè)試產(chǎn)品基本情況調(diào)查表.4 1.2表格二：認(rèn)證、檢測(cè)及鑒定情況.4 1.3表格三：分值比例.5 2 測(cè)試環(huán)境測(cè)試環(huán)境 .5 2.1功能測(cè)試環(huán)境.5 2.2現(xiàn)網(wǎng)測(cè)試環(huán)境.6 2.3測(cè)試設(shè)備清單.6 2.4測(cè)試工具.6 3 測(cè)試總流程測(cè)試總流程 .7 3.1 測(cè)試準(zhǔn)備.7 3.2 測(cè)試實(shí)施.7 3.3 測(cè)試記錄.7 3.4 測(cè)試報(bào)告.7 4 測(cè)試內(nèi)容測(cè)試內(nèi)容 .8 4.1管理功能測(cè)試.8 4.1.1.引擎管理控制功能.8 4.1.

2、2.控制中心基本管理功能.8 4.1.3.部署方式測(cè)試.9 4.1.4.策略編輯.9 4.1.5.精確報(bào)警.10 4.1.6.攻擊特征庫(kù)管理.10 4.1.7.自定義窗口顯示功能.11 4.1.8.事件過(guò)濾.11 4.1.9.動(dòng)態(tài)策略.12 4.1.10.響應(yīng)方式.12 4.1.11.系統(tǒng)軟件、攻擊特征升級(jí)能力.12 4.2輔助功能測(cè)試.13 4.2.1用戶管理.13 4.2.2用戶安全審計(jì).13 4.2.3報(bào)表分析功能1TOP10統(tǒng)計(jì).14 4.2.4報(bào)表分析功能2交叉報(bào)表.15 4.2.5日志分析系統(tǒng).15 4.3攻擊測(cè)試.16 4.3.1郵件病毒傳播保護(hù)測(cè)試.16 4.3.2蠕蟲(chóng)病毒傳播

3、保護(hù)測(cè)試.17 4.3.3系統(tǒng)漏洞攻擊（攻擊包回放）.17 4.3.4系統(tǒng)漏洞攻擊（真實(shí)攻擊）.18 4.3.5木馬連接保護(hù)測(cè)試.18 4.3.6拒絕服務(wù)攻擊.19 4.3.7IPS規(guī)避攻擊.19 4.3.8間諜廣告程序攻擊.20 4.3.9 SQL注入攻擊.20 4.3.10 URL過(guò)濾.21 4.3.11其它攻擊測(cè)試.21 4.4現(xiàn)網(wǎng)運(yùn)行測(cè)試.22 4.4.1多路IPS測(cè)試.22 4.4.2IP、端口訪問(wèn)控制測(cè)試.23 4.4.3帶寬管理測(cè)試.24 4.4.4P2P下載檢測(cè)功能.24 4.4.5網(wǎng)絡(luò)游戲行為.25 4.4.6網(wǎng)絡(luò)聊天行為.25 4.4.7在線視頻行為.25 4.4.8惡意代

4、碼網(wǎng)站檢測(cè)功能.26 4.4.9現(xiàn)網(wǎng)測(cè)試延遲.26 4.5軟硬 BYPASS功能測(cè)試.27 4.4.1軟Bypass功能測(cè)試.27 4.4.2硬Bypass功能測(cè)試.27 4.6其他功能測(cè)試.28 5 測(cè)試結(jié)果綜述測(cè)試結(jié)果綜述 .28 1 參測(cè)產(chǎn)品情況調(diào)查參測(cè)產(chǎn)品情況調(diào)查 1.1 表格一：測(cè)試產(chǎn)品基本情況調(diào)查表表格一：測(cè)試產(chǎn)品基本情況調(diào)查表 項(xiàng)目說(shuō)明 產(chǎn)品信息 產(chǎn)品生產(chǎn)廠家 產(chǎn)品名稱及版本 產(chǎn)品型號(hào) 界面語(yǔ)言 以太網(wǎng)監(jiān)聽(tīng)口（電口）數(shù)量標(biāo)配 個(gè) 千兆光監(jiān)聽(tīng)口 無(wú) 有，標(biāo)配 個(gè)，可擴(kuò)展 個(gè) 特征庫(kù)攻擊特征數(shù)量 特征庫(kù)的更新周期 產(chǎn)品的組成和部署 產(chǎn)品組件 探測(cè)器 管理器 其它，請(qǐng)注明 探測(cè)器管理方

5、式 本地化技術(shù)支持 本地化技術(shù)工程師數(shù)量 應(yīng)急響應(yīng)事件處理能力 1.2 表格二表格二：認(rèn)證、檢測(cè)及鑒定情況認(rèn)證、檢測(cè)及鑒定情況 項(xiàng)目說(shuō)明 公安部銷售許可證有 無(wú) 國(guó)家信息安全測(cè)試認(rèn)證中心認(rèn)證有 無(wú) 保密局涉密信息系統(tǒng)產(chǎn)品檢測(cè)證書(shū)有 無(wú) 計(jì)算機(jī)軟件著作權(quán)登記證有 無(wú) 其他注明： 其他注明： 1.3 表格三：分值比例表格三：分值比例 項(xiàng)目比例及說(shuō)明 管理功能測(cè)試 15%（人性化的管理有助于減少管理員的工作量） 輔助功能測(cè)試10%（報(bào)表等功能有助于管理員的總結(jié)和匯報(bào)） 攻擊測(cè)試40%（精確阻斷乃 IPS 最主要功能） 現(xiàn)網(wǎng)運(yùn)行穩(wěn)定性（3 條線路） 20%（多鏈路部署，不影響業(yè)務(wù)，現(xiàn)網(wǎng)告警準(zhǔn)確） 軟硬

6、 Bypass 功能測(cè)試10%（軟硬 Bypass 是否好用為 IPS 關(guān)鍵功能） 其他功能測(cè)試5% （其他方面的補(bǔ)充測(cè)試） 2 測(cè)試環(huán)境測(cè)試環(huán)境 2.1 功能測(cè)試環(huán)境功能測(cè)試環(huán)境 功能測(cè)試環(huán)境拓?fù)?具體的主機(jī)配置如下： 各主機(jī)的 ip 地址依據(jù)測(cè)試中 IPS 的部署方式不同而進(jìn)行相應(yīng)的設(shè)置 各主機(jī)均安裝 Windows2000 以上操作系統(tǒng) 服務(wù)器安裝 IIS 功能測(cè)試環(huán)境主要測(cè)試攻擊、病毒等在現(xiàn)網(wǎng)測(cè)試可能造成業(yè)務(wù)影響的項(xiàng)目。 2.2 現(xiàn)網(wǎng)測(cè)試環(huán)境現(xiàn)網(wǎng)測(cè)試環(huán)境 現(xiàn)網(wǎng)環(huán)境采取多路 NIPS 部署，每路 NIPS 單獨(dú)防護(hù)一個(gè) ISP 接入鏈路，一臺(tái) NIPS 可以同時(shí)防護(hù)多條鏈路；目前包括 D

7、DN 線路總共需要防護(hù) 3 條線路，每條線路采取透明 模式部署。不影響現(xiàn)有網(wǎng)絡(luò)接口和業(yè)務(wù)數(shù)據(jù)流程。 NIPS 的各路 NIPS 是相互獨(dú)立的，彼此之間沒(méi)有數(shù)據(jù)交換，互不干擾，保證了各鏈路 流量的自身安全； NIPS 實(shí)時(shí)監(jiān)測(cè)各種流量，提供從網(wǎng)絡(luò)層、應(yīng)用層到內(nèi)容層的深度安全防護(hù)。 現(xiàn)網(wǎng)測(cè)試重點(diǎn)關(guān)注上網(wǎng)行為管理、惡意代碼網(wǎng)站防護(hù)、流量管理功能以及網(wǎng)絡(luò)延遲測(cè) 試。 所用軟件和工具：遠(yuǎn)程桌面連接工具、BT 下載工具、QQ、MSN 等 2.3 測(cè)試設(shè)備清單測(cè)試設(shè)備清單 測(cè)試設(shè)備 序號(hào)名稱數(shù) 量 硬件配置操作系統(tǒng)應(yīng)用軟件 1入侵保護(hù)設(shè)備1入侵保護(hù)引擎 程序 2 千兆交換機(jī) 1標(biāo)準(zhǔn) 1000M Ethern

8、et 速率， 100/1000M RJ45 口 3PC4CPU: P4 以上 RAM: 512M 以上 NIC: 100/1000M Windows2000/XP管理控制中心 軟件，攻擊測(cè) 試中的攻擊機(jī)、 被攻擊機(jī)與正 常訪問(wèn)客戶端 2.4 測(cè)試工具測(cè)試工具 序號(hào)名稱角色/功能操作系統(tǒng) 1Sniffer4.7 或 Iris攻擊測(cè)試中回放攻擊包Win2000 xp 2.第三方合法測(cè)試工具攻擊測(cè)試工具Win2000 xpLinux 3有漏洞的服務(wù)器IIS Server、Apache、BindWin2000 xpLinux 3 測(cè)試總流程測(cè)試總流程 3.1 測(cè)試準(zhǔn)備測(cè)試準(zhǔn)備 測(cè)試前期的準(zhǔn)備工作包括如

9、下內(nèi)容： 測(cè)試方案的編寫(xiě)借鑒國(guó)內(nèi)外各種 IPS 的測(cè)試方案并結(jié)合用戶自身的特點(diǎn)及本 次項(xiàng)目的需求編寫(xiě)此方案。 測(cè)試環(huán)境的搭建按照 2.1 的測(cè)試環(huán)境拓?fù)鋱D來(lái)搭建測(cè)試環(huán)境，按照 2.2 的現(xiàn) 網(wǎng)部署要求在現(xiàn)網(wǎng)測(cè)試。 測(cè)試工具的整理回放的攻擊都為測(cè)試前用 Iris 進(jìn)行的錄制，保證攻擊的有 效性和測(cè)試的一致性。 其他測(cè)試手段為了完整體現(xiàn) IPS 的全面防御攻擊的能力。 評(píng)分標(biāo)準(zhǔn)測(cè)試之前由測(cè)試單位統(tǒng)一制定，測(cè)試開(kāi)始前，參測(cè)廠商可以提出異議， 一旦測(cè)試正式開(kāi)始，參測(cè)廠商無(wú)法不得異議。 3.2 測(cè)試實(shí)施測(cè)試實(shí)施 參測(cè)廠商可派 12 名技術(shù)人員在現(xiàn)場(chǎng)操作，廠家的測(cè)試環(huán)境搭建完成后不得擅自 更改設(shè)置及相關(guān)的

10、參數(shù)，以保證測(cè)試結(jié)果的有效性，如果未經(jīng)同意擅自更改設(shè)置取消 該廠商的測(cè)試資格。 3.3 測(cè)試記錄測(cè)試記錄 測(cè)試過(guò)程中邊測(cè)試邊填寫(xiě)測(cè)試記錄，采取截圖記錄等方式，如果參測(cè)廠商對(duì)所做記錄 有異議要在測(cè)試現(xiàn)場(chǎng)提出，測(cè)試記錄由雙方簽字確認(rèn)后生效，并不得更改。 3.4 測(cè)試報(bào)告測(cè)試報(bào)告 在測(cè)試完成后由測(cè)試單位對(duì)測(cè)試結(jié)果進(jìn)行評(píng)估，并對(duì)參測(cè)廠商出具最終正式測(cè)試報(bào)告 （電子文檔和紙質(zhì)） 。 4 測(cè)試內(nèi)容測(cè)試內(nèi)容 4.1 管理功能管理功能測(cè)試測(cè)試 4.1.1. 引擎管理控制功能引擎管理控制功能 測(cè)試項(xiàng)目管理控制功能 測(cè)試目的測(cè)試 IPS 的控制中心對(duì)引擎的控制和管理能力 測(cè)試步驟 1、 按照測(cè)試環(huán)境拓?fù)鋱D搭建測(cè)試

11、環(huán)境 2、 安裝控制中心 3、 在控制中心上添加“網(wǎng)絡(luò)引擎”組件 4、 控制中心連接引擎，并下發(fā)策略 5、 從攻擊機(jī) ping 被攻擊機(jī) 預(yù)期結(jié)果 1、 引擎跟控制中心之間的連接正常 2、 策略可以正常下發(fā)各級(jí)引擎 3、 ping 操作可以在顯示中心正常報(bào)警 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.2. 控制中心基本管理功能控制中心基本管理功能 測(cè)試項(xiàng)目基本管理功能 測(cè)試目的考察 IPS 系統(tǒng)的基本管理功能 測(cè)試步驟 1、 登錄控制管理端界面；（分別考察 WEB 控制臺(tái)、windows 控制臺(tái)） 2、 查看其各組件的分布情況，包括管理界面、

12、報(bào)警顯示界面、數(shù)據(jù) 庫(kù)、日志查詢系統(tǒng)； 3、 配置多級(jí)管理模式，滿足控制臺(tái)控制臺(tái)控制臺(tái)引擎 的部署結(jié)構(gòu)； 4、 添加多個(gè)虛擬引擎（即只添加 IP）看其是否有數(shù)量限制； 5、查看可支持的其他組件； 預(yù)期結(jié)果 1. 具備獨(dú)立的控制臺(tái) 2. 具備 web 控制臺(tái)和 windows 控制臺(tái) 3. 具備獨(dú)立的報(bào)警顯示界面 4. 可以設(shè)置多個(gè)報(bào)警顯示界面 5. 具備獨(dú)立的日志分析中心 6. 可以在控制臺(tái)上顯示并控制所有探測(cè)器 7. 控制臺(tái)可管理多個(gè)探測(cè)器 8. 有圖形化的設(shè)備顯示 9. 可以通過(guò)設(shè)備拓?fù)鋱D對(duì)設(shè)備進(jìn)行管理 10. 系統(tǒng)支持網(wǎng)絡(luò)時(shí)間同步（NTP） 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試

13、 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.3. 部署方式測(cè)試部署方式測(cè)試 測(cè)試項(xiàng)目部署方式 測(cè)試目的 支持多種部署方式，以適應(yīng)各種網(wǎng)絡(luò)環(huán)境，包括路由模式，交換模式， 直通模式等。 測(cè)試步驟 1.按照測(cè)試拓?fù)鋵?IPS 接入網(wǎng)絡(luò)； 2.利用 IPS 的前兩個(gè)接口將 IPS 分別配置為路由模式，透明模式， DIRECT 直通模式，并測(cè)試 IPS 兩接口間網(wǎng)絡(luò)是否通暢。 3.在上述任一種模式中（例如直通模式），將第三個(gè)接口配置為監(jiān) 聽(tīng)口，并用筆記本接在監(jiān)聽(tīng)口上，用 sniffer 回放一種攻擊包，查看 IPS 是否有告警，測(cè)試監(jiān)聽(tīng)口是否生效。 4.混合模式的測(cè)試，由于時(shí)間關(guān)系，可任意挑選兩種模

14、式，利用 12，34 兩組端口分別配置兩種模式，進(jìn)行組合測(cè)試。也可根據(jù)情 況增加測(cè)試項(xiàng)。 預(yù)期結(jié)果 1、 支持路由模式 2、 支持交換模式 3、 支持直通模式 4、 支持混合模式直通/監(jiān)聽(tīng)模式 5、 支持 NAT 模式 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.4. 策略編輯策略編輯 測(cè)試項(xiàng)目策略編輯 測(cè)試目的測(cè)試 IPS 的策略定義能力 測(cè)試步驟 1、 打開(kāi)策略管理菜單 2、 自定義用戶策略 test，針對(duì) http 協(xié)議不同字段設(shè)置各種參數(shù)。 3、 打開(kāi)新策略 test，并針對(duì)某一條事件定義響應(yīng)方式 4、 定義響應(yīng)模板，并將新模板應(yīng)用都所

15、有 TCP 協(xié)議的事件 5、 導(dǎo)出/導(dǎo)入策略 預(yù)期結(jié)果 1、 具備策略向?qū)Чδ?2、 可以制定用用自定義策略，自定義協(xié)議超過(guò) 40 種 3、 可以單獨(dú)對(duì)某一條事件定義響應(yīng)方式，也可以批量針對(duì)多條事件 定義響應(yīng)方式 4、 支持響應(yīng)模板功能 5、 策略可以方便導(dǎo)出和導(dǎo)入 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.5. 精確報(bào)警精確報(bào)警 測(cè)試項(xiàng)目精確報(bào)警 測(cè)試目的考察入侵防御系統(tǒng)針對(duì)具體環(huán)境對(duì)入侵事件做進(jìn)一步精確分析的能力 測(cè)試方法配置好目標(biāo)主機(jī)的相關(guān)信息，分別觸發(fā)符合條件的事件和為符合條件的事件， 查看環(huán)境匹配窗口中的報(bào)警內(nèi)容 測(cè)試步驟1、在顯示

16、中心的環(huán)境匹配信息設(shè)置中，配置好被攻擊機(jī)的相關(guān)信息，包括 主機(jī)名、IP 地址、操作系統(tǒng)類型、協(xié)議=TCP、端口=80 2、打開(kāi)環(huán)境匹配報(bào)警窗口 3、從 windows 攻擊機(jī)上采用 GUI_Unicode 工具對(duì)被攻擊機(jī)發(fā)起 Unicode 攻 擊 4、 查看綜合顯示中心的報(bào)警情況 預(yù)期結(jié)果1、 Unicode 攻擊事件作為經(jīng)過(guò)環(huán)境匹配后的精確事件，將在環(huán)境匹配窗口 中報(bào)警，同時(shí)也在高級(jí)事件窗口中進(jìn)行報(bào)警 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.6. 攻擊特征庫(kù)管理攻擊特征庫(kù)管理 測(cè)試項(xiàng)目攻擊特征庫(kù)管理 測(cè)試目的考察入侵防御系統(tǒng)具有協(xié)議分析

17、能力，可自定義基于應(yīng)用層協(xié)議的特征 測(cè)試方法 1.測(cè)試 IPS 的攻擊特征庫(kù)的質(zhì)量和管理方便性。 2.演示 IPS 產(chǎn)品的攻擊特征庫(kù)的策略編輯方法。 3.演示 IPS 產(chǎn)品的攻擊特征的數(shù)量。 測(cè)試步驟1、各廠家產(chǎn)品操作過(guò)程不同，自行演示 預(yù)期結(jié)果攻擊規(guī)則庫(kù)按危險(xiǎn)程度分類 2、 攻擊規(guī)則庫(kù)按服務(wù)類型分類 3、 對(duì)每個(gè)規(guī)則有詳細(xì)注釋說(shuō)明，包括該攻擊影響的操作系統(tǒng)和解決方案 4、 可以對(duì)某條具體規(guī)則設(shè)置單獨(dú)的響應(yīng)方式 5、 可以對(duì)某類規(guī)則設(shè)置共同的響應(yīng)方式 6、 支持自定義新的規(guī)則 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.7. 自定義窗口顯示功能

18、自定義窗口顯示功能 測(cè)試項(xiàng)目自定義窗口顯示功能 測(cè)試目的驗(yàn)證入侵防御系統(tǒng)是否支持窗口自定義及窗口過(guò)濾功能 測(cè)試方法在入侵防御系統(tǒng)界面增加窗口，并讓該窗口只顯示 IP 為的報(bào)警信息 測(cè)試步驟1、 在入侵防御系統(tǒng)界面增加一個(gè)新的報(bào)警顯示窗口； 2、 設(shè)置該窗口的過(guò)濾條件，只顯示源 IP 為的報(bào)警信息； 3、 用 sniffer 回放兩條事件，其中一條事件中的源地址與步驟 2 中的源地 址一致 4、 查看報(bào)警信息 預(yù)期結(jié)果1、 可以增加新的窗口 2、 設(shè)置的過(guò)濾條件生效 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.8. 事件過(guò)濾事件過(guò)濾 測(cè)試項(xiàng)目事件

19、過(guò)濾 測(cè)試目的驗(yàn)證入侵防御系統(tǒng)是否基于時(shí)間、IP 地址、編號(hào)、類型等條件組合對(duì)不關(guān)心 的事件進(jìn)行過(guò)濾 測(cè)試方法根據(jù)時(shí)間、IP 地址、編號(hào)、類型等條件組合進(jìn)行過(guò)濾，察看事件過(guò)濾結(jié)果 測(cè)試步驟各廠家產(chǎn)品操作過(guò)程不同，自行演示 預(yù)期結(jié)果1、 是否可根據(jù)事件來(lái)源（地址、編號(hào)、類型）設(shè)置的過(guò)濾條件生效 2、 是否可根據(jù)事件發(fā)生的時(shí)間過(guò)濾 3、 是否可根據(jù)事件結(jié)果及引擎所采取的動(dòng)作 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.9. 動(dòng)態(tài)策略動(dòng)態(tài)策略 測(cè)試項(xiàng)目動(dòng)態(tài)策略 測(cè)試目的檢查入侵防御系統(tǒng)是否支持根據(jù)預(yù)設(shè)的事件發(fā)生頻率來(lái)動(dòng)態(tài)調(diào)整策略中應(yīng)用 的響應(yīng)方式、合

20、并條件以及過(guò)濾條件，從而減少報(bào)警日志量或者自動(dòng)對(duì)高級(jí) 事件調(diào)高相應(yīng)級(jí)別 測(cè)試方法定義好動(dòng)態(tài)策略（規(guī)則） ，觸發(fā)事件，查看策略的有效性 測(cè)試步驟1、 打開(kāi)動(dòng)態(tài)策略編輯菜單； 2、 添加新方案； 3、 添加動(dòng)態(tài)策略規(guī)則：事件=ICMP_PING_長(zhǎng)度異常，閥值=5 條/分鐘，事 件級(jí)別調(diào)整為“高級(jí)事件” ，響應(yīng)方式=日志+報(bào)警，合并方式=按照源 IP 合并； 4、 應(yīng)用方案； 5、觸發(fā)事件：ping IP L 10000 t，查看報(bào)警 預(yù)期結(jié)果 “ICMP_PING_長(zhǎng)度異?！笔录膱?bào)警級(jí)別自動(dòng)調(diào)整為高級(jí) 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1

21、.10.響應(yīng)方式響應(yīng)方式 測(cè)試項(xiàng)目響應(yīng)方式 測(cè)試目的考察入侵防御系統(tǒng)對(duì)入侵事件的相應(yīng)手段是否豐富靈活 測(cè)試方法通過(guò)界面操作和溝通的方式呈現(xiàn)各種響應(yīng)方式 測(cè)試步驟現(xiàn)場(chǎng)演示和溝通介紹 預(yù)期結(jié)果產(chǎn)品支持的響應(yīng)方式包括以下幾種： 1、屏幕報(bào)警 2、日志保存 3、聲音報(bào)警 4、郵件報(bào)警 5、rst 阻斷 6、防火 墻聯(lián)動(dòng) 7、執(zhí)行用戶自定義程序 8、全局預(yù)警 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.1.11.系統(tǒng)軟件、攻擊特征升級(jí)能力系統(tǒng)軟件、攻擊特征升級(jí)能力 測(cè)試項(xiàng)目軟件、攻擊特征升級(jí)能力 測(cè)試目的IPS 系統(tǒng)也必須保持快速的升級(jí)和更新能力。包括軟件版

22、本的升級(jí)和特征庫(kù) 的更新，尤其是特征庫(kù)的及時(shí)更新非常重要 測(cè)試方法 1.測(cè)試 IPS 系統(tǒng)的升級(jí)方式有幾種。 2.測(cè)試能否在控制臺(tái)上對(duì) IPS 探測(cè)器進(jìn)行升級(jí)包的遠(yuǎn)程升級(jí)。 3.演示事件特征庫(kù)的升級(jí)方式； 4.演示控制端的升級(jí)方式； 5.演示引擎端的升級(jí)方式； 6.演示多級(jí)管理時(shí)事件庫(kù)及引擎的升級(jí)方式； 測(cè)試步驟現(xiàn)場(chǎng)演示和溝通介紹 預(yù)期結(jié)果 1、控制軟件升級(jí)支持在線升級(jí) 2、控制軟件升級(jí)支持離線升級(jí) 3、規(guī)則庫(kù)升級(jí)支持在線升級(jí) 4、規(guī)則庫(kù)升級(jí)支持離線升級(jí) 5、規(guī)則庫(kù)更新的頻率（以公司網(wǎng)站為準(zhǔn)，公司網(wǎng)站顯示規(guī)則升級(jí)內(nèi)容描述） 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)

23、方： 參測(cè)方： 4.2 輔助功能輔助功能測(cè)試測(cè)試 4.2.1 用戶管理用戶管理 測(cè)試項(xiàng)目用戶管理功能 測(cè)試目的測(cè)試 IPS 系統(tǒng)是否具備角色、權(quán)限的管理分配能力 測(cè)試方法嘗試增加、刪除管理員賬戶，修改管理員權(quán)限 測(cè)試步驟1、登錄用戶管理審計(jì)模塊 2、添加新管理員賬戶 test/venus123 3、 修改 test 的管理權(quán)限 4、 刪除 test 賬戶 預(yù)期結(jié)果1、 產(chǎn)品具備多用戶管理功能（分為管理員、審計(jì)員、用戶等角色） 2、 可以對(duì)賬戶進(jìn)行添加、編輯、刪除等管理 3、 管理員賬戶權(quán)限分配 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.2.2 用

24、戶安全審計(jì)用戶安全審計(jì) 測(cè)試項(xiàng)目用戶安全審計(jì) 測(cè)試目的考察入侵防御系統(tǒng)的自身安全性 測(cè)試方法檢查入侵防御系統(tǒng)的用戶管理功能和管理 IP 的安全性 測(cè)試步驟1、 查看產(chǎn)品是否具備用戶審計(jì)模塊 2、 查看對(duì)于用戶的管理是否進(jìn)行了分組設(shè)置，對(duì)于每個(gè)組是否都有不同權(quán) 限 3、 查看設(shè)置是否有登錄失敗的處理機(jī)制 4、 除了系統(tǒng)自帶的口令認(rèn)證方式外是否還有其他的輔助認(rèn)證方式或預(yù)留接 口 5、 用端口掃描工具查看系統(tǒng)是否開(kāi)放了常用的端口 6、 Ping 引擎的管理端口 ip 驗(yàn)證管理端口是否屏蔽了 ping 預(yù)期結(jié)果1、 產(chǎn)品具備用戶審計(jì)模塊 2、 支持用戶權(quán)限分組 3、 對(duì)于不同的用戶可以賦予不同的權(quán)限

25、4、 對(duì)于每個(gè)用戶的具備登錄失敗處理 5、 每個(gè)用戶都有完整的日志審查 6、 支持可擴(kuò)展的身份認(rèn)證方式或提供接口 7、 探測(cè)器沒(méi)有開(kāi)放常用端口 8、管理端口已經(jīng)屏蔽 Ping 9、監(jiān)聽(tīng)端口沒(méi)有 IP 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.2.3 報(bào)表分析功能報(bào)表分析功能 1TOP10 統(tǒng)計(jì)統(tǒng)計(jì) 測(cè)試項(xiàng)目報(bào)表分析功能 1TOP10 統(tǒng)計(jì) 測(cè)試目的檢查入侵防御系統(tǒng)的 TOP 統(tǒng)計(jì)功能 測(cè)試方法采用報(bào)表分析系統(tǒng)對(duì)事件進(jìn)行統(tǒng)計(jì)分析 測(cè)試步驟1、 打開(kāi)日志分析中心 2、 鼠標(biāo)選中報(bào)表模板中的“攻擊類型統(tǒng)計(jì)” ，再設(shè)置好查詢的時(shí)間段，查看 按照攻擊類型統(tǒng)

26、計(jì)的報(bào)表，并導(dǎo)出到 doc 格式 3、 鼠標(biāo)選中報(bào)表模板中的“源地址統(tǒng)計(jì)” ，再設(shè)置好查詢的時(shí)間段，查看按 照源地址統(tǒng)計(jì)的報(bào)表，并導(dǎo)出到 doc 格式 4、鼠標(biāo)選中報(bào)表模板中的“目的地址統(tǒng)計(jì)” ，再設(shè)置好查詢的時(shí)間段，查看 按照目的地址統(tǒng)計(jì)的報(bào)表，并導(dǎo)出到 doc 格式 預(yù)期結(jié)果1、 可以查詢并導(dǎo)出攻擊類型 TOP10 報(bào)表 2、 可以查詢并導(dǎo)出攻擊地址 TOP10 報(bào)表 3、 可以查詢并導(dǎo)出被攻擊地址 TOP10 報(bào)表 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.2.4 報(bào)表分析功能報(bào)表分析功能 2交叉報(bào)表交叉報(bào)表 測(cè)試項(xiàng)目交叉報(bào)表 測(cè)試目的考察

27、入侵防御系統(tǒng)的報(bào)表分析中，是否具備多個(gè)特征的關(guān)聯(lián)查詢的能力 測(cè)試方法查看產(chǎn)品的交叉報(bào)表查詢結(jié)果 測(cè)試步驟1、啟動(dòng)日志分析模塊； 2、配置需要查詢的時(shí)間段； 3、查看交叉報(bào)表； 預(yù)期結(jié)果1、 可以按照事件類型跟源地址、目的地址、引擎設(shè)備等形成關(guān)聯(lián)報(bào)表 2、 可以按照事件的危險(xiǎn)級(jí)別跟源地址、目的地址、引擎設(shè)備等形成關(guān)聯(lián)報(bào) 表 3、 可以按照源地址跟事件類型、危險(xiǎn)級(jí)別等形成關(guān)聯(lián)報(bào)表 4、 可以按照目的地址跟事件類型、危險(xiǎn)級(jí)別等形成關(guān)聯(lián)報(bào)表 5、 可以按照引擎設(shè)備跟事件類型、危險(xiǎn)級(jí)別等形成關(guān)聯(lián)報(bào)表 6、 雙擊關(guān)聯(lián)報(bào)表的統(tǒng)計(jì)記錄，可以展開(kāi)顯示詳細(xì)的事件 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)

28、果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.2.5 日志分析系統(tǒng)日志分析系統(tǒng) 測(cè)試項(xiàng)目日志分析能力 測(cè)試目的能夠根據(jù)用戶的需要產(chǎn)生各種形式的報(bào)告，如表格形式、柱狀圖、餅圖等， 并且可以根據(jù)用戶需要設(shè)置各種過(guò)濾條件，如 IP 地址、事件名稱等，可以 自動(dòng)的產(chǎn)生日?qǐng)?bào)、周報(bào)、月報(bào)，并且可以導(dǎo)出成多種格式的文件。 測(cè)試方法 1 演示日志分析系統(tǒng)（報(bào)表）的生成方式； 2 演示可支持的查詢條件； 3 演示可支持的導(dǎo)出格式； 預(yù)期結(jié)果1、 支持日志統(tǒng)計(jì)分析 2、 支持查詢分析 3、 生成事件的月報(bào)表 4、 生成流量的周報(bào)表 5、 將生成的報(bào)表保存為 html 6、 定時(shí)日志備份 7、 日志恢復(fù) 8、 日志清除

29、9、 日志歸并 測(cè)試結(jié)果（ ）通過(guò) （ ）未通過(guò) （ ）未測(cè)試 結(jié)果說(shuō)明 簽字確認(rèn)主測(cè)方： 參測(cè)方： 4.3 攻擊測(cè)試攻擊測(cè)試 攻擊測(cè)試應(yīng)包括真實(shí)攻擊測(cè)試與攻擊數(shù)據(jù)包回放兩部分：真實(shí)攻擊測(cè)試采用實(shí)際的攻 擊工具在測(cè)試環(huán)境下對(duì)有漏洞的目標(biāo)系統(tǒng)執(zhí)行攻擊，用于測(cè)試 IPS 對(duì)最新出現(xiàn)的嚴(yán)重漏洞 攻擊的檢測(cè)和阻斷能力，真實(shí)攻擊測(cè)試由于對(duì)測(cè)試環(huán)境的搭建有很高的要求，所以只能進(jìn) 行有限數(shù)量的攻擊測(cè)試；攻擊數(shù)據(jù)包回放采用收集到的攻擊報(bào)文數(shù)據(jù)，將攻擊場(chǎng)景回放到 IPS 的監(jiān)聽(tīng)端口來(lái)測(cè)試 IPS 的檢測(cè)能力，由于只需回放數(shù)據(jù)流，對(duì)測(cè)試環(huán)境的要求相對(duì)較 低，可以進(jìn)行大量攻擊檢測(cè)的驗(yàn)證。真實(shí)攻擊測(cè)試與攻擊數(shù)據(jù)包回放

30、最好者采用第三方的 攻擊測(cè)試工具。 真實(shí)攻擊測(cè)試相關(guān)的具體攻擊項(xiàng)目的選擇應(yīng)符合如下標(biāo)準(zhǔn)： 攻擊工具完全由第三方獨(dú)立開(kāi)發(fā)和維護(hù)。 攻擊項(xiàng)目應(yīng)該是最近最新的嚴(yán)重威脅級(jí)別的攻擊。 攻擊工具應(yīng)該具有規(guī)避 IPS 檢測(cè)的功能，可以對(duì) IPS 的抗攻擊變形能力進(jìn)行 考察。 回放攻擊數(shù)據(jù)相關(guān)的具體攻擊項(xiàng)目應(yīng)符合如下選擇標(biāo)準(zhǔn)： 覆蓋到盡可能多的常用協(xié)議和應(yīng)用，如 HTTP、SMTP、FTP、IM、P2P 等。 相關(guān)的應(yīng)用軟件使用比較廣泛，比如微軟 Windows 系統(tǒng)相關(guān)的網(wǎng)絡(luò)服務(wù)。 攻擊相關(guān)的漏洞是比較新近的，比如選擇 2004 年以后漏洞攻擊。 測(cè)試方法 1.真實(shí)攻擊測(cè)試：選用集成化的第三方攻擊測(cè)試軟件

31、MetaSploit 3.0( )以減少收集攻擊工具的工作量，在單獨(dú)的攻擊機(jī)器上 安裝配置 MetaSploit 3.0，在目標(biāo)機(jī)器上安裝一個(gè)默認(rèn)配置的 Widnows 2000 Server 中文版，打開(kāi)攻擊測(cè)試必要的網(wǎng)絡(luò)服務(wù)，也可以在目標(biāo)機(jī)器上運(yùn)行 VMWare 類的虛擬機(jī)作為被攻擊的目標(biāo)，配置 IPS 過(guò)濾從攻擊機(jī)器到目標(biāo)機(jī)器的 流量，依次執(zhí)行選擇的攻擊項(xiàng)目，檢查 IPS 的告警和阻斷情況。 2.回放攻擊數(shù)據(jù)測(cè)試：將安裝了數(shù)據(jù)包回放工具 IRIS 的攻擊機(jī)接入網(wǎng)絡(luò)，NIPS 的 一個(gè)工作端口配置為監(jiān)聽(tīng)模式，依次打開(kāi)每個(gè)攻擊包進(jìn)行回放，查看 NIPS 控制 臺(tái)上是否能夠產(chǎn)生告警，清除告警信

32、息后執(zhí)行下一個(gè)測(cè)試。 4.3.1 郵件病毒傳播保護(hù)測(cè)試郵件病毒傳播保護(hù)測(cè)試 測(cè)試項(xiàng)目病毒傳播保護(hù)測(cè)試 1 測(cè)試目的測(cè)試 IPS 針對(duì)病毒傳播的所提供的保護(hù)功能 測(cè)試步驟1、 按照拓?fù)鋱D搭建測(cè)試環(huán)境， 2、 回放郵件病毒數(shù)據(jù)包 VIRUS_POP3_vbs.cap SMTP_MydoomAC.cap VIRUS_SMTP_pif.cap 預(yù)期結(jié)果攜帶病毒附件的郵件接收不成功，IPS 對(duì)“病毒”阻斷成功并有報(bào)警信息 POP3 服務(wù)接收 VBS 病毒郵件 SMTP 服務(wù)發(fā)送 Mydoom.AC 蠕蟲(chóng)病毒附件 SMTP 服務(wù)發(fā)送可疑病毒附件 測(cè)試結(jié)果（ ）通過(guò)（ ）未通過(guò)（ ）未測(cè)試 結(jié)果備注 簽字確

33、認(rèn)主測(cè)方：參測(cè)方： 4.3.2 蠕蟲(chóng)病毒傳播保護(hù)測(cè)試蠕蟲(chóng)病毒傳播保護(hù)測(cè)試 測(cè)試項(xiàng)目蠕蟲(chóng)病毒傳播保護(hù)測(cè)試 測(cè)試目的測(cè)試 IPS 針對(duì)病毒傳播的所提供的保護(hù)功能 測(cè)試步驟1、 按照拓?fù)鋱D搭建測(cè)試環(huán)境， 2、 回放郵件病毒數(shù)據(jù)包 CodeRed_worm_unicode.cap CodeRed_worm_http.cap Sasser_worm.cap Slammer_worm.cap 預(yù)期結(jié)果病毒體下載不成功，IPS 對(duì)蠕蟲(chóng)病毒阻斷成功并有報(bào)警信息 Code Red 蠕蟲(chóng)利用 Unicode 漏洞攻擊 Code Red 蠕蟲(chóng)傳播 Sasser（震蕩波）蠕蟲(chóng)傳播 Slammer 蠕蟲(chóng)攻擊 測(cè)試結(jié)果（

34、 ）通過(guò)（ ）未通過(guò)（ ）未測(cè)試 結(jié)果備注 簽字確認(rèn)主測(cè)方：參測(cè)方： 4.3.3 系統(tǒng)漏洞攻擊系統(tǒng)漏洞攻擊（攻擊包回放）（攻擊包回放） 測(cè)試項(xiàng)目系統(tǒng)漏洞攻擊測(cè)試 測(cè)試目的測(cè)試 IPS 針對(duì)針對(duì)系統(tǒng)漏洞的攻擊所提供的保護(hù)功能 測(cè)試步驟1、 按照拓?fù)鋱D搭建測(cè)試環(huán)境， 2、 回放利用系統(tǒng)漏洞的攻擊數(shù)據(jù)包 FTP_wuftpd_site_exec .cap MSRPC_dcom_remote_overflow .cap IIS_unicode_decode.cap 預(yù)期結(jié)果IPS 對(duì)攻擊包阻斷成功并有報(bào)警信息 Wu-ftpd SITE EXEC 命令溢出攻擊 BUGTRAQ ID: 1387 CVE(

35、CAN) ID: CVE-2000-0573 微軟 IIS Unicode 解碼漏洞攻擊 BUGTRAQ ID: 1806 CVE(CAN) ID: CVE-2000-0884 微軟 RCP DCOM 接口溢出攻擊 BUGTRAQ ID: 8205 CVE(CAN) ID: CVE-2003-0352 測(cè)試結(jié)果（ ）通過(guò)（ ）未通過(guò)（ ）未測(cè)試 結(jié)果備注 簽字確認(rèn)主測(cè)方：參測(cè)方： 4.3.4 系統(tǒng)漏洞攻擊（真實(shí)攻擊）系統(tǒng)漏洞攻擊（真實(shí)攻擊） 測(cè)試項(xiàng)目系統(tǒng)漏洞攻擊測(cè)試 測(cè)試目的測(cè)試 IPS 針對(duì)針對(duì)系統(tǒng)漏洞的攻擊所提供的保護(hù)功能 測(cè)試步驟1、 按照拓?fù)鋱D搭建測(cè)試環(huán)境， 2、 被攻擊的服務(wù)器存在系

36、統(tǒng)和應(yīng)用程序漏洞 3、 使用漏洞掃描工具對(duì)被攻擊服務(wù)器漏洞掃描 4、 使用 Metasploit 工具對(duì)應(yīng)用程序漏洞進(jìn)行利用，檢測(cè)漏洞利用的效果 5、 開(kāi)啟 IPS 防護(hù)規(guī)則 6、 重復(fù)第 4 步和第五步，對(duì)比效果 預(yù)期結(jié)果IPS 對(duì)掃描行為報(bào)警，根據(jù) IPS 策略設(shè)置阻斷高風(fēng)險(xiǎn)的漏洞掃描插件 IPS 對(duì) Metasploit 攻擊阻斷。 測(cè)試結(jié)果（ ）通過(guò)（ ）未通過(guò)（ ）未測(cè)試 結(jié)果備注 簽字確認(rèn)主測(cè)方：參測(cè)方： 4.3.5 木馬連接保護(hù)測(cè)試木馬連接保護(hù)測(cè)試 測(cè)試項(xiàng)目木馬連接保護(hù)測(cè)試 1 測(cè)試目的測(cè)試 IPS 針對(duì)木馬連接的所提供的保護(hù)功能 測(cè)試步驟1、按照拓?fù)鋱D搭建測(cè)試環(huán)境 2、在被攻擊

37、機(jī)上種植木馬服務(wù)器端，在攻擊機(jī)上安裝木馬客戶端 3、從攻擊機(jī)向被攻擊機(jī)發(fā)起連接，觀察被攻擊機(jī)能否被攻擊機(jī)控制 4、回放木馬連接的數(shù)據(jù)包，觀察 IPS 報(bào)警 Backdoor_Netbus.cap Backdoor_NetbusPro.cap Backdoor_huigezi_mini.cap Backdoor_netthief.cap 預(yù)期結(jié)果木馬連接被 IPS 檢測(cè)并阻斷，無(wú)法連接成功 回放數(shù)據(jù)包時(shí)，IPS 有準(zhǔn)確報(bào)警 NetBus 木馬 NetBus Pro 木馬 灰鴿子木馬 MINI 版 網(wǎng)絡(luò)神偷木馬 測(cè)試結(jié)果（ ）通過(guò)（ ）未通過(guò)（ ）未測(cè)試 結(jié)果備注 簽字確認(rèn)主測(cè)方：參測(cè)方： 4.3.6 拒絕服務(wù)攻擊拒絕服務(wù)攻擊 測(cè)試項(xiàng)目拒絕服務(wù)攻擊測(cè)試 測(cè)試目的測(cè)試 IPS 針對(duì)拒絕服務(wù)攻擊所提供的保護(hù)功能 測(cè)試步驟1、 按照拓?fù)鋱D搭建測(cè)試環(huán)境， 2、 回放拒絕服務(wù)攻擊數(shù)據(jù)包 FTP IIS wildcard DOS S (s).cap udp flood.cap smarf attack.cap tcp scan-syn-ack.cap 預(yù)期結(jié)果IPS 對(duì)攻擊包阻斷成功并有報(bào)警信息 Windows NT IIS/4.0 FTP NLST 命令遠(yuǎn)程拒絕服務(wù)攻擊 UDP-Flood 淹沒(méi)拒絕服務(wù)攻擊 ICMP-Flood 淹沒(méi)拒絕服務(wù)攻擊