Fortinet FortiGate 300, Инструкция по установке и настройке

Страница: 235 / 282

网络入侵检测系统 (NIDS) 记 录 NIDS 攻击 日志
FortiGate-300 安装和配置指南
221
减少 NIDS 攻击 日志 消 息和报 警 邮件的 数量
入侵 企 图可能产 生 大量 的 攻击消 息。 为了帮助 您从 无 关的 警 报中 找 到 真 正 有用的信
息， FortiGate 设备提 供了减少 没 必 要 的 消 息的 数量 的 方 法 。根据 消 息 生 成 的 频 率 ，
FortiGate 设备能自动 删除重复 的 消 息。如果您 还收 到 大量 的虚 假 警 报，您可以手工 禁
用有关的特 征组 的 消 息 生 成 。
自动 减少消 息
NIDS 生 成 的 攻击 日志和报 警 邮件 消 息中的内容包 括被 检测到的 攻击 的 ID 编 号和 名
称 。 消 息中的 攻击 ID 编 号和 名 称 对应 于 NIDS 特 征组成员 列表中的 ID 编 号和 名 称 。
FortiGate 设备有一个报 警 邮件 队 列，它将 每 个新 生 成 的 消 息 与 队 列中 已 有的 消 息
比 对 。如果新的 消 息 没 有 重复 ， FortiGate 设备将 立 刻 发送 这 个 消 息， 并 将 消 息的一个
副 本 放 进 队 列。如果新 消 息 是重复 的， FortiGate 设备会 删除 它 并 将 队 列中 对应 的 消 息
内部的 计数器加 一。
FortiGate 设备将报 警 邮件 消 息的 副 本保 存 60 秒 。如果一个 消 息 副 本在 队 列中的
时 间超 过 了 60 秒 ， FortiGate 设备 删除 这 个 消 息 并 将 副 本 计数器加 一。如果 副 本 数大
于一， FortiGate 设备将发送一个标 题为 “ 重复 x 次 ” 的统 计 信息邮件，邮件内容 为
“ 以 下 邮件在过 去 的 y 秒 中 重复了 x 次 ” 和 原 始信息。
手工 减少 信息
如果您 希望 减少 NIDS 生 成 的 警 报的 数量 ，您可以 查看 以 下攻击 日志 消 息的内容和
报 警 邮件的内容。如果有 大量 的 无 效警 报 （例如，网页 攻击警 报， 而 您根本 没 有 运 行
网页服务 器 ），您可以 禁 用 攻击 列表中 对应 的 那些类 型的 攻击 。使用 攻击 日志和报 警 邮
件中 消 息所 显示 的 攻击 ID 编 号可以 很 容 易地 在特 征 列表中 找 到 对应 的项目。 见 第
216 页 “ 启用和 禁 用 NIDS 攻击 特 征 ” 。