Bir Virus Algılama Aracı Olarak Erişim Kontrol Listelerini (ACL) Kullanan

Bir ağ yöneticisi olarak, virüsleri tespit etmenize yardımcı olabilecek Erişim Kontrol Listelerinizle (ACL'ler) birkaç şey yapabilirsiniz. Belli bir trafiğe sahip bir virüsü biliyorsanız, belki de TCP port 1090'da, günlük seçeneğini kullanan bir ACL oluşturabilirsiniz. Bu, bu paketler hakkındaki bilgilerin merkezi bir Syslog sunucusuna gidebilecek sistem günlüğüne kaydedilmesini sağlar.

Günlük kaydını etkinleştirmek için Uygulama Denetim Motorunuza (ACE'ler) küçük bir değişiklik yapacaksınız. Basitçe, ACE'nin sonuna günlük ekleyerek, ACE'ye uyan herhangi bir trafik günlüğe kaydedilir.

ASAFirewall1 (config) # erişim listesi 103 denp tcp any any eq 1090? etkin olmayan ACL öğesi günlüğünü devre dışı bırakmak için anahtar kelime Bu ACL öğesinde günlük seçeneğini etkinleştirmek için anahtar kelime zaman aralığı Bu ACL öğesine zaman aralığı seçeneği eklemek için anahtar kelime Router1 (config) # erişim listesi 103 herhangi bir tcp'yi reddetme eşdeğer 1090? dscp Verilen dscp değer parçalarına sahip paketleri eşleştirir İlk olmayan parçaların günlüğünü kontrol et Bu girdiye karşı eşleme girişleri giriş girişi Girdi arabirimi önceliği de dahil olmak üzere bu girdiye karşı eşlemeler Verilen önceliğe sahip eşleme paketleri Zaman aralığı Bir zaman aralığı belirtin Eşleşen paketleri ile verilen TOS değeri

. Cisco IOS cihazları üzerinde küçük bir günlük yapılandırılmış. Yönlendiricinizin 64 MB kadar küçük bir hafızaya sahip olabileceğini düşündüğünüzde, bu, çok uzun süre günlük bilgilerini korumak için çok fazla alan bırakmaz. Günlük kaydı için yönlendiricinin belleğini kullanmanın alternatifi, günlük bilgilerinizin ağdaki bir sunucuya gönderilmesidir.

Syslog, bu günlük mesajlarını kabul etmek ve saklamaya yarayan endüstri standardı bir formattır. Birçok Syslog sunucusu, Windows için Kiwi Syslog Server da dahil olmak üzere farklı işletim sistemleri için kullanılabilir. Kiwi Syslog Server ücretsiz bir sürüm olarak mevcuttur ve çoğu kişi için yeterince uygundur. Cihazınızın bir Syslog sunucusuna mesaj göndermesine izin vermek için, bu komutu IOS cihazınızda kullanın (192. 168. 1. 5, Syslog sunucusunun IP adresi):

Router1> enable Parola: Router1 # configure terminal Komut satırlarını her satıra bir girin. CNTL / Z ile bitiş yapın. Router1 (config) #logging 192. 168. 1. 5

Veriyi günlüğe kaydetmek yerine, hata ayıklama komutu (debug ip packet 103 ayrıntısı gibi) kullanarak cihazda gerçek zamanlı olarak görüntüleyebilirsiniz; Bu tür verileri görmek bekliyoruz. Aşağıdakiler, bir aygıt için 10,0 ile bir erişim denemesi reddedildiğini gösteren hata ayıklamadır. IP adresi:

Yönlendirici1> etkin Yönlendirici1 # terminal izleyicisi Yönlendirici1 hata ayıklama ip paketi 103 ayrıntılı IP paketi hata ayıklama Erişim listesi 103 için açık (ayrıntılı) 103 Yönlendirici # 00: 11: 55:% SEC-6-IPACCESSLOGP: liste 103, TCP 10'ı engelledi.0. 2. 25 (3541) -> 192. 168. 8. 10 (1090), 1 paket Router1 # hata ayıklama yok Tüm olası hata ayıklama kapatılmış