Windows Server 2008的IDS？

Question

我确信我的Windows 2008盒在网络级别和web应用程序级别都不断受到攻击。

问题是我如何发现这些攻击？是否有任何轻量级的软件可以监视服务器？

注意:我在VPS上运行这个程序，所以监视器程序必须运行在同一台服务器上。

Answer 1

海事组织，您永远不能完全信任被监控的服务器上的软件来获取这类信息。您需要在所有通信量和服务器之间建立透明层。您还可以通过镜像访问服务器的所有通信量来进行“边带”监视，并对其进行分析。但这并不能提供很大的保护潜力。

我想您可以考虑在服务器上安装Microsoft或TMG，但这有点麻烦。TMG将解决网络级别的攻击，IAG将专门针对web应用程序层。

Answer 2

我建议一种多方面的方法，使用Snort作为网络入侵检测系统( NIDS )，并将其用作HIDS (主机入侵检测系统)。

在HIDS方面，Pixelicious已经提到Tripwire，但正如暗示的那样，它是一个非常昂贵的解决方案。

OSSEC是一个功能强大的开源HIDS，可以很好地满足您的需要，并且如果需要的话(通过趋势微)可以提供商业支持。

离子X Verisys是一个商业的，但重量轻和较便宜的替代Tripwire.

Answer 3

我将假设您不必使用资源来使用任何企业级IDS，比如tripwire吗？这肯定是有效的。我建议您记录接收到的所有请求，因此在IIS中一定要记录和检查您的http请求。你能限制你期待连接的IP范围吗？

你能验证一下你的网络应用程序吗？如果您禁用匿名访问，您应该能够大大减少对您的应用程序的攻击。如果没有，请考虑降低IIS服务和应用程序池的权限。

如果您在网络上看到探测，请标识网络服务(netstat -an将帮助)切换您可以关闭的所有内容。打开您的windows防火墙；查看规则，将其限制在最低限度。

没有任何应用程序，你可以安装或设备，你可以购买，只是打开，使一切正常。你最好的防御方法是积极检查你的系统。