Mars原理解析

network

本贴适合对安全网管（MARS）已经有基础的人阅读，建议初学者先看看之前的帖子。

最近总有一些人打电话询问我有关MARS原理的问题，所以我总结了一下，分享给大家。如下一张图很好的诠释了MARS的整个流程及运作原理。

首先第一步，MARS要收集原始数据（即Events）到系统里面来，这就涉及到MARS与被管理的设备的交互，可以通过如下协议进行交换（例如IPS和MARS的交互使用SDEE）
Syslog，SNMP，RDEP，OPSEC-LEA (Clear and encrypted)，POP，SDEE，HTTPS，HTTP，JDBC，RPC，SQLNet

第二步，Parser and Normalization
Parser这是一套动态或静态的参数，它和Normalization一块使各个厂家不同设备收集上来的Events形成MARS统一识别的一种方式（即起到了一个翻译的作用，翻译成MARS统一识别的语言，注意：也就是在这里可以使用内置的custom parser tool做开发，来支持那些MARS所不支持的设备）。以便于MARS进一步对其进行处理。

第三步，Sessionazation
在这里需要把收集上来的原始数据（Events）进行关联，大幅度减少，形成Session。当多个Events的source IP, destination IP, source and destination port(s), and protocol 这5个部分匹配，再给它敲上一个 time stamp，就会形成一个Session。

第四步，Incident

Session的最终结果是要形成Incident，在形成Incident之前要经过两个Rule，Rules是根据事件的 behaviors, specific event messages, certain fields in messages, 或者occurrences over time定义的。Rules是不可以删除的，人为的只可以对其状态进行激活或者睡眠。
   第一个Rule ，Drop Rule，一旦Drop Rule匹配，则就会认为该Session 不具备威胁性，会放到Database里面以备今后审计。没有匹配Drop Rule的Session则初步认为是具有威胁性的，会送到第二个Inspection Rule里面去。一旦在Inspection Rule里面匹配则还要对其进行误报分析，之后再对可疑主机进行弱点评估，以过滤虚假信息。。如果其不是误报，则最终的具有威胁性的Incident形成。
第四步，
Incident也会被放入Database里面，之后会被关联到你前期所得到的拓扑图上，即在我们的拓扑图上呈现攻击路径。

整个MARS流程及原理走完。

附：用于发现设备及阅读设备配置的MIBS
• mib-2(1) .System
• mib-2(1) .Interface.iftable
• mib-2(1) .ip.iproutetable
• mib-2(1) .ip.ipaddrTable
• mib-2(1) .ip.forwarding
• mib-2(1) .At.attable (for ARP info)
• mib-2(1) .dot1dBridge(17)
• vtpVlanState EMIB

network

MARS支持以下这些设备2007年12月11日 星期二 11:39网络
Cisco IOS 11.x 和 12.x, Catalyst OS 6.x
NetFlow v5/v7
NAC ACS 3.x
Extreme Extremeware 6.x
防火墙/VPN
Cisco PIX 7.x, IOS Firewall, FWSM 1.x & 2.2, VPN Concentrator 4.x, Cisco ASA
CheckPoint Firewall-1 NG FPx, VPN-1
NetScreen Firewall 4.x, 5.x
Nokia Firewall
IDS
Cisco NIDS 3.x & 4.x, 5.x, IDSM 3.x, 4.x, 5.x
Enterasys Dragon NIDS 6.x
ISS RealSecure Network Sensor 6.5, 7.0
Snort NIDS 2.x
McAfee Intrushield NIDS 1.x
NetScr

wasp