目  录

1 IPS

1.1 IPS简介

1.1.1 IPS的优势

1.1.2 IPS特征

1.1.3 IPS动作

1.1.4 IPS实现流程

1.1.5 IPS特征库升级与回滚

1.2 IPS配置任务简介

1.3 配置IPS

1.3.1 配置IPS策略

1.3.2 配置IPS引用的应用层检测引擎动作参数profile

1.3.3 在DPI应用profile中引用IPS策略

1.3.4 导入自定义IPS特征

1.3.5 在对象策略规则中引用DPI应用profile

1.3.6 在安全域间实例中引用对象策略

1.3.7 配置IPS特征库升级和回滚

1.3.8 激活DPI各业务模块的策略配置

1.4 IPS显示和维护

1.5 IPS典型配置举例

1.5.1 应用缺省IPS策略的典型配置举例

1.5.2 应用自定义IPS策略的典型配置举例

1.5.3 手动离线升级IPS特征库典型配置举例

1.5.4 定时自动升级IPS特征库典型配置举例

 

1 IPS

 

1.1  IPS简介

IPS（Intrusion Prevention System，入侵防御系统）是一种可以对应用层攻击进行检测并防御的安全防御技术。IPS通过分析流经设备的网络流量来实时检测入侵行为，并通过一定的响应动作来阻断入侵行为，实现保护企业信息系统和网络免遭攻击的目的。

1.1.1  IPS的优势

IPS具有以下优势：

·            深度防护：可以检测报文应用层的内容，以及对网络数据流进行协议分析和重组，并根据检测结果来对报文做出相应的处理。

·            实时防护：实时检测流经设备的网络流量，并对入侵活动和攻击性网络流量进行实时拦截。

·            全方位防护：可以对多种攻击类型提供防护措施，例如蠕虫、病毒、木马、僵尸网络、间谍软件、广告软件、CGI（Common Gateway Interface）攻击、跨站脚本攻击、注入攻击、目录遍历、信息泄露、远程文件包含攻击、溢出攻击、代码执行、拒绝服务、扫描工具、后门等。

·            内外兼防：对经过设备的流量都可以进行检测，不仅可以防止来自企业外部的攻击，还可以防止发自企业内部的攻击。

1.1.2  IPS特征

IPS特征用来扫描网络中的攻击行为以及对攻击行为采取防御措施，设备通过将数据流与IPS特征进行比较来检测和防御攻击。设备支持以下两种类型的IPS特征：

·            预定义IPS特征：系统中的IPS特征库自动生成。预定义IPS特征的内容不能被创建、修改和删除，但是预定义IPS特征的动作属性和生效状态属性可以被修改。有关IPS动作的详细介绍请参见“1.1.3  IPS动作”。

·            自定义IPS特征：管理员在设备上手工创建。通常新的网络攻击出现后，与其对应的攻击特征会出现的比较晚一些。如果管理员已经掌握了新网络攻击行为的特点，可以通过自定义方式创建IPS特征，及时阻止网络攻击，否则，不建议用户自定义IPS特征。需要注意的是，目前仅支持以Snort文件导入的方式生成自定义IPS特征，Snort文件需要遵循Snort公司的语法。

1.1.3  IPS动作

IPS动作是指设备对匹配上IPS特征的报文做出的处理。IPS处理动作包括如下几种类型：

·            重置：通过发送TCP的reset报文断开TCP连接。

·            重定向：把符合特征的报文重定向到指定的Web页面上。

·            源阻断：阻断符合特征的报文，并会将该报文的源IP地址加入IP黑名单。如果设备上同时开启了IP黑名单过滤功能，则一定时间内（由block-period命令指定）来自此IP地址的所有报文将被直接丢弃；否则，此IP黑名单不生效。有关IP黑名单过滤功能的详细介绍请参见“安全配置指导”中的“攻击检测与防范”，有关block-period命令的详细介绍请参见“DPI深度安全”中的“应用层检测引擎”。

·            丢弃：丢弃符合特征的报文。

·            放行：允许符合特征的报文通过。

·            捕获：捕获符合特征的报文。

·            生成日志：对符合特征的报文生成日志信息。

1.1.4  IPS实现流程

在设备配置了IPS功能的情况下，当用户的数据流量经过设备时，设备将进行IPS处理。处理流程如图1-1所示：

图1-1 IPS数据处理流程图

 

IPS处理的整体流程如下：

(1)       如果报文与IP黑名单匹配成功，则直接丢弃该报文。

(2)       如果报文匹配了某对象策略规则，且此对象策略规则的动作是inspect，则设备将对报文进行深度内容检测：首先，识别报文的协议，然后根据协议分析方案进行更精细的分析，并深入提取报文特征。有关对象策略规则的详细介绍请参见“安全配置指导”中的“对象策略”。

(3)       设备将提取的报文特征与IPS特征进行匹配，并对匹配成功的报文进行如下处理：

·            如果报文同时与多个IPS特征匹配成功，则根据这些动作中优先级最高的动作进行处理。但是，对于源阻断、生成日志和捕获三个动作只要匹配成功的特征中存在就会执行。动作优先级从高到低的顺序为：重置 > 重定向 > (源阻断/丢弃) > 允许，其中源阻断与丢弃的优先级相同。

·            如果报文只与一个IPS特征匹配成功，则根据此特征中指定的动作进行处理。

·            如果报文未与任何IPS特征匹配成功，则设备对报文执行允许动作。

1.1.5  IPS特征库升级与回滚

IPS特征库是用来对经过设备的应用层流量进行病毒检测和防御的资源库。随着网络攻击不断的变化和发展，需要及时升级设备中的IPS特征库，同时设备也支持IPS特征库回滚功能。

1. IPS特征库升级

IPS特征库的升级包括如下几种方式：

·            定期自动在线升级：设备根据管理员设置的时间定期自动更新本地的IPS特征库。

·            立即自动在线升级：管理员手工触发设备立即更新本地的IPS特征库。

·            手动离线升级：当设备无法自动获取IPS特征库时，需要管理员先手动获取最新的IPS特征库，再更新设备本地的IPS特征库。

2. IPS特征库回滚

如果管理员发现设备当前IPS特征库对报文进行检测和防御网络攻击时，误报率较高或出现异常情况，则可以将其进行回滚到出厂版本和上一版本。

1.2  IPS配置任务简介

表1-1 IPS配置任务简介

配置任务	说明	详细配置
配置IPS策略	必选	1.3.1
指定IPS引用的应用层检测引擎动作参数profile	可选	1.3.2
在DPI应用profile下引用IPS策略	必选	1.3.3
导入自定义IPS特征	可选	1.3.4
在对象策略规则中引用DPI应用profile	必选	1.3.5
在安全域间实例中引用对象策略	必选	1.3.6
配置IPS特征库升级和回滚	可选	1.3.7
激活DPI各业务模块的策略配置	可选	1.3.8

 

1.3  配置IPS

1.3.1  配置IPS策略

管理员可以根据实际的网络需求，通过配置IPS策略修改已有IPS特征的动作属性和生效状态属性。

设备上的所有IPS策略均使用当前系统中的所有IPS特征。

表1-2 配置IPS策略

操作	命令	说明
进入系统视图	system-view	-
创建IPS策略，并进入IPS策略视图	ips policy policy-name	缺省情况下，存在一个缺省IPS策略，名称为default，且不能被修改和删除
修改IPS特征的状态和动作	signature override { pre-defined | user-defined } signature-id { { disable | enable } [ { block-source | drop | permit | redirect | reset } | capture | logging ] * }	缺省情况下，预定义IPS特征使用系统预定义的状态和动作，自定义IPS特征的动作和状态在管理员导入的特征库文件中定义。 缺省IPS策略中的IPS特征的动作属性和生效状态属性不能被修改

 

1.3.2  配置IPS引用的应用层检测引擎动作参数profile

每类IPS动作的具体执行参数由应用层检测引擎动作参数profile来定义，该profile的具体配置请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

如果IPS引用的应用层检测引擎动作参数profile不存在或没有引用，则使用系统各类动作参数的缺省值。

表1-3 配置IPS引用的应用层检测引擎动作参数profile

操作	命令	说明
进入系统视图	system-view	-
配置IPS引用的应用层检测引擎动作参数profile	ips { block-source | capture | email | logging | redirect } parameter-profile parameter-name	缺省情况下，IPS未引用应用层检测引擎动作参数profile

 

1.3.3  在DPI应用profile中引用IPS策略

DPI应用profile是一个安全业务的配置模板，为实现IPS功能，必须在DPI应用profile中引用指定的IPS策略。一个DPI应用profile中只能引用一个IPS策略，如果重复配置，则新的配置会覆盖已有配置。

表1-4 在DPI应用profile中引用IPS策略

操作	命令	说明
进入系统视图	system-view	-
进入DPI应用profile视图	app-profile profile-name	关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“应用层检测引擎”
在DPI应用profile中引用IPS策略	ips apply policy policy-name mode { protect | alert }	缺省情况下，DPI应用profile中未引用IPS策略

 

1.3.4  导入自定义IPS特征

当需要的IPS特征在设备当前IPS特征库中不存在时，可通过编辑Snort格式的IPS特征文件，并将其导入设备中来生成所需的IPS特征。导入的IPS特征文件内容会自动覆盖系统中所有的自定义IPS特征。

需要注意的是，Snort文件需要遵循Snort公司的语法。

表1-5 导入自定义IPS特征

操作	命令	说明
进入系统视图	system-view	-
导入自定义IPS特征	ips signature import snort file-path	缺省情况下，不存在自定义IPS特征

 

1.3.5  在对象策略规则中引用DPI应用profile

有关对象策略规则的详细介绍请参见“安全配置指导”中的“对象策略”。

1. 在IPv4对象策略中引用DPI应用profile

表1-6 在IPv4对象策略规则中引用DPI应用profile

操作	命令	说明
进入系统视图	system-view	-
进入Context系统视图	switchto context context-name	仅对Context必选
进入一个IPv4对象策略	object-policy ip object-policy-name	-
在IPv4对象策略规则中引用DPI应用profile	rule [ rule-id ] { drop | pass | inspect app-profile-name } [ [ source-ip object-group-name | any ] [ destination-ip object-group-name | any ] [ service object-group-name | any ] [vrf vrf-name ] [ counting ] [ disable ] [ logging ] [ time-range time-range-name ] ] *	缺省情况下，在IPv4对象策略规则中未引用DPI应用profile

 

2. 在IPv6对象策略中引用DPI应用profile

表1-7 在IPv6对象策略规则中引用DPI应用profile

操作	命令	说明
进入系统视图	system-view	-
进入Context系统视图	switchto context context-name	仅对Context必选
进入一个IPv6对象策略	object-policy ipv6 object-policy-name	-
在IPv6对象策略规则中引用DPI应用profile	rule [ rule-id ] { drop | pass| inspect app-profile-name } [ [ source-ip object-group-name | any ] [ destination-ip object-group-name | any ] [ service object-group-name | any ] [vrf vrf-name ] [ counting ] [ disable ] [ logging ] [ time-range time-range-name ] ] *	缺省情况下，在IPv6对象策略规则中未引用DPI应用profile

 

1.3.6  在安全域间实例中引用对象策略

有关此功能的详细介绍请参见“安全配置指导”中的“对象策略”。

表1-8 安全域间实例引用对象策略

操作		命令	说明
进入系统视图		system-view	-
进入Context系统视图		switchto context context-name	仅对Context必选
创建源安全域和目的安全域		security-zone name zone-name	缺省情况下，当首次执行创建安全域的命令时，系统会自动创建以下缺省安全域：Local、Trust、DMZ、Management和Untrust
创建安全域间实例，并进入安全域间实例视图		zone-pair security source source-zone-name destination destination-zone-name	缺省情况下，不存在安全域间实例
应用对象策略	应用IPv4对象策略	object-policy apply ip object-policy-name	缺省情况下，安全域间实例内不应用对象策略 二者至少选其一
	应用IPv6对象策略	object-policy apply ipv6 object-policy-name

 

1.3.7  配置IPS特征库升级和回滚

 

随着网络攻击的不断变化和发展，管理员需要及时升级设备中的IPS特征库，同时设备也支持IPS特征库回滚功能。

1. 配置定期自动在线升级IPS特征库

如果设备可以访问H3C官方网站上的特征库服务专区，可以采用定期自动在线升级方式来对设备上的IPS特征库进行升级。

 

表1-9 配置定期自动在线升级IPS特征库

操作	命令	说明
进入系统视图	system-view	-
开启定期自动在线升级IPS特征库功能，并进入自动在线升级配置视图	ips signature auto-update	缺省情况下，定期自动在线升级IPS特征库功能处于关闭状态
配置定期自动在线升级IPS特征库的时间	update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes	缺省情况下，设备在每天00:00:00 至04:00:00之间自动升级IPS特征库
开启IPS特征文件自动覆盖功能	override-current	缺省情况下，设备定期自动在线升级IPS特征库时备份当前的特征库文件

 

2. 立即自动在线升级IPS特征库

当管理员发现H3C官方网站上的特征库服务专区中的IPS特征库有更新时，可以选择立即自动在线升级方式来及时升级IPS特征库版本。

 

表1-10 立即自动在线升级IPS特征库

操作	命令	说明
进入系统视图	system-view	-
立即自动在线升级IPS特征库	ips signature auto-update-now	-

 

3. 手动离线升级IPS特征库

如果设备不能访问H3C官方网站上的特征库服务专区，管理员可以采用如下几种方式手动离线升级IPS特征库版本。

·            本地升级：使用本地保存的特征库文件升级系统上的IPS特征库版本。

¡  特征库文件只能存储在当前主用设备上，否则设备升级特征库会失败。

·            FTP/TFTP升级：通过FTP或TFTP方式下载远程服务器上保存的特征库文件，并升级本地系统上的IPS特征库版本。

表1-11 手动离线升级IPS特征库

操作	命令	说明
进入系统视图	system-view	-
手动离线升级IPS特征库	ips signature update [ override-current ] file-path	-

 

4. 回滚IPS特征库

IPS特征库版本每次回滚前，设备都会备份当前版本。多次回滚上一版本的操作将会在当前版本和上一版本之间反复切换。例如当前IPS特征库版本是V2，上一版本是V1，第一次执行回滚到上一版本的操作后，特征库替换成V1版本，再执行回滚上一版本的操作则特征库重新变为V2版本。

表1-12 回滚IPS特征库

操作	命令	说明
进入系统视图	system-view	-
回滚IPS特征库	ips signature rollback { factory | last }	-

 

1.3.8  激活DPI各业务模块的策略配置

当DPI各业务模块的策略被创建、修改和删除后，需要配置此功能使其策略配置生效。

配置此功能会暂时中断DPI业务的处理，为避免重复配置此功能对DPI业务造成影响，请统一部署DPI各业务模块的策略后统一配置此功能。

有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

表1-13 激活DPI各业务模块的策略配置

操作	命令	说明
进入系统视图	system-view	-
激活DPI各业务模块的策略配置	inspect activate	缺省情况下，DPI各业务模块的策略被创建、修改和删除时不生效

 

1.4  IPS显示和维护

完成上述配置后，在任意视图下执行display命令可以显示配置后IPS的运行情况，通过查看显示信息验证配置的效果。

表1-14 IPS显示和维护

操作	命令
显示IPS特征属性列表	display ips signature [ pre-defined | user-defined ] [ direction { any | to-client | to-server } ] [ category category-name | fidelity { high | low | medium } | protocol { icmp | ip | tcp | udp } | severity { critical | high | low | medium } ] *
显示指定IPS特征的详细属性	display ips signature { pre-defined | user-defined } signature-id
显示IPS特征库版本信息	display ips signature information
显示IPS策略信息	display ips policy policy-name

 

1.5  IPS典型配置举例

1.5.1  应用缺省IPS策略的典型配置举例

1. 组网需求

如图1-2所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现要求使用设备上的缺省IPS策略对用户数据报文进行IPS防御。

2. 组网图

图1-2 应用缺省IPS策略的配置组网图

 

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

·            配置对象组

# 创建名为ipsfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address ipsfilter

[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-ipsfilter] quit

(3)       配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用缺省IPS策略default，并指定该IPS策略的模式为Protect。

[Device-app-profile-sec] ips apply policy default mode protect

[Device-app-profile-sec] quit

(4)       配置对象策略

# 创建名为ipsfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip ipsfilter

# 对源IP地址对象组ipsfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-ipsfilter] rule inspect sec source-ip ipsfilter destination-ip any

[Device-object-policy-ip-ipsfilter] quit

(5)       配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组ipsfilter对应的报文进行深度检测的对象策略ipsfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip ipsfilter

[Device-zone-pair-security-Trust-Untrust] quit

# 激活DPI各业务模块的策略配置。

[Device] inspect activate

4. 验证配置

以上配置生效后，使用缺省IPS策略可以对已知攻击类型的网络攻击进行防御。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-718)类型的攻击报文经过Device设备时，Device会匹配该报文，并对报文按照匹配成功的IPS特征的动作（reset和logging）进行处理。

1.5.2  应用自定义IPS策略的典型配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·            将编号为2的预定义IPS特征的动作改为丢弃并进行报文捕获和生成日志。

·            禁用编号为4的预定义IPS特征。

·            使编号为6的预定义IPS特征生效。

2. 组网图

图1-3 应用自定义IPS策略配置组网图

 

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)       配置对象组

# 创建名为ipsfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address ipsfilter

[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-ipsfilter] quit

(4)       配置IPS功能

# 创建一个名称为ips1的IPS策略，并进入IPS策略视图。

[Device] ips policy ips1

# 将编号为2的预定义IPS特征的状态为开启，动作为丢弃和捕获报文，并生成日志信息。

[Device-ips-policy-ips1] signature override pre-defined 2 enable drop capture logging

# 禁用编号为4的预定义IPS特征。

[Device-ips-policy-ips1] signature override pre-defined 4 disable

# 使编号为6的预定义IPS特征生效。

[Device-ips-policy-ips1] signature override pre-defined 6 enable

[Device-ips-policy-ips1] quit

(5)       配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用IPS策略ips1，并指定该IPS策略的模式为Protect。

[Device-app-profile-sec] ips apply policy ips1 mode protect

[Device-app-profile-sec] quit

(6)       配置对象策略

# 创建名为ipsfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip ipsfilter

# 对源IP地址对象组ipsfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-ipsfilter] rule inspect sec source-ip ipsfilter destination-ip any

[Device-object-policy-ip-ipsfilter] quit

(7)       配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组ipsfilter对应的报文进行深度检测的对象策略ipsfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip ipsfilter

[Device-zone-pair-security-Trust-Untrust] quit

# 激活DPI各业务模块的策略配置。

[Device] inspect activate

4. 验证配置

以上配置生效后，在IPS策略ips1中可看到以上有关IPS策略的配置。

1.5.3  手动离线升级IPS特征库典型配置举例

1. 组网需求

如图1-4所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的IPS特征库文件ips-1.0.8-encrypt.dat，FTP服务器的登录用户名和密码分别为ips和123。现有组网需求如下：

·            手动离线升级IPS特征库，加载最新的IPS特征。

·            使用设备上的缺省IPS策略对常见的网络攻击进行防御。

2. 组网图

图1-4 手动离线升级IPS特征库配置组网图

 

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       配置Device与FTP互通

# 配置ACL 2001，定义规则允许所有报文通过。

<Device> system-view

[Device] acl basic 2001

[Device-acl-ipv4-basic-2001] rule permit

[Device-acl-ipv4-basic-2001] quit

# 向安全域DMZ中添加接口GigabitEthernet1/0/3。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

# 创建源安全域Local到目的安全域DMZ的安全域间实例，允许Local域用户访问DMZ域的报文可以通过。

[Device] zone-pair security source local destination dmz

[Device-zone-pair-security-Local-DMZ] packet-filter 2001

[Device-zone-pair-security-Local-DMZ] quit

# 创建源安全域DMZ到目的安全域Local的安全域间实例，允许DMZ域用户访问Local域的报文可以通过。

[Device] zone-pair security source dmz destination local

[Device-zone-pair-security-DMZ-Local] packet-filter 2001

[Device-zone-pair-security-DMZ-Local] quit

(3)       创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)       配置对象组

# 创建名为ipsfilter的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address ipsfilter

[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24

[Device-obj-grp-ip-ipsfilter] quit

(5)       配置IPS功能

# 采用FTP方式手动离线升级设备上的IPS特征库，且被加载的IPS特征库文件名为ips-1.0.8-encrypt.dat。

[Device] ips signature update ftp://ips:[email protected]/ips-1.0.8-encrypt.dat

(6)       配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用缺省IPS策略default，并指定该IPS策略的模式为Protect。

[Device-app-profile-sec] ips apply policy default mode protect

[Device-app-profile-sec] quit

(7)       配置对象策略

# 创建名为ipsfilter的IPv4对象策略，并进入对象策略视图。

[Device] object-policy ip ipsfilter

# 对源IP地址对象组ipsfilter对应的报文进行深度检测，引用的DPI应用profile为sec。

[Device-object-policy-ip-ipsfilter] rule inspect sec source-ip ipsfilter destination-ip any

[Device-object-policy-ip-ipsfilter] quit

(8)       配置安全域间实例并应用对象策略

# 创建源安全域Trust到目的安全域Untrust的安全域间实例，并应用对源IP地址对象组ipsfilter对应的报文进行深度检测的对象策略ipsfilter。

[Device] zone-pair security source trust destination untrust

[Device-zone-pair-security-Trust-Untrust] object-policy apply ip ipsfilter

[Device-zone-pair-security-Trust-Untrust] quit

# 激活DPI各业务模块的策略配置。

[Device] inspect activate

4. 验证配置

以上配置生效后，使用缺省IPS策略可以对已知攻击类型的网络攻击进行防御。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-718)类型的攻击报文经过Device设备时，Device会匹配该报文，并对报文按照匹配成功的IPS特征的动作（reset和logging）进行处理。

IPS特征库升级后，可以通过display ips signature information命令查看当前特征库的版本信息。

1.5.4  定时自动升级IPS特征库典型配置举例

1. 组网需求

如图1-5所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现要求每周六上午九点前后半小时内，定期自动在线升级设备的IPS特征库。

2. 组网图

图1-5 定时自动升级IPS特征库配置组网图

 

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       配置设备解析H3C官方网站对应IP地址的域名解析功能（略）

(3)       配置定期自动在线升级IPS特征库

# 开启设备自动升级IPS特征库功能，并进入自动升级配置视图。

<Device> system-view

[Device] ips signature auto-update

[Device-ips-autoupdate]

# 设置定时自动升级IPS特征库计划为：每周六上午9:00:00自动升级，抖动时间为30分钟。

[Device-ips-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 30

[Device-ips-autoupdate] quit

4. 验证配置

设置的定期自动在线升级IPS特征库时间到达后，可以通过display ips signature information命令查看当前特征库的版本信息。