目  录

1 攻击检测及防范

1.1 攻击检测及防范简介

1.2 攻击检测及防范的类型

1.2.1 单包攻击

1.2.2 扫描攻击

1.2.3 泛洪攻击

1.2.4 TCP分片攻击

1.2.5 Login用户字典序攻击

1.3 攻击检测及防范配置任务简介

1.4 配置攻击防范策略

1.4.1 创建攻击防范策略

1.4.2 配置攻击防范策略

1.4.3 配置攻击防范例外列表

1.4.4 在本机应用攻击防范策略

1.4.5 配置单包攻击防范日志的非聚合输出功能

1.5 配置TCP分片攻击防范

1.6 配置Login用户延时认证功能

1.7 攻击检测及防范显示和维护

1.8 攻击检测及防范典型配置举例

1.8.1 本机配置攻击检测及防范

1 攻击检测及防范

1.1  攻击检测及防范简介

攻击检测及防范是一个重要的网络安全特性，它通过分析经过设备的报文的内容和行为，判断报文是否具有攻击特征，并根据配置对具有攻击特征的报文执行一定的防范措施，例如输出告警日志、丢弃报文。

本特性能够检测单包攻击、扫描攻击和泛洪攻击等多种类型的网络攻击，并能对各类型攻击采取合理的防范措施。

1.2  攻击检测及防范的类型

1.2.1  单包攻击

单包攻击也称为畸形报文攻击，主要包括以下三种类型：

·     攻击者通过向目标系统发送带有攻击目的的IP报文，如分片重叠的IP报文、TCP标志位非法的报文，使得目标系统在处理这样的IP报文时出错、崩溃；

·     攻击者可以通过发送正常的报文，如ICMP报文、特殊类型的IP option报文，来干扰正常网络连接或探测网络结构，给目标系统带来损失；

·     攻击者还可通过发送大量无用报文占用网络带宽，造成拒绝服务攻击。

设备可以对表1-1中所列的各单包攻击行为进行有效防范。

表1-1 单包攻击类型及说明列表

1.2.2  扫描攻击

扫描攻击是指，攻击者运用扫描工具对网络进行主机地址或端口的扫描，通过准确定位潜在目标的位置，探测目标系统的网络拓扑结构和开放的服务端口，为进一步侵入目标系统做准备。

·     IP Sweep攻击

攻击者发送大量目的IP地址变化的探测报文，通过收到的回应报文来确定活跃的目标主机，以便针对这些主机进行下一步的攻击。

·     Port scan攻击

攻击者获取了活动目标主机的IP地址后，向目标主机发送大量目的端口变化的探测报文，通过收到的回应报文来确定目标主机开放的服务端口，然后针对活动目标主机开放的服务端口选择合适的攻击方式或攻击工具进行进一步的攻击。

·     分布式Port scan攻击

攻击者控制多台主机，分别向特定目标主机发送探测报文，通过收集所有被控制的主机的回应报文，确定目标主机开启的服务端口，以便进一步实施攻击。

1.2.3  泛洪攻击

泛洪攻击是指攻击者在短时间内向目标系统发送大量的虚假请求，导致目标系统疲于应付无用信息，从而无法为合法用户提供正常服务，即发生拒绝服务。

设备支持对以下几种泛洪攻击进行有效防范：

·     SYN flood攻击

根据TCP协议，服务器收到SYN报文后需要建立半连接并回应SYN ACK报文，然后等待客户端的ACK报文来建立正式连接。由于资源的限制，操作系统的TCP/IP协议栈只能允许有限个TCP连接。攻击者向服务器发送大量伪造源地址的SYN报文后，由于攻击报文是伪造的，服务器不会收到客户端的ACK报文，从而导致服务器上遗留了大量无效的半连接，耗尽其系统资源，使正常的用户无法访问，直到半连接超时。

·     ACK flood攻击

ACK报文为只有ACK标志位置位的TCP报文，服务器收到ACK报文时，需要查找对应的连接。若攻击者发送大量这样的报文，服务器需要进行大量的查询工作，消耗正常处理的系统资源，影响正常的报文处理。

·     SYN-ACK flood攻击

由于SYN ACK报文为SYN报文的后续报文，服务器收到SYN ACK报文时，需要查找对应的SYN报文。若攻击者发送大量这样的报文，服务器需要进行大量的查询工作，消耗正常处理的系统资源，影响正常的报文处理。

·     FIN flood攻击

FIN报文用于关闭TCP连接。若攻击者向服务器发送大量的伪造的FIN报文，可能会使服务器关闭掉正常的连接。同时，服务器收到FIN报文时，需要查找对应的连接，大量的无效查询操作会消耗系统资源，影响正常的报文处理。

·     RST flood攻击

RST报文为TCP连接的复位报文，用于在异常情况下关闭TCP连接。如果攻击者向服务器发送大量伪造的RST报文，可能会使服务器关闭正常的TCP连接。另外，服务器收到RST报文时，需要查找对应的连接，大量的无效查询操作会消耗系统资源，影响正常的报文处理。

·     DNS flood攻击

DNS服务器收到任何DNS Query报文时都会试图进行域名解析并且回复该DNS报文。攻击者通过构造并向DNS服务器发送大量虚假DNS Query报文，占用DNS服务器的带宽或计算资源，使得正常的DNS Query得不到处理。

·     HTTP flood攻击

HTTP服务器收到HTTP GET命令时可能进行一系列复杂的操作，包括字符串搜索、数据库遍历、数据组装、格式化转换等等，这些操作会消耗大量系统资源，因此当HTTP请求的速率超过了服务器的处理能力时，服务器就无法正常提供服务。攻击者通过构造并发送大量虚假HTTP GET请求，使服务器崩溃，无法响应正常的用户请求。

·     ICMP flood攻击

ICMP flood攻击是指，攻击者在短时间内向特定目标发送大量的ICMP请求报文（例如ping报文），使其忙于回复这些请求，致使目标系统负担过重而不能处理正常的业务。

·     ICMPv6 flood攻击

ICMPv6 flood攻击是指，攻击者在短时间内向特定目标发送大量的ICMPv6请求报文（例如ping报文），使其忙于回复这些请求，致使目标系统负担过重而不能处理正常的业务。

·     UDP flood攻击

UDP flood攻击是指，攻击者在短时间内向特定目标发送大量的UDP报文，占用目标主机的带宽，致使目标主机不能处理正常的业务。

1.2.4  TCP分片攻击

设备的包过滤功能一般是通过判断TCP首个分片中的五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议号）信息来决定后续TCP分片是否允许通过。RFC 1858对TCP分片报文进行了规定，认为TCP分片报文中，首片报文中TCP报文长度小于20字节，或后续分片报文中分片偏移量等于8字节的报文为TCP分片攻击报文。这类报文可以成功绕过上述包过滤功能，对设备造成攻击。

为防范这类攻击，可以在设备上配置TCP分片攻击防范功能，对TCP分片攻击报文进行丢弃。

1.2.5  Login用户字典序攻击

字典序攻击是指攻击者通过收集用户密码可能包含的字符，使用各种密码组合逐一尝试登录设备，以达到猜测合法用户密码的目的。

为防范这类攻击，可以在设备上配置Login用户延时认证功能，在用户认证失败之后，延时期间不接受此用户的登录请求。

1.3  攻击检测及防范配置任务简介

表1-2 攻击检测及防范配置任务简介

1.4  配置攻击防范策略

1.4.1  创建攻击防范策略

在配置攻击防范之前，必须首先创建一个攻击防范策略，并进入该攻击防范策略视图。在该视图下，可以定义一个或多个用于检测攻击的特征项，以及对检测到的攻击报文所采取的防范措施。

表1-3 创建攻击防范策略

1.4.2  配置攻击防范策略

在一个攻击防范策略中，可以根据实际的网络安全需求来配置策略中的具体内容，主要包括针对攻击类型指定检测条件及采取的防范措施。

不同类型的攻击防范策略在配置内容上有所不同，下面将按照攻击类型（单包攻击、扫描攻击、泛洪攻击）分别进行介绍。

1. 配置单包攻击防范策略

单包攻击防范主要通过分析经过设备的报文特征来判断报文是否具有攻击性，仅对上送本机的报文有效。若设备检测到某报文具有攻击性，则默认会输出告警日志，另外还可以根据配置将检测到的攻击报文做丢弃处理。

表1-4 配置单包攻击防范策略

2. 配置扫描攻击防范策略

扫描攻击防范主要通过监测网络使用者向设备发起连接的速率来检测其探测行为。若设备监测到某IP地址主动向设备发起的连接速率达到或超过了一定阈值，则可以根据配置输出告警日志、丢弃来自该IP地址的后续报文。

表1-5 配置扫描攻击防范策略

3. 配置泛洪攻击防范策略

通过监测向本机发起连接请求的速率来检测各类泛洪攻击。在设备上应用了泛洪攻击防范策略后，设备处于攻击检测状态，当它监测到向某服务器发送报文的速率持续达到或超过了指定的触发阈值时，即认为该服务器受到了攻击，则进入攻击防范状态，并根据配置启动相应的防范措施（输出告警日志、对后续新建连接的报文进行丢弃处理）。此后，当设备检测到向该服务器发送报文的速率低于恢复阈值（触发阈值的3/4）时，即认为攻击结束，则由攻击防范状态恢复为攻击检测状态，并停止执行防范措施。

为保护指定IP地址，攻击防范策略中支持基于IP地址的攻击防范配置。对于所有非受保护IP地址，可以统一开启攻击防范检测，并采用全局的参数设置来进行保护。

(1)     配置SYN flood攻击防范策略

表1-6 配置SYN flood攻击防范策略

(2)     配置ACK flood攻击防范策略

表1-7 配置ACK flood攻击防范策略

(3)     配置SYN-ACK flood攻击防范策略

表1-8 配置SYN-ACK flood攻击防范策略

(4)     配置FIN flood攻击防范策略

表1-9 配置FIN flood攻击防范策略

(5)     配置RST flood攻击防范策略

表1-10 配置RST flood攻击防范策略

(6)     配置ICMP flood攻击防范策略

表1-11 配置ICMP flood攻击防范策略

(7)     配置ICMPv6 flood攻击防范策略

表1-12 配置ICMPv6 flood攻击防范策略

(8)     配置UDP flood攻击防范策略

表1-13 配置UDP flood攻击防范策略

(9)     配置DNS flood攻击防范策略

表1-14 配置DNS flood攻击防范策略

(10)     配置HTTP flood攻击防范策略

表1-15 配置HTTP flood攻击防范策略

1.4.3  配置攻击防范例外列表

攻击防范例外列表用于过滤不需要进行攻击防范检测的主机报文，与指定的ACL permit规则匹配的报文将不会受到任何类型的攻击防范检测。该配置用于过滤某些被信任的安全主机发送的报文，可以有效的减小误报率，并提高服务器处理效率。例如：攻击防范功能可能将源IP地址相同，目的地址不同的组播报文（如OSPF、PIM等协议报文）检测为扫描攻击，此时可以通过配置例外列表放行组播报文来消除误报。

需要注意的是，例外列表引用的ACL的permit规则中仅源地址、目的地址、源端口、目的端口、协议号、L3VPN和非首片分片标记参数用于匹配报文。

表1-16 配置攻击防范例外列表

1.4.4  在本机应用攻击防范策略

通过在本机应用攻击防范策略，使已配置的攻击防范策略对目的地址为本机的报文生效。

默认情况下交换机对转发的报文下发给硬件转发，只有目的地址是本机的报文才会由软件处理，但软件处理没有攻击防范功能。为处理针对本机的攻击，需要通过在本机上应用攻击防范策略来实现。

表1-17 配置在本机应用攻击防范策略

1.4.5  配置单包攻击防范日志的非聚合输出功能

对日志进行聚合输出是指，在一定时间内，对在本机上检测到的相同攻击类型、相同攻击防范动作、相同的源/目的地址以及属于相同VPN的单包攻击的所有日志聚合成一条日志输出。

通常不建议开启单包攻击防范的日志非聚合输出功能，因为在单包攻击较为频繁的情况下，它会导致大量日志信息输出，占用控制台的显示资源。

表1-18 配置单包攻击防范日志的非聚合输出功能

1.5  配置TCP分片攻击防范

设备上开启TCP分片攻击防范功能后，能够对收到的TCP分片报文的长度以及分片偏移量进行合法性检测，并丢弃非法的TCP分片报文。

需要注意的是，如果设备上开启了TCP分片攻击防范功能，并应用了单包攻击防范策略，则TCP分片攻击防范功能会先于单包攻击防范策略检测并处理入方向的TCP报文。

表1-19 配置TCP分片攻击防范

1.6  配置Login用户延时认证功能

Login用户登录失败后，若设备上配置了重新进行认证的等待时长，则系统将会延迟一定的时长之后再允许用户进行认证，可以有效地避免设备受到Login用户字典序攻击。

表1-20 配置Login用户失败延时认证功能

1.7  攻击检测及防范显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后攻击检测及防范的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除攻击检测及防范的统计信息。

表1-21 攻击检测及防范配置的显示和维护

1.8  攻击检测及防范典型配置举例

1.8.1  本机配置攻击检测及防范

1. 组网需求

Switch作为用户网络连接外网的网关，通过Vlan-interface1与内部网络连接，Vlan-interface2与外部网络连接，要求在Switch上配置防御功能以避免遭受来自用户侧或者是网络侧的各类网络攻击。

·     为防范目的地址为本机的TCP Flag攻击和低级别扫描攻击，在设备上开启TCP Flag攻击防范和扫描攻击防范功能：检测到TCP Flag攻击或低级别的扫描攻击后，输出告警日志。

·     为防范目的地址为交换机外网接口192.168.2.1/24的SYN flood攻击，在设备上开启受保护IP地址的SYN flood攻击防范。具体要求为：当监测到每秒钟发送到目的IP地址为受保护IP的SYN报文数持续达到或超过5000时，输出告警日志并丢弃攻击报文。

·     为防范目的地址为交换机内网接口的SYN flood攻击，在设备上开启非受保护IP地址的SYN flood攻击防范。具体要求为：当监测到每秒钟发送到目的IP地址为本机非受保护IP地址的SYN报文数持续达到或超过2000时，输出告警日志。

2. 组网图

图1-1 本机攻击检测与防范配置典型组网图

3. 配置步骤

# 创建攻击防范策略a1。

[Switch] attack-defense policy a1

# 开启对多种TCP Flag单包攻击报文（包括TCP所有标志位均置位的攻击报文、TCP仅FIN标志被置位的攻击报文、TCP标志位非法的攻击报文、TCP标志位为零的攻击报文和TCP SYN和FIN标志位被同时置位的攻击报文）的特征检测，配置处理行为为输出告警日志。

[Switch-attack-defense-policy-a1] signature detect tcp-all-flags action logging

[Switch-attack-defense-policy-a1] signature detect tcp-fin-only action logging

[Switch-attack-defense-policy-a1] signature detect tcp-invalid-flags action logging

[Switch-attack-defense-policy-a1] signature detect tcp-null-flag action logging

[Switch-attack-defense-policy-a1] signature detect tcp-syn-fin action logging

# 开启低防范级别的扫描攻击防范，配置处理行为输出告警日志。

[Router-attack-defense-policy-a1] scan detect level low action logging

# 配置针对外网接口192.168.2.1的SYN flood攻击防范参数，触发阈值为5000，处理行为输出告警日志并丢弃攻击报文。

[Switch-attack-defense-policy-a1] syn-flood detect ip 192.168.2.1 threshold 5000 action logging drop

# 配置针对内网接口192.168.1.1的SYN flood攻击防范参数，触发阈值为2000，处理行为输出告警日志。

[Switch-attack-defense-policy-a1] syn-flood detect non-specific

[Switch-attack-defense-policy-a1] syn-flood threshold 2000

[Switch-attack-defense-policy-a1] syn-flood action logging

[Switch-attack-defense-policy-a1] quit

# 在本机应用攻击防范策略a1。

[Switch] attack-defense local apply policy a1

4. 验证配置

完成以上配置后，可以通过display attack-defense policy命令查看配置的攻击防范策略a1的具体内容。

# 查看攻击防范策略a1的配置信息。

[Switch] display attack-defense policy a1

          Attack-defense Policy Information

--------------------------------------------------------------------------

Policy name                        : a1

Applied list                       : Local

--------------------------------------------------------------------------

Exempt IPv4 ACL                    : Not configured

Exempt IPv6 ACL                    : Not configured

--------------------------------------------------------------------------

  Actions: CV-Client verify  BS-Block source  L-Logging  D-Drop  N-None

Signature attack defense configuration:

Signature name                     Defense      Level             Actions

Fragment                           Disabled     low               L

Impossible                         Disabled     medium            L,D

Teardrop                           Disabled     medium            L,D

Tiny fragment                      Disabled     low               L

IP option abnormal                 Disabled     medium            L,D

Smurf                              Enabled      medium            L,D

Traceroute                         Disabled     low               L

Ping of death                      Disabled     medium            L,D

Large ICMP                         Disabled     info              L

  Max length                       4000 bytes

Large ICMPv6                       Disabled     info              L

  Max length                       4000 bytes

TCP invalid flags                  Disabled     medium            L

TCP null flag                      Disabled     medium            L

TCP all flags                      Disabled     medium            L

TCP SYN-FIN flags                  Disabled     medium            L

TCP FIN only flag                  Disabled     medium            L

TCP Land                           Disabled     medium            L,D

Winnuke                            Disabled     medium            L,D

UDP Bomb                           Disabled     medium            L,D

UDP Snork                          Disabled     medium            L,D

UDP Fraggle                        Disabled     medium            L,D

IP option record route             Disabled     info              L

IP option internet timestamp       Disabled     info              L

IP option security                 Disabled     info              L

IP option loose source routing     Disabled     info              L

IP option stream ID                Disabled     info              L

IP option strict source routing    Disabled     info              L

IP option route alert              Disabled     info              L

ICMP echo request                  Disabled     info              L

ICMP echo reply                    Disabled     info              L

ICMP source quench                 Disabled     info              L

ICMP destination unreachable       Disabled     info              L

ICMP redirect                      Disabled     info              L

ICMP time exceeded                 Disabled     info              L

ICMP parameter problem             Disabled     info              L

ICMP timestamp request             Disabled     info              L

ICMP timestamp reply               Disabled     info              L

ICMP information request           Disabled     info              L

ICMP information reply             Disabled     info              L

ICMP address mask request          Disabled     info              L

ICMP address mask reply            Disabled     info              L

ICMPv6 echo request                Disabled     info              L

ICMPv6 echo reply                  Disabled     info              L

ICMPv6 group membership query      Disabled     info              L

ICMPv6 group membership report     Disabled     info              L

ICMPv6 group membership reduction  Disabled     info              L

ICMPv6 destination unreachable     Disabled     info              L

ICMPv6 time exceeded               Disabled     info              L

ICMPv6 parameter problem           Disabled     info              L

ICMPv6 packet too big              Disabled     info              L

Scan attack defense configuration:

 Defense : Enabled

 Level   : low

 Actions : L

Flood attack defense configuration:

Flood type      Global thres(pps)  Global actions  Service ports   Non-specific

SYN flood       2000               L               -               Enabled

ACK flood       1000(default)      -               -               Disabled

SYN-ACK flood   1000(default)      -               -               Disabled

RST flood       1000(default)      -               -               Disabled

FIN flood       1000(default)      -               -               Disabled

UDP flood       1000(default)      -               -               Disabled

ICMP flood      1000(default)      -               -               Disabled

ICMPv6 flood    1000(default)      -               -               Disabled

DNS flood       1000(default)      -               53              Disabled

HTTP flood      1000(default)      -               80              Disabled

Flood attack defense for protected IP addresses:

 Address                 VPN instance Flood type    Thres(pps) Actions Ports

 192.168.2.1             --           SYN-FLOOD     5000       L,D     -

如果设备收到目的地址为本机的TCP Flag攻击报文或扫描攻击报文，设备会输出告警日志；如果设备收到目的地址为受保护IP的SYN flood攻击报文超过触发阈值，则设备会输出告警日志，同时丢弃攻击报文；如果设备收到目的地址为本机非受保护IP的SYN flood攻击报文超过触发阈值，则设备会输出告警日志。

之后，可以通过display attack-defense statistics local命令查看设备上攻击防范的统计信息。

# 查看设备上攻击防范的统计信息。

[Swtich] display attack-defense statistics local

Attack policy name: a1

Slot 1:

Scan attack defense statistics:

 AttackType                          AttackTimes Dropped

 Port scan                           4           0

Flood attack defense statistics:

 AttackType                          AttackTimes Dropped

 No flood attacks detected.

Signature attack defense statistics:

 AttackType                          AttackTimes Dropped

 TCP invalid flags                   116         0

 TCP null flag                       709         0

 TCP all flags                       251         0

 TCP SYN-FIN flags                   46          0

 TCP FIN only flag                   130         0