08-IP信誉
本章节下载: 08-IP信誉 (366.09 KB)
本帮助主要介绍以下内容:
· 特性简介
¡ IP信誉特征库
¡ 攻击类型动作
¡ IP例外
¡ 加入/移出黑名单
· 配置指南
¡ 开启IP信誉功能
¡ 配置攻击类型动作
¡ 配置IP例外
IP信誉功能需要安装License才能使用。License过期后,IP信誉功能可以采用设备中已有的特征库正常工作,但无法升级特征库。关于License的详细介绍请参见“License联机帮助”。 |
IP信誉功能用于根据IP信誉特征库中记录的IP地址信息对网络流量进行过滤。
IP信誉特征库主要是具有僵尸主机DDoS攻击、命令注入攻击、木马下载和端口扫描等风险的IP地址集合。特征库中包含每个IP地址的攻击类型以及攻击类型的建议动作和是否记录日志等信息。
攻击类型动作是指当报文的源/目的IP地址命中IP信誉特征库后,设备对报文执行的动作。支持的动作类型为丢弃和允许,并支持日志记录功能。
IP信誉特征库中,一个IP地址可对应多种攻击分类,每种攻击分类都有对应执行的动作。
当IP地址只属于一种攻击分类时,设备将对匹配上该IP地址的报文执行攻击分类对应的动作;当IP地址属于多种攻击分类时,设备将对匹配上该IP地址的报文执行多种攻击分类中优先级最高的动作。其中,动作的优先级从高到底依次为:丢弃>允许。
只要IP地址所属的任一攻击分类配置了日志动作,则对匹配上该IP地址的报文执行记录日志动作。
若报文的源/目的IP地址与例外IP地址匹配成功,则设备直接放行该报文,不再进行后续IP信誉的检测。
设备支持将IP信誉库中的IP地址手工加入或移出黑名单,并根据IP地址的方向属性分别加入源地址/目的地址黑名单。
IP信誉库中的IP地址均为公网地址,使用IP信誉功能添加的黑名单表项VRF为公网。
黑名单的默认老化时间为7天。如需修改,请到“策略 > 安全防护 > 黑名单”页面进行相关操作。
有关黑名单的详细介绍,请参见“攻击防范联机帮助”。
IP信誉对报文的处理流程如图-1所示:
图-1 IP信誉的报文处理流程图
IP信誉功能对报文的处理过程如下:
1. 设备将报文的源IP地址和目的IP地址与例外IP地址进行匹配。任何一个IP地址与例外IP地址匹配成功,均放行报文。如果匹配失败,则进入下一步处理。
2. 设备将报文的源IP地址和目的IP地址与特征库中的IP地址进行匹配。特征库中的IP地址具有方向属性,包含源、目的和双向(即既可作为源地址也可作为目的地址)。仅当报文的IP地址与特征库中的IP地址和方向属性均一致时,才认为匹配成功(如果特征库中IP地址的方向属性是双向,则报文的源IP地址和目的IP地址均可匹配成功),并执行特征库中IP地址所属攻击分类的动作;如果匹配失败,则放行报文。设备支持的攻击分类动作如下:
¡ 若动作为“允许”,则设备将允许此报文通过。
¡ 若动作为“丢弃”,则设备将丢弃此报文。
¡ 若动作为“日志”,则设备将记录IP信誉日志。
开启IP信誉功能的具体配置步骤如下:
1. 选择“策略 > 威胁情报 > IP信誉”。
2. 勾选“IP信誉功能”后的复选框,开启IP信誉功能。
3. 单击<IP地址查询>按钮,进入IP地址查询页面,在输入框中输入查询的IP地址,单击<查询>按钮,可以查询指定IP地址的相关信息。也可将指定的IP地址加入/移出黑名单和IP例外。
开启Top统计功能的具体配置步骤如下:
1. 选择“策略 > 威胁情报 > IP信誉”。
2. 勾选“IP信誉功能”后的复选框,开启IP信誉功能。
3. 勾选“IP地址命中统计功能”后的复选框,开启IP信誉Top统计功能。
4. 单击<Top统计>按钮,进入Top统计页面,配置统计条件后,可获取到命中IP信誉库的IP地址统计排名信息。也可将指定的IP地址加入/移出黑名单和IP例外。
配置攻击类型动作的具体配置步骤如下:
1. 选择“策略 > 威胁情报 > IP信誉”。
2. 勾选“IP信誉功能”后的复选框,开启IP信誉功能。
3. 在动作配置区域,为指定的攻击类型配置相应的动作和日志功能。
¡ 可配置动作为允许或丢弃,并选择开启或关闭日志功能。
¡ 也可通过单击<恢复缺省>按钮,恢复为IP信誉库中攻击类型的默认动作和日志功能。
4. 完成配置后,单击<应用>按钮,使配置生效。
配置IP例外的具体配置步骤如下:
1. 选择“策略 > 威胁情报 > IP信誉”。
2. 勾选“IP信誉功能”后的复选框,开启IP信誉功能。
3. 在IP例外区域,向输入框中添加IP地址,以回车分割,可配置多个IP例外。
4. 完成配置后,单击<应用>按钮,使配置生效。
· 关闭Top统计功能后,统计信息将自动清空。
· 使用IP信誉功能添加的源地址黑名单,不携带DS-Lite对端地址等信息,如需修改,请到“策略 > 安全防护 > 黑名单”页面进行相关操作。
· 如果特征库连续7天升级失败,设备将清空特征库,IP信誉功能不可用。
· 当前系统时间需要自动同步网络时间。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!