- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-攻击防范
本章节下载： 02-攻击防范 (492.65 KB)
本帮助主要介绍以下内容：
· 特性简介
¡ 攻击防范策略
¡ 客户端验证
¡ 黑名单
· 配置指南
¡ 攻击防范
¡ 受保护IP
¡ 黑名单
¡ 安全域设置
攻击防范是一个重要的网络安全特性，它通过分析经过设备的报文的内容和行为，判断报文是否具有攻击特征，并根据配置对具有攻击特征的报文执行一定的防范措施。
攻击防范策略用于定义一个或多个用于检测攻击的特征项，以及对检测到的攻击报文所采取的防范措施，例如输出告警日志、丢弃报文、加入黑名单或进行客户端验证。设备可以支持定义用于扫描攻击防范、泛洪攻击防范和单包攻击防范的策略。
攻击防范策略应用在安全域上，对安全域上收到的报文生效。
扫描攻击是指，攻击者运用扫描工具对网络进行主机地址或端口的扫描，通过准确定位潜在目标的位置，探测目标系统的网络拓扑结构和开放的服务端口，为进一步侵入目标系统做准备。
扫描攻击防范主要通过监测网络使用者向目标系统发起连接的速率来检测其探测行为，一般应用在设备连接外部网络的安全域上，且仅对应用了攻击防范策略的安全域上的入方向报文有效。若设备监测到某IP地址主动发起的连接速率达到或超过了一定阈值，则可以根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文，或者将攻击者的源IP地址加入黑名单）。
若指定的扫描攻击的处理行为为加入黑名单，则需要开启安全域上的黑名单过滤功能来配合。
泛洪攻击是指攻击者在短时间内向目标系统发送大量的虚假请求，导致目标系统疲于应付无用信息，从而无法为合法用户提供正常服务，即发生拒绝服务。
泛洪攻击防范主要用于保护服务器，通过监测向服务器发起连接请求的速率来检测各类泛洪攻击，一般应用在设备连接外部网络的安全域上，且仅对应用了攻击防范策略的安全域上的入方向报文有效。在安全域上应用了泛洪攻击防范策略后，安全域处于攻击检测状态，当它监测到向某服务器发送报文的速率持续达到或超过了指定的触发门限值时，即认为该服务器受到了攻击，则进入攻击防范状态，并根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文或者进行客户端验证）。此后，当设备检测到向该服务器发送报文的速率低于恢复门限值（触发门限值的3/4）时，即认为攻击结束，则由攻击防范状态恢复为攻击检测状态，并停止执行防范措施。
泛洪攻击防范策略中支持基于IP地址的攻击防范配置，即对受保护IP地址单独配置防范策略。对于所有非受保护IP地址，则可以选择采用泛洪防范公共配置来进行保护。
单包攻击也称为畸形报文攻击，主要包括以下三种类型：
· 攻击者通过向目标系统发送带有攻击目的的IP报文，如分片重叠的IP报文、TCP标志位非法的报文，使得目标系统在处理这样的IP报文时出错、崩溃；
· 攻击者可以通过发送正常的报文，如ICMP报文、特殊类型的IP option报文，来干扰正常网络连接或探测网络结构，给目标系统带来损失；
· 攻击者还可通过发送大量无用报文占用网络带宽，造成拒绝服务攻击。
单包攻击防范主要通过分析经过设备的报文特征来判断报文是否具有攻击性，一般应用在设备连接外部网络的安全域上，且仅对应用了攻击防范策略的安全域上的入方向报文有效。若设备检测到某报文具有攻击性，则根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文）。
设备除了支持对知名单包攻击进行检测之外，还支持对用户自定义的报文特征进行检测。
攻击防范例外列表用于过滤不需要进行攻击防范检测的主机报文，与指定的“允许”类型的ACL规则匹配的报文将不会受到任何类型的攻击防范检测。该列表用于过滤某些被信任的安全主机发送的报文，可以有效的减小误报率，并提高服务器处理效率。
需要注意的是，例外列表引用的ACL中的“允许”类型的规则中仅源地址、目的地址、源端口、目的端口、协议号、VRF和非首片分片标记参数用于匹配报文。
客户端验证功能用来防御服务器受到的TCP、DNS、HTTP类型的泛洪攻击。启用了客户端验证功能的设备位于客户端和受保护的服务器之间，能够对客户端发起的连接进行验证，达到保护服务器免受各种泛洪攻击的目的。
客户端验证功能有两种工作方式：
· 手工添加受保护IP地址：在安全域上开启指定类型的客户端验证功能，当设备检测到来自某客户端的首个目的地址为手工配置的受保护IP地址的报文后，将对该客户端的新建连接的报文进行合法性检查。
· 自动添加受保护IP地址：在安全域上应用指定类型的泛洪攻击防范策略，当设备检测到某服务器受到了泛洪攻击时，若安全域上的策略采用的动作为源验证，则设备会将该服务器IP地址添加到受保护IP表项中，并对后续新建连接的报文进行合法性检查。
通过合法性检查的客户端的IP地址将被设备信任，之后设备将放行来自该IP地址的报文。
TCP客户端验证功能用来防御服务器受到的SYN flood、ACK flood、SYN-ACK flood、FIN flood和RST flood等攻击。
TCP客户端验证支持两种验证模式：
· Safe Reset：仅对TCP连接的正向握手报文进行处理，也称为单向代理模式。该模式适合于从客户端发出的报文经过TCP客户端验证设备，而从服务器端发出的报文不经过TCP客户端验证设备的组网。
· SYN Cookie：对TCP连接的正向和反向所有报文都进行处理，也称为双向代理模式。该模式适合于从客户端发出的报文和从服务器端发出的报文都经过TCP客户端验证设备的组网。
1. Safe Reset
该模式下，设备收到某客户端发来的与受保护服务器（匹配某个受保护IP地址表项）建立TCP连接的请求（SYN报文）后，先代替服务器向客户端回应序号错误的SYN ACK报文。如果设备收到客户端回应的正确RST报文，则认为该TCP连接请求通过TCP代理的验证。此后一定时间内，设备收到来自该客户端的TCP报文后，直接将其转发给服务器，允许客户端和服务器之间直接建立TCP连接。
一般而言，应用服务器不会主动对客户端发起恶意连接，因此服务器响应客户端的报文可以不需要经过验证。设备仅需要对客户端发往应用服务器的报文进行实时监控，服务器响应客户端的报文可以根据实际需要选择是否经过设备，因此Safe Reset模式能够支持更灵活的组网方式。
由于设备对客户端发起的TCP连接进行了干预，因此Safe Reset模式的实现要求客户端的实现严格遵守TCP协议栈的规定，如果客户端的TCP协议栈实现不完善，即便是合法用户，也可能由于未通过检查而无法访问服务器。而且，该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能，因此启用TCP客户端验证功能后，客户端发起的每个TCP连接的建立时间会有相应增加。
2. SYN Cookie
该模式下，设备收到某客户端发来的与受保护服务器建立TCP连接的请求（SYN报文）后，先代替服务器向客户端回应正常的SYN ACK报文（窗口值为0）。如果收到客户端回应的ACK报文，则认为该TCP连接请求通过TCP代理的验证。之后，设备再代替客户端向服务器发送SYN报文，并通过三次握手与服务器建立TCP连接。因此，在客户端和设备、设备和服务器之间会建立两个TCP连接，而且两个TCP连接使用的序号不同。
SYN Cookie模式下，设备作为虚拟的服务器与客户端交互，同时也作为虚拟的客户端与服务器交互，在为服务器过滤掉恶意连接报文的同时保证了常规业务的正常运行。但该方式要求客户端验证设备必须部署在所保护的服务器入口和出口的关键路径上，且要保证所有客户端向服务器发送的报文以及服务器向客户端回应的报文都需要经过该设备。
DNS客户端验证功能用来防御服务器受到的DNS flood攻击。
DNS客户端验证过程为：
1. DNS客户端验证设备收到某客户端发送的UDP类型的DNS Query报文（目的地址匹配受保护IP表项）后，先代替服务器向客户端回应DNS Truncate（TC）报文，要求客户端以TCP方式进行域名请求。
2. 如果是合法客户端，则它收到DNS Truncate报文之后会向DNS客户端验证设备发送目的端口为53的TCP SYN报文。
3. DNS客户端验证设备收到此报文后，先代替服务器向客户端回应序号错误的SYN ACK报文，之后，如果能够收到客户端回应的RST报文，则认为该客户端通过了DNS客户端验证。对于通过了DNS验证的客户端，设备直接转发其后续报文，不对报文进行处理。
由于设备对客户端发起的DNS请求进行了干预，因此要求客户端的实现严格遵守TCP/IP协议栈以及DNS协议的规定，如果客户端的协议栈实现不完善，即便是合法用户，也可能由于未通过检查而无法访问服务器。而且，该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能，因此启用DNS客户端验证功能后，正常客户端发起的首个DNS请求的响应时间会有相应增加。
HTTP客户端验证功能用来防御服务器受到HTTP flood攻击。
HTTP客户端验证过程为：
1. HTTP客户端验证设备收到某客户端发送的TCP连接请求报文（目的地址匹配受保护IP表项）后，首先以Syn cookie方式进行验证。客户端的TCP连接通过验证之后，设备将对客户端发送的HTTP GET请求报文进行两次重定向验证。
2. 第一次重定向验证：设备收到客户端的HTTP Get请求之后向其发送HTTP Redirect报文，并在重定向报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会记录该客户端的信息。当前的TCP连接结束之后，客户端与设备进行一轮新的TCP三次握手。
3. 第二次重定向验证：设备收到客户端向重定向地址发起的HTTP Get请求之后，向其发送HTTP Redirect报文，并在重定向报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会检查客户端是否经过了第一次重定向，以及本次HTTP访问的URI是否是设备重定向的地址。如果检查通过，设备会将该客户端加入到信任IP表项中，该客户端的后续HTTP Get请求报文将被直接进行透传
黑名单功能是根据报文的源IP地址进行报文过滤的一种攻击防范特性。同基于ACL的包过滤功能相比，黑名单进行报文匹配的方式更为简单，可以实现报文的高速过滤和有效屏蔽。
黑名单可以由设备动态或由用户手工进行添加、删除，具体机制如下：
· 动态添加黑名单是与扫描攻击防范功能配合实现的，动态生成的黑名单表项会在一定的时间之后老化。当设备根据报文的行为特征检测到某特定IP地址的扫描攻击企图之后，便将攻击者的IP地址自动加入黑名单，之后该IP地址发送的报文会被设备过滤掉。
· 手动配置的黑名单表项分为永久黑名单表项和非永久黑名单表项。永久黑名单表项建立后，一直存在，除非用户手工删除该表项。非永久黑名单表项的老化时间由用户指定，超出老化时间后，设备会自动将该黑名单表项删除。
攻击防范功能的配置思路如下图所示：
图-1 攻击防范配置指导图
在配置攻击防范之前，必须首先创建一个攻击防范策略。在策略中根据实际的网络安全需求来配置策略中的具体内容，主要包括针对攻击类型指定检测条件及采取的防范措施。
1. 单击“策略 > 安全防护 > 攻击防范”。
2. 在“攻击防范”页面单击<新建>按钮。
3. 新建攻击防范策略。
表-1 攻击防范策略配置
|
参数 |
说明 |
|
策略名称 |
攻击防范策略名称，不区分大小写。合法取值包括大写字母、小写字母、数字、特殊字符“_”和“-”。 |
|
应用于 |
在指定安全域上应用当前攻击防范策略。一个安全域上只能应用一个攻击防范策略，但一个攻击防范策略可应用于多个安全域上。 下拉列表中显示的安全域包括设备缺省的安全域和用户在“网络 > 安全域”页面已经配置的安全域。 |
表-2 扫描防范配置
|
参数 |
说明 |
|
检测敏感度 |
扫描攻击防范的检测级别，包括： · 关闭：关闭扫描攻击防范功能。 · 低：表示低防范级别，该级别提供基本的扫描攻击检测，有很低的误报率，但对于一些扫描攻击类型不能检出。该级别的扫描攻击统计周期为60秒。 · 中：表示中防范级别，该级别有适中的攻击检出率与误报率。该级别的扫描攻击统计周期为90秒。 · 高：表示高防范级别，该级别能检测出大部分的扫描攻击，但对活跃主机误报率较高，即将可提供服务的主机的报文错误判断为攻击报文的概率比较高。该级别的扫描攻击统计周期为600秒。 |
|
行为 |
对扫描攻击的处理行为，包括： · 输出告警日志 · 丢弃攻击者发送的报文 · 将发起攻击的源IP地址添加到黑名单 · X分钟后老化：动态添加的黑名单表项的老化时间，X的取值范围为1～1000，缺省值为10。只有勾选“将发起攻击的源IP地址添加到黑名单”时，才会显示该参数。 当“检测敏感度”选择“关闭”时，不显示本参数。 |
|
参数 |
说明 |
|
攻击类型 |
设备支持的泛洪攻击类型，包括： · ACK：ACK flood攻击。ACK报文为只有ACK标志位置位的TCP报文，服务器收到ACK报文时，需要查找对应的连接。若攻击者发送大量这样的报文，服务器需要进行大量的查询工作，消耗正常处理的系统资源，影响正常的报文处理。 · DNS：DNS flood攻击。DNS服务器收到任何DNS Query报文时都会试图进行域名解析并且回复该DNS报文。攻击者通过构造并向DNS服务器发送大量虚假DNS Query报文，占用DNS服务器的带宽或计算资源，使得正常的DNS Query得不到处理。 · FIN：FIN flood攻击。FIN报文用于关闭TCP连接。若攻击者向服务器发送大量的伪造的FIN报文，可能会使服务器关闭掉正常的连接。同时，服务器收到FIN报文时，需要查找对应的连接，大量的无效查询操作会消耗系统资源，影响正常的报文处理。 · HTTP：HTTP flood攻击。HTTP服务器收到HTTP GET命令时可能进行一系列复杂的操作，包括字符串搜索、数据库遍历、数据组装、格式化转换等等，这些操作会消耗大量系统资源，因此当HTTP请求的速率超过了服务器的处理能力时，服务器就无法正常提供服务。攻击者通过构造并发送大量虚假HTTP GET请求，使服务器崩溃，无法响应正常的用户请求。 · ICMP：ICMP flood攻击。攻击者在短时间内向特定目标发送大量的ICMP请求报文（例如ping报文），使其忙于回复这些请求，致使目标系统负担过重而不能处理正常的业务。 · ICMPv6：ICMPv6 flood攻击。攻击者在短时间内向特定目标发送大量的ICMPv6请求报文（例如ping报文），使其忙于回复这些请求，致使目标系统负担过重而不能处理正常的业务。 · RST：RST flood攻击。RST报文为TCP连接的复位报文，用于在异常情况下关闭TCP连接。如果攻击者向服务器发送大量伪造的RST报文，可能会使服务器关闭正常的TCP连接。另外，服务器收到RST报文时，需要查找对应的连接，大量的无效查询操作会消耗系统资源，影响正常的报文处理。 · SYN：SYN flood攻击。根据TCP协议工作原理，服务器收到SYN报文后需要建立半连接并回应SYN ACK报文，然后等待客户端的ACK报文来建立正式连接。由于资源的限制，操作系统的TCP/IP协议栈只能允许有限个TCP连接。攻击者向服务器发送大量伪造源地址的SYN报文后，由于攻击报文是伪造的，服务器不会收到客户端的ACK报文，从而导致服务器上遗留了大量无效的半连接，耗尽其系统资源，使正常的用户无法访问，直到半连接超时。 · SYN-ACK：SYN-ACK flood攻击。由于SYN ACK报文为SYN报文的后续报文，服务器收到SYN ACK报文时，需要查找对应的SYN报文。若攻击者发送大量这样的报文，服务器需要进行大量的查询工作，消耗正常处理的系统资源，影响正常的报文处理。 · UDP：UDP flood攻击。攻击者在短时间内向特定目标发送大量的UDP报文，占用目标主机的带宽，致使目标主机不能处理正常的业务。 |
|
门限值(pps) |
泛洪攻击防范的全局触发阈值，取值范围为1～1000000，缺省为1000。 配置了泛洪攻击防范后，设备处于攻击检测状态，当它监测到向某IP地址发送报文的速率持续达到或超过了该触发阈值时，即认为该IP地址受到了泛洪攻击，则进入攻击防范状态，并根据配置启动相应的防范措施。 对于未专门配置泛洪防范受保护IP的IP地址，设备采用全局的阈值设置来进行保护。阈值的取值需要根据实际网络应用场景进行调整，对于被保护对象的报文流量较大的应用场景，建议调大触发阈值，以免阈值太小对正常的业务流量造成影响；对于网络状况较差，且对攻击流量比较敏感的场景，可以适当调小触发阈值。 |
|
日志 |
泛洪攻击的处理行为是输出告警日志。即设备检测到攻击发生时，生成告警信息，生成的告警信息将被发送到日志系统。 |
|
检测所有IP地址 |
对所有非受保护IP开启泛洪攻击检测。 |
|
客户端验证 |
泛洪攻击的处理行为是客户端验证。表示自动将受到攻击的IP地址添加到受保护IP列表中。若客户端验证功能已开启，则对客户端与受保护IP之间的连接进行代理。 |
|
丢包 |
泛洪攻击的处理行为是丢包。即设备检测到攻击发生后，向被攻击者发送的后续所有同类型的报文都会被丢弃。 |
|
检测端口 |
泛洪攻击防范的全局检测端口号。设备只对指定检测端口上收到的报文进行攻击检测。 表示方式为port1-port2或port，port取值范围为1～65535，port2的值要大于或等于port1的值，相邻检测端口之间以“,”分隔。例如：1-10,80。port1-port2或port参数最多可以输入32次。 对于所有非受保护IP地址，或未指定检测端口的受保护IP，设备采用全局的检测端口进行泛洪攻击检测。对于所有指定检测端口的受保护IP，设备针对为每个受保护IP指定的端口进行泛洪攻击检测。 仅当“攻击类型”为“DNS”或“HTTP”时，才能配置本参数。 |
用户可在“泛洪防范受保护IP”页面，单击<新建>按钮，新建泛洪防范受保护IP。
表-4 泛洪防范受保护IP配置
|
参数 |
说明 |
|
IP地址类型 |
· IPv4 · IPv6 |
|
攻击类型 |
|
|
VRF |
受保护IP地址所属的VPN实例。 可选择已创建的VRF，也可以新创建VRF。此处新建的VRF，可在“网络 > VRF”页面查看。 |
|
IP地址 |
受保护的IP地址。 当“IP地址类型”为“IPv4”时，IP地址不能为255.255.255.255或0.0.0.0。 |
|
门限值(pps) |
攻击防范的触发阈值，取值范围为1～1000000，缺省为1000。 |
|
检测端口 |
泛洪攻击防范的检测端口号。设备只对指定检测端口上收到的报文进行攻击检测。 表示方式为port1-port2或port，port取值范围为1～65535，port2的值要大于或等于port1的值，相邻检测端口之间以“,”分隔。例如：1-10,80。 仅当“攻击类型”为“DNS”或“HTTP”时，才能配置本参数。 |
|
公共配置 |
泛洪攻击的处理行为与“泛洪防范公共配置”一致。 |
|
日志 |
泛洪攻击的处理行为是输出告警日志。即设备检测到攻击发生时，生成告警信息，生成的告警信息将被发送到日志系统。 |
|
丢包 |
泛洪攻击的处理行为是丢包。即设备检测到攻击发生后，向被攻击者发送的后续所有同类型的报文都会被丢弃。 |
|
客户端验证 |
泛洪攻击的处理行为是客户端验证。表示自动将受到攻击的IP地址添加到泛洪防范受保护IP列表中。若客户端验证功能已开启，则对客户端与受保护IP之间的连接进行代理。 |
表-5 知名单包攻击防范配置
|
参数 |
说明 |
|
攻击类型 |
设备支持的知名单包攻击类型，包括： · IP fragment：攻击者通过向目标主机发送分片偏移小于5的分片报文，导致主机对分片报文进行重组时发生错误而造成系统崩溃。 · IP impossible：攻击者通过向目标主机发送源IP地址和目的IP地址相同的报文，造成主机系统处理异常。 · Teardrop：攻击者通过发送大量分片重叠的报文，致使服务器对这些报文进行重组时造成重叠，因而丢失有效的数据。 · Tiny fragment：攻击者构造一种特殊的IP分片来进行微小分片的攻击，这种报文首片很小，未能包含完整的传输层信息，因此能够绕过某些过滤规则，达到攻击目标网络的目的。 · IP option abnormal：攻击者利用IP报文中的异常选项的设置，达到探测网络结构的目的，也可由于系统缺乏对错误报文的处理而造成系统崩溃。 · Smurf：攻击者向目标网络发送ICMP应答请求，该请求包的目的地址设置为目标网络的广播地址，这样该网络中的所有主机都会对此ICMP应答请求作出答复，导致网络阻塞，从而达到令目标网络中主机拒绝服务的攻击目的。 · Traceroute：攻击者连续发送TTL从1开始递增的目的端口号较大的UDP报文，报文每经过一个路由器，其TTL都会减1，当报文的TTL为0时，路由器会给报文的源IP设备发送一个TTL超时的ICMP报文，攻击者借此来探测网络的拓扑结构。 · Ping of death：攻击者构造标志位为最后一片且长度大于65535的ICMP报文发送给目标主机，可能导致系统处理数据时越界访问非法内存，造成系统错误甚至系统崩溃。 · Large ICMP：某些主机或设备收到超大的报文，会引起内存分配错误而导致协议栈崩溃。攻击者通过发送超大ICMP报文，让目标主机崩溃，达到攻击目的。 · Large ICMPv6：某些主机或设备收到超大的报文，会引起内存分配错误而导致协议栈崩溃。攻击者通过发送超大ICMPv6报文，让目标主机崩溃，达到攻击目的。 · TCP invalid flags：攻击者通过发送TCP 标志位非法的报文探测目标主机的操作系统，可能导致目标主机系统崩溃。 · TCP null flag：攻击者通过发送TCP 标志位为零的报文探测目标主机的操作系统，可能导致目标主机系统崩溃。 · TCP all flags：攻击者通过发送TCP所有标志位均置位的报文探测目标主机的操作系统，可能导致目标主机系统崩溃。 · TCP SYN-FIN：攻击者通过发送TCP SYN和FIN标志位被同时置位的报文探测目标主机的操作系统，可能导致目标主机系统崩溃。 · TCP FIN only flag：攻击者通过发送TCP仅FIN标志被置位的报文探测目标主机的操作系统，可能导致目标主机系统崩溃。 · TCP Land：攻击者向目标主机发送大量源IP地址和目的IP地址都是目标主机自身的TCP SYN报文，使得目标主机的半连接资源耗尽，最终不能正常工作。 · WinNuke：攻击者向安装（或使用）Windows系统的特定目标的NetBIOS端口（139）发送OOB（Out-Of-Band，带外）数据包，这些攻击报文的指针字段与实际的位置不符，从而引起一个NetBIOS片断重叠，致使已与其他主机建立连接的目标主机在处理这些数据的时候系统崩溃。 · UDP Bomb：攻击者发送畸形的UDP报文，其IP首部中的报文总长度大于IP首部长度与UDP首部中标识的UDP报文长度之和，可能造成收到此报文的系统处理数据时越界访问非法内存，导致系统异常。 · UDP snork：攻击者向Windows系统发送目的端口为135（Windows定位服务）源端口为135、7或19（UDP Chargen服务）的报文，使被攻击系统不断应答报文，最终耗尽CPU资源。 · UDP fraggle：攻击者通过向目标网络发送源UDP端口为7且目的UDP端口为19的Chargen报文，令网络产生大量无用的应答报文，占满网络带宽，达到攻击目的。 |
|
日志 |
单包攻击的处理行为是输出告警日志。即设备检测到攻击发生时，生成告警信息，生成的告警信息将被发送到日志系统。 |
|
丢包 |
单包攻击的处理行为是丢包。即设备检测到攻击发生后，向被攻击者发送的后续所有同类型的报文都会被丢弃。 |
|
门限值（pps） |
· “攻击类型”为“Large ICMP”时，表示ICMP报文长度的最大值，取值范围为28～65534。 · “攻击类型”为“Large ICMPv6”时，表示ICMPv6报文长度的最大值，取值范围为48～65534。 |
用户可在[自定义单包攻击防范]页面，单击<新建>按钮，新建自定义单包攻击防范。
表-6 自定义单包攻击防范配置
|
参数 |
说明 |
|
特征 |
单包攻击检测的特征，包括： · IP选项：IP选项类型的报文攻击。 · ICMP类型：ICMP类型的报文攻击 · ICMPv6类型：ICMPv6类型的报文攻击。 · IPv6扩展头类型：IPv6扩展头类型的报文攻击。 |
|
数值 |
特征的数值，取值范围为0～255。 · “特征”为“IP选项”时，表示IP选项代码值。 · “特征”为“ICMP类型”时，表示ICMP报文类型的数值。 · “特征”为“ICMPv6类型”时，表示ICMPv6报文类型的数值。 · “特征”为“IPv6扩展头类型”时，表示IPv6扩展头参数值。 |
|
日志 |
单包攻击的处理行为是输出告警日志。即设备检测到攻击发生时，生成告警信息，生成的告警信息将被发送到日志系统。 |
|
丢包 |
单包攻击的处理行为是丢包。即设备检测到攻击发生后，向被攻击者发送的后续所有同类型的报文都会被丢弃。 |
表-7 例外列表配置
|
参数 |
说明 |
|
IPv4例外规则 |
使用IPv4 ACL过滤不需要进行攻击防范检测的主机报文。可选择已创建的IPv4 ACL，也可以新创建IPv4 ACL。此处新建的IPv4 ACL，可在“对象 > ACL > IPv4”页面查看。 如果配置的攻击防范例外列表中引用的ACL中未定义任何规则，例外列表不会生效。 |
|
IPv6例外规则 |
使用IPv6 ACL过滤不需要进行攻击防范检测的主机报文。可选择已创建的IPv6 ACL，也可以新创建IPv6 ACL。此处新建的IPv6 ACL，可在“对象 > ACL > IPv6”页面查看。 如果配置的攻击防范例外列表中引用的ACL中未定义任何规则，例外列表不会生效。 |
4. 单击<确定>按钮，新建的攻击防范策略会在“攻击防范”页面显示。
通过手工添加受客户端验证保护的IP地址，对向该目的地址发送的连接请求进行代理。
受保护IP除了可以手工添加之外，还可以通过泛洪攻击防范自动添加。具体来讲就是，在客户端验证功能使能的前提下，若配置了泛洪攻击防范策略及相应的客户端验证功能，则设备检测到某服务器受到了指定类型的攻击时，设备会将该服务器IP地址添加到受保护IP列表中，并对后续指定类型的的报文进行合法性检查。
1. 单击“策略 > 安全防护 > 受保护IP”。
2. 在“受保护IP”页面单击<新建>按钮。
3. 新建受保护IP。
表-8 受保护IP配置
|
参数 |
说明 |
|
协议类型 |
客户端验证的协议类型，包括： · TCP：TCP客户端验证功能。 · DNS：DNS客户端验证功能。 · HTTP：HTTP客户端验证功能。 |
|
VRF |
受客户端验证保护的IP地址所属的VPN实例。 可选择已创建的VRF，也可以新创建VRF。此处新建的VRF，可在“网络 > VRF”页面查看。 |
|
IP地址类型 |
· IPv4 · IPv6 |
|
IP地址 |
受客户端验证保护的IP地址，即会对向该目的地址发送的连接请求进行代理。 对于受TCP客户端验证保护的IP地址，发送的是TCP连接请求；对于受DNS客户端验证保护的IP地址，发送的是DNS query请求；对于受HTTP客户端验证保护的IP地址，发送的是HTTP get连接请求。 |
|
端口号 |
受客户端验证保护的端口号。若未配置本参数，对于DNS客户端验证的受保护IP，则表示对端口53的DNS query连接请求做代理；对于HTTP客户端验证的受保护IP，则表示对端口80的HTTP GET连接请求做代理；对于TCP客户端验证的受保护IP，则表示对所有端口的TCP连接请求做代理。 |
4. 单击<确定>按钮，新建的受保护IP会在“受保护IP”页面显示，该页面还会显示泛洪攻击防范自动添加的受保护IP。
通过配置黑名单功能可以对来自指定IP地址的报文进行过滤。
黑名单表项除了可以手工添加之外，还可以通过扫描攻击防范或入侵防御动作自动添加。通过扫描攻击防范添加黑名单的具体内容是，在黑名单功能使能的前提下，若配置了扫描攻击防范策略及相应的黑名单添加功能，则可以将检测到的扫描攻击方地址自动添加到黑名单中。扫描攻击防范添加的黑名单必定会老化，老化时间可在“策略 > 安全防护 > 攻击防范 > 扫描防范”页面配置。有关入侵防御动作的详细描述，请参见“入侵防御联机帮助”。
1. 单击“策略 > 安全防护 > 黑名单”。
2. 在“黑名单”页面单击<新建>按钮。
3. 手工添加黑名单。
表-9 黑名单配置
|
参数 |
说明 |
|
VRF |
黑名单所属的VPN实例。 可选择已创建的VRF，也可以新创建VRF。此处新建的VRF，可在“网络 > VRF”页面查看。 |
|
IP地址类型 |
· IPv4 · IPv6 |
|
IP地址 |
黑名单的IP地址，用于匹配报文的源IP地址。 |
|
DS-Lite对端地址 |
黑名单的IPv4地址所属的DS-Lite隧道B4端IPv6地址。仅当“IP地址类型”选择“IPv4”时，该参数可配。 |
|
老化时间（秒） |
黑名单表项的老化时间，取值范围为60～60000。若不配置，那么该IP黑名单表项永不老化，除非用户手动将其删除。 |
4. 单击<确定>按钮，新建的黑名单会在“黑名单”页面显示。
客户端验证的配置包括添加受保护IP和在指定安全域上开启客户端验证功能。
黑名单的配置包括开启黑名单过滤功能和添加黑名单表项。若全局的黑名单过滤功能处于开启状态，则所有安全域上的黑名单过滤功能均处于开启状态。若全局的黑名单过滤功能处于关闭状态，则需要开启指定安全域上的黑名单过滤功能。全局黑名单功能在“策略 > 安全防护 > 黑名单”页面开启。
1. 单击“策略 > 安全防护 > 安全域设置”。
2. 在“安全域设置”页面开启指定安全域的客户端验证功能或黑名单功能。
表-10 安全域设置
|
参数 |
说明 |
|
安全域 |
已创建的安全域名称，可在“网络 > 安全域”页面新建安全域。 |
|
TCP客户端验证 |
在指定安全域上开启/关闭TCP客户端验证功能，包括： · 关闭：关闭TCP客户端验证。 · SYN cookie：开启双向代理模式的TCP客户端验证。 · Safe reset：开启单向代理模式的TCP客户端验证。 |
|
DNS客户端验证 |
在指定安全域上开启/关闭DNS客户端验证功能。 |
|
HTTP客户端验证 |
在指定安全域上开启/关闭HTTP客户端验证功能。 |
|
黑名单 |
在指定安全域上开启/关闭黑名单功能。 |
3. 单击左上方的<应用>按钮，将配置应用在指定的安全域。
· 所有的黑名单只有在安全域上的黑名单功能处于开启状态的情况下才生效。
· 攻击防范策略中的客户端验证动作只有在安全域上的客户端验证功能处于开启状态的情况下才生效。
· 泛洪攻击防范的门限取值需要根据实际网络应用场景进行调整，对于被保护对象的报文流量较大的应用场景，建议调大门限值，以免门限值太小对正常的业务流量造成影响；对于网络状况较差，且对攻击流量比较敏感的场景，可以适当调小门限值。
· 如果攻击防范例外列表中引用的ACL不存在，或引用的ACL中未定义任何规则，例外列表不会生效。
· 例外列表引用的ACL规则中仅源地址、目的地址、源端口、目的端口、协议号、VRF和非首片分片标记参数用于匹配报文。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
