本帮助主要介绍以下内容：

·     特性简介

¡     攻击防范策略

¡     客户端验证

¡     黑名单

¡     白名单

·     配置指南

¡     攻击防范

¡     受保护IP

¡     黑名单

¡     白名单

·     使用限制和注意事项

特性简介

攻击防范是一个重要的网络安全特性，它通过分析经过设备的报文的内容和行为，判断报文是否具有攻击特征，并根据配置对具有攻击特征的报文执行一定的防范措施。

攻击防范策略

攻击防范策略用于定义一个或多个用于检测攻击的特征项，以及对检测到的攻击报文所采取的防范措施，例如输出告警日志、丢弃报文、加入黑名单或进行客户端验证。设备可以支持定义用于扫描攻击防范、泛洪攻击防范和单包攻击防范的策略。

攻击防范策略应用在接口或本机上。当接口和本机均应用了攻击防范策略时，先进行接口上攻击防范策略的检测，若报文未被丢弃，则还会进行本机上攻击防范策略的检测。

扫描攻击防范

扫描攻击是指，攻击者运用扫描工具对网络进行主机地址或端口的扫描，通过准确定位潜在目标的位置，探测目标系统的网络拓扑结构和开放的服务端口，为进一步侵入目标系统做准备。扫描攻击主要分为地址扫描攻击和端口扫描攻击。

·     地址扫描攻击

攻击者发送大量目的IP地址变化的探测报文，通过收到的回应报文来确定活跃的目标主机，以便针对这些主机进行下一步的攻击。

·     端口扫描攻击

攻击者获取了活动目标主机的IP地址后，向目标主机发送大量目的端口变化的探测报文，通过收到的回应报文来确定目标主机开放的服务端口，然后针对活动目标主机开放的服务端口选择合适的攻击方式或攻击工具进行进一步的攻击。

扫描攻击防范主要通过监测网络使用者向目标系统发起连接的速率来检测其探测行为，一般应用在设备连接外部网络的接口上，且仅对应用了攻击防范策略的接口上的入方向报文有效。若设备监测到某IP地址主动发起的连接速率达到或超过了一定阈值，则可以根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文，或者将攻击者的源IP地址加入黑名单）。

在配置扫描攻击防范策略时，需要指定扫描攻击的检测敏感度。当指定检测敏感度为低、中、高级别时，扫描攻击检测的阈值和检测周期为固定值；当指定检测敏感度为自定义时，可以通过配置灵活指定扫描攻击检测的阈值和检测周期。

若指定的扫描攻击的处理行为为加入黑名单，则需要开启接口上的黑名单过滤功能来配合。

泛洪攻击防范

泛洪攻击是指攻击者在短时间内向目标系统发送大量的虚假请求，导致目标系统疲于应付无用信息，从而无法为合法用户提供正常服务，即发生拒绝服务。

泛洪攻击防范主要用于保护服务器，通过监测向服务器发起连接请求的速率来检测各类泛洪攻击，一般应用在设备连接外部网络的接口上，且仅对应用了攻击防范策略的接口上的入方向报文有效。在接口上应用了泛洪攻击防范策略后，接口处于攻击检测状态，当它监测到向某服务器发送报文的速率持续达到或超过了指定的触发门限值时，即认为该服务器受到了攻击，则进入攻击防范状态，并根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文或者进行客户端验证）。此后，当设备检测到向该服务器发送报文的速率低于恢复门限值（触发门限值的3/4）时，即认为攻击结束，则由攻击防范状态恢复为攻击检测状态，并停止执行防范措施。

泛洪攻击防范策略中支持基于IP地址的攻击防范配置，即对受保护IP地址单独配置防范策略。对于所有非受保护IP地址，则可以选择采用泛洪防范公共配置来进行保护。

在配置泛洪攻击防范策略时，需要为各种类型的攻击配置防范门限。门限的设置是否合理将直接影响攻击防范的效果。系统提供了泛洪攻击阈值学习功能，为泛洪攻击防范门限值的设置提供参考。其实现原理是：系统对正常网络环境下的各种流量按时间进行统计，得出此段时间内各种流量的最高值，从而以此为依据计算出各种攻击类型对应的防范门限值。

阈值学习支持以下两种学习模式：

·     单次学习：只进行一次阈值学习。

·     周期学习：按周期学习间隔进行多次阈值学习。周期学习间隔是指从上次学习的结束时间到下次学习开始时间的间隔时间。

开启阈值学习，会对所有类型的泛洪攻击进行阈值学习。在周期学习模式下，最新一次的学习结果会覆盖上一次学习结果。对于学习到的阈值，您可以开启自动应用功能，也可以选择只学习不启用自动应用功能。

在不清楚实际流量的情况下，配置泛洪攻击防范参数时，建议使用缺省值，然后根据阈值学习功能进行调整。

单包攻击防范

单包攻击也称为畸形报文攻击，主要包括以下三种类型：

·     攻击者通过向目标系统发送带有攻击目的的IP报文，如分片重叠的IP报文、TCP标志位非法的报文，使得目标系统在处理这样的IP报文时出错、崩溃；

·     攻击者可以通过发送正常的报文，如ICMP报文、特殊类型的IP option报文，来干扰正常网络连接或探测网络结构，给目标系统带来损失；

·     攻击者还可通过发送大量无用报文占用网络带宽，造成拒绝服务攻击。

单包攻击防范主要通过分析经过设备的报文特征来判断报文是否具有攻击性，一般应用在设备连接外部网络的接口上，且仅对应用了攻击防范策略的接口上的入方向报文有效。若设备检测到某报文具有攻击性，则根据配置采取相应的动作（输出告警日志、丢弃攻击者发送的报文）。

设备除了支持对知名单包攻击进行检测之外，还支持对用户自定义的报文特征进行检测。

攻击防范例外列表

攻击防范例外列表用于过滤不需要进行攻击防范检测的主机报文，与指定的“允许”类型的ACL规则匹配的报文将不会受到任何类型的攻击防范检测。该列表用于过滤某些被信任的安全主机发送的报文，可以有效的减小误报率，并提高服务器处理效率。

需要注意的是，例外列表引用的ACL中的“允许”类型的规则中仅源地址、目的地址、源端口、目的端口、协议号、VRF和非首片分片标记参数用于匹配报文。

客户端验证

客户端验证功能用来防御服务器受到的TCP、DNS、HTTP、SIP类型的泛洪攻击。启用了客户端验证功能的设备位于客户端和受保护的服务器之间，能够对客户端发起的连接进行验证，达到保护服务器免受各种泛洪攻击的目的。

客户端验证功能有两种工作方式：

·     手工添加受保护IP地址：在接口上开启指定类型的客户端验证功能，当设备检测到来自某客户端的首个目的地址为手工配置的受保护IP地址的报文后，将对该客户端的新建连接的报文进行合法性检查。

·     自动添加受保护IP地址：在接口上应用指定类型的泛洪攻击防范策略，当设备检测到某服务器受到了泛洪攻击时，若接口上的策略采用的动作为源验证，则设备会将该服务器IP地址添加到受保护IP表项中，并对后续新建连接的报文进行合法性检查。

通过合法性检查的客户端的IP地址将被设备信任，之后设备将放行来自该IP地址的报文。

TCP客户端验证

TCP客户端验证功能用来防御服务器受到的SYN flood、ACK flood、SYN-ACK flood、FIN flood和RST flood等攻击。

TCP客户端验证支持两种验证模式：

·     Safe Reset：仅对TCP连接的正向握手报文进行处理，也称为单向代理模式。该模式适合于从客户端发出的报文经过TCP客户端验证设备，而从服务器端发出的报文不经过TCP客户端验证设备的组网。

·     SYN Cookie：对TCP连接的正向和反向所有报文都进行处理，也称为双向代理模式。该模式适合于从客户端发出的报文和从服务器端发出的报文都经过TCP客户端验证设备的组网。

1.     Safe Reset

该模式下，设备收到某客户端发来的与受保护服务器（匹配某个受保护IP地址表项）建立TCP连接的请求（SYN报文）后，先代替服务器向客户端回应序号错误的SYN ACK报文。如果设备收到客户端回应的正确RST报文，则认为该TCP连接请求通过TCP代理的验证。此后一定时间内，设备收到来自该客户端的TCP报文后，直接将其转发给服务器，允许客户端和服务器之间直接建立TCP连接。

一般而言，应用服务器不会主动对客户端发起恶意连接，因此服务器响应客户端的报文可以不需要经过验证。设备仅需要对客户端发往应用服务器的报文进行实时监控，服务器响应客户端的报文可以根据实际需要选择是否经过设备，因此Safe Reset模式能够支持更灵活的组网方式。

由于设备对客户端发起的TCP连接进行了干预，因此Safe Reset模式的实现要求客户端的实现严格遵守TCP协议栈的规定，如果客户端的TCP协议栈实现不完善，即便是合法用户，也可能由于未通过检查而无法访问服务器。而且，该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能，因此启用TCP客户端验证功能后，客户端发起的每个TCP连接的建立时间会有相应增加。

2.     SYN Cookie

该模式下，设备收到某客户端发来的与受保护服务器建立TCP连接的请求（SYN报文）后，先代替服务器向客户端回应正常的SYN ACK报文（窗口值为0）。如果收到客户端回应的ACK报文，则认为该TCP连接请求通过TCP代理的验证。之后，设备再代替客户端向服务器发送SYN报文，并通过三次握手与服务器建立TCP连接。因此，在客户端和设备、设备和服务器之间会建立两个TCP连接，而且两个TCP连接使用的序号不同。

SYN Cookie模式下，设备作为虚拟的服务器与客户端交互，同时也作为虚拟的客户端与服务器交互，在为服务器过滤掉恶意连接报文的同时保证了常规业务的正常运行。但该方式要求客户端验证设备必须部署在所保护的服务器入口和出口的关键路径上，且要保证所有客户端向服务器发送的报文以及服务器向客户端回应的报文都需要经过该设备。

DNS客户端验证

DNS客户端验证功能用来防御服务器受到的DNS flood攻击。

DNS客户端验证过程为：

1.     DNS客户端验证设备收到某客户端发送的UDP类型的DNS Query报文（目的地址匹配受保护IP表项）后，先代替服务器向客户端回应DNS Truncate（TC）报文，要求客户端以TCP方式进行域名请求。

2.     如果是合法客户端，则它收到DNS Truncate报文之后会向DNS客户端验证设备发送目的端口为53的TCP SYN报文。

3.     DNS客户端验证设备收到此报文后，先代替服务器向客户端回应序号错误的SYN ACK报文，之后，如果能够收到客户端回应的RST报文，则认为该客户端通过了DNS客户端验证。对于通过了DNS验证的客户端，设备直接转发其后续报文，不对报文进行处理。

由于设备对客户端发起的DNS请求进行了干预，因此要求客户端的实现严格遵守TCP/IP协议栈以及DNS协议的规定，如果客户端的协议栈实现不完善，即便是合法用户，也可能由于未通过检查而无法访问服务器。而且，该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能，因此启用DNS客户端验证功能后，正常客户端发起的首个DNS请求的响应时间会有相应增加。

HTTP客户端验证

HTTP客户端验证功能用来防御服务器受到HTTP flood攻击。

HTTP客户端验证支持对客户端向服务器发起的GET和POST请求进行验证。

HTTP客户端GET请求验证过程为：

1.     HTTP客户端验证设备收到某客户端发送的TCP连接请求报文（目的地址匹配受保护IP表项）后，首先以Syn Cookie方式进行验证。客户端的TCP连接通过验证之后，设备将对客户端发送的HTTP GET请求报文进行两次重定向验证。

2.     第一次重定向验证：设备收到客户端的HTTP GET请求之后向其发送HTTP Redirect报文，并在重定向报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会记录该客户端的信息。当前的TCP连接结束之后，客户端与设备进行一轮新的TCP三次握手。

3.     第二次重定向验证：设备收到客户端向重定向地址发起的HTTP GET请求之后，向其发送HTTP Redirect报文，并在重定向报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会检查客户端是否经过了第一次重定向，以及本次HTTP访问的URI是否是设备重定向的地址。如果检查通过，设备会将该客户端加入到信任IP表项中，该客户端的后续HTTP GET请求报文将被直接进行透传。

HTTP客户端POST请求验证过程为：

1.     HTTP客户端验证设备收到某客户端发送的TCP连接请求报文（目的地址匹配受保护IP表项）后，首先以Syn Cookie方式进行验证。客户端的TCP连接通过验证之后，设备将对客户端发送的HTTP POST请求报文依次进行重定向验证和超时验证。

2.     重定向验证：设备收到客户端的HTTP POST请求之后向其发送带有Set-Cookie验证字段的HTTP Redirect报文，并在重定向报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会记录该客户端的信息。当前的TCP连接结束之后，客户端与设备进行一轮新的TCP三次握手。

3.     超时验证：设备收到客户端发起的带有Cookie字段的HTTP POST请求之后，向其发送HTTP 408超时报文，并在报文中设置标记位要求客户端结束本次TCP连接。该过程中，设备会检查客户端是否经过了第一次重定向，以及本次HTTP报文中是否带有有效的Cookie值。如果检查通过，设备会将该客户端加入到信任IP表项中，该客户端的后续HTTP POST请求报文将被直接进行透传。

SIP客户端验证

SIP客户端验证功能用来防御服务器受到的SIP flood攻击。

SIP客户端验证过程为：

1.     SIP客户端验证设备收到某客户端发送的UDP类型的INVITE报文（目的地址匹配受保护IP表项）后，先代替服务器向客户端回应OPTIONS报文。

2.     如果是合法客户端，则它收到OPTIONS报文之后会向SIP客户端验证设备发送应答报文。

3.     SIP客户端验证设备收到应答报文后，检查OPTIONS应答报文中的branch值和发送的OPTIONS报文中的branch值是否相同，若相同，则认为该客户端通过了SIP客户端验证。设备直接转发其后续报文，不对报文进行处理。

由于SIP客户端验证对客户端发送的报文进行了解析，因此，若客户端发送的报文由于分片导致报文首部信息不完整，即便是合法用户，也可能因未解析到对应的字段导致不能通过SIP客户端验证的检查。

黑名单

黑名单功能是根据报文的IP地址进行报文过滤的一种攻击防范特性。同基于ACL的包过滤功能相比，黑名单进行报文匹配的方式更为简单，可以实现报文的高速过滤和有效屏蔽。

黑名单可以由设备动态或由用户手工进行添加、删除，具体机制如下：

·     动态添加黑名单是与扫描攻击防范功能配合实现的，动态生成的黑名单表项会在一定的时间之后老化。当设备根据报文的行为特征检测到某特定IP地址的扫描攻击企图之后，便将攻击者的IP地址自动加入黑名单，之后该IP地址发送的报文会被设备过滤掉。

·     手动配置的黑名单表项分为永久黑名单表项和非永久黑名单表项。永久黑名单表项建立后，一直存在，除非用户手工删除该表项。非永久黑名单表项的老化时间由用户指定，超出老化时间后，设备会自动将该黑名单表项删除。

白名单

白名单功能即将特定的源IP地址加入白名单后，设备对于该地址发送的报文会跳过安全检查，而直接按照正常的转发流程进行处理，从而实现了报文的高速转发。

白名单不能直接指定IP地址，而需要通过引用地址对象组将IP地址加入白名单。白名单只能引用一个地址对象组，且只能由用户手工添加或删除。

配置指南

攻击防范功能的配置思路如下图所示：

图-1 攻击防范配置指导图

攻击防范

在配置攻击防范之前，必须首先创建一个攻击防范策略。在策略中根据实际的网络安全需求来配置策略中的具体内容，主要包括针对攻击类型指定检测条件及采取的防范措施。

配置步骤

1.     在“攻击防范”页面单击<新建>按钮。

2.     新建攻击防范策略。

表-1 攻击防范策略配置

表-2 扫描防范配置

表-3 泛洪防范公共配置

表-4 学习参数配置

用户可在“泛洪防范受保护IP”页面，单击<新建>按钮，新建泛洪防范受保护IP。

表-5 泛洪防范受保护IP配置

表-6 知名单包攻击防范配置

用户可在“自定义单包攻击防范”页面，单击<新建>按钮，新建自定义单包攻击防范。

表-7 自定义单包攻击防范配置

表-8 例外列表配置

3.     单击<确定>按钮，新建的攻击防范策略会在“攻击防范”页面显示。

受保护IP

通过手工添加受客户端验证保护的IP地址，对向该目的地址发送的连接请求进行代理。

受保护IP除了可以手工添加之外，还可以通过泛洪攻击防范自动添加。具体来讲就是，在客户端验证功能使能的前提下，若配置了泛洪攻击防范策略及相应的客户端验证功能，则设备检测到某服务器受到了指定类型的攻击时，设备会将该服务器IP地址添加到受保护IP列表中，并对后续指定类型的的报文进行合法性检查。

配置步骤

1.     在“受保护IP”页面单击<新建>按钮。

2.     新建受保护IP。

表-9 受保护IP配置

3.     单击<确定>按钮，新建的受保护IP会在“受保护IP”页面显示，该页面还会显示泛洪攻击防范自动添加的受保护IP。

黑名单

通过配置黑名单功能可以对来自或发往指定IP地址的报文进行过滤。

目的地址黑名单表项只可以手工添加，源地址黑名单表项除了可以手工添加之外，还可以通过扫描攻击防范自动添加。具体而言，在黑名单功能使能的前提下，若配置了扫描攻击防范策略及相应的黑名单添加功能，则可以将检测到的扫描攻击方地址添加到源地址黑名单中。扫描攻击防范添加的源地址黑名单表项必定会老化，老化时间可在“策略 > 安全防护 > 攻击防范 > 扫描防范”页面配置。

配置步骤

1.     在“黑名单”页面单击<新建>按钮。

2.     手工添加黑名单。

表-10 黑名单配置

3.     单击<确定>按钮，新建的黑名单会在“黑名单”页面显示。

白名单

通过配置白名单功能可以使来自指定IP地址的报文跳过设备的安全检查。

白名单只能通过引用地址对象组进行添加，当一个IP地址加入白名单后，直到用户手工将其删除，否则一直存在。地址对象组在“对象 > 对象组”页面配置。

配置步骤

1.     在“白名单”页面单击<新建>按钮。

2.     手工添加白名单。

表-11 白名单配置

3.     单击<确定>按钮，新建的白名单会在“白名单”页面显示。

使用限制和注意事项

·     所有的黑名单只有在接口上的黑名单功能处于开启状态的情况下才生效。

·     攻击防范策略中的客户端验证动作只有在接口的客户端验证功能处于开启状态的情况下才生效。

·     泛洪攻击防范的门限取值需要根据实际网络应用场景进行调整，对于被保护对象的报文流量较大的应用场景，建议调大门限值，以免门限值太小对正常的业务流量造成影响；对于网络状况较差，且对攻击流量比较敏感的场景，可以适当调小门限值。

·     如果攻击防范例外列表中引用的ACL不存在，或引用的ACL中未定义任何规则，例外列表不会生效。

·     例外列表引用的ACL规则中仅源地址、目的地址、源端口、目的端口、协议号、VRF和非首片分片标记参数用于匹配报文。

·     对于如下攻击类型，防范阈值自学习功能仅对缺省检测端口生效：

¡     DNS flood攻击

¡     DNS reply flood攻击

¡     SIP flood攻击

¡     HTTP flood攻击