Network Security Platform 7.0 IPS Administration Guide - McAfee

• Alert & Deny Excess Connections(发出警报并拒绝多余连接)
• Alert & Quarantine(发出警报并隔离)
对于不同的 Sensor 型号,连接限制策略的工作方式有所差别。尽管阈值决定要限制的连接数,但更高级的 M 系列
Sensor 型号具有多个处理器,可实现负载平衡。例如,对于 M‑1250 到 M‑3050 Sensor,如果将 http 流量的阈值定义为
每秒 5 个连接,则 10 秒内将只允许 50 个连接。对于 M‑8000 Sensor,跨越多个处理器来处理连接将实现负载平衡。根
据每个 Sensor 在任意给定时间时处理的流量,Sensor 限制的确切连接数可能略有差异。
连接限制规则的组件
本节介绍了连接限制规则的各种组件。
图 3-91 连接限制规则的组件
请使用以下组件来管理连接限制规则:
• “Rule number(规则编号)”:“Alerts(警报)”中引用的规则的序列号
• “Enabled(启用)”:规则的状态
• “Description(描述)”:添加规则描述(可选)
• “Direction(方向)”:选择所用规则的以下任一方向:
• “Inbound(入站)”‑ 用于入站流量
• “Outbound(出站)”‑ 用于出站流量
• “Bidirectional(双向)”‑ 用于入站和出站流量
图 3-92 方向组件
• “Rule Type(规则类型)”:选择以下任一规则类型:
• “Protocol(协议)”‑ 限制来自主机的 TCP/UDP/ICMP 活动连接数或连接速率
• “GTI” ‑ 根据外部主机的信誉和/或地理位置来限制连接速率
图 3-93 规则类型组件
当 Global Threat Intelligence (GTI) IP 信誉处于启用状态时,只适用基于 GTI 的规则。
上述两种规则都在每个方向(入站/出站)的基础上指定。
如何管理 IPS 设置
如何配置和管理策略 3
McAfee ® Network Security Platform 7.0 IPS 管理手册 115