Network Security Platform 7.0 IPS Administration Guide - McAfee

如何阻止利用漏洞流量
• Sensor 根据流量方向(通过 Sensor 的电缆连接和端口配置决定)应用配置的入站或出站策略。
• Sensor 分析流量,并基于策略确定流量是“正常”(与策略中配置的攻击不匹配)还是“不良”(与策略中配置的攻击匹
配)。如果流量为恶意,则 Sensor 会应用配置的“丢弃数据包”操作。当 Network Security Platform 识别出一个恶意
流时,它只会阻止此流,而不会阻止所有来自来源 IP 的流量(Sensor 行为与防火墙的行为不同)。
• 对于 UDP 和 ICMP 流量,只会阻止攻击数据包。对于 TCP 流量,则会阻止整个攻击流,我们建议您另外在策略中
配置一个 TCP 重置操作,以重置该流。
在串联时,TCP 重置始终从串联端口发出。当将设备配置为 Tap 模式或 SPAN 模式时使用响应端口。
使用 Threat Analyzer 验证丢弃的利用漏洞攻击
Threat Analyzer 的“Consolidated View(综合视图)”内的“Alert Result Status(警报结果状态)”图显示了由目标响应(即
“Successful(成功)”、“Failed(失败)”)或 Network Security Platform 操作(即“Blocked(已阻止)”)确定的检测攻击结
果。“Blocked(已阻止)”具体指由于策略响应设置已被丢弃的攻击。在 Threat Analyzer 查询内,您可以看到在查询期间
已被阻止的攻击数量。
• 对于每个已阻止的攻击,结果状态“Blocked(已阻止)”将增加。
• 如果在特定警报中按“Status(状态)”深入分析,则结果状态将显示为“Blocked(已阻止)”。
阻止 DoS 流量
拒绝服务 (DoS) 攻击通过将大量虚假流量发送给目标系统或主机,使系统缓冲区溢出以至于必须脱机修复,从而中断其
网络服务。Sensor 在应对 DoS 攻击方面有基于学习和基于阈值两种功能。Sensor 使用复杂的算法区分恶意 DoS 数据
包和正常数据包,并在以串联模式运行时丢弃恶意数据包。
Sensor 必须处于检测模式才能检测和阻止攻击。
如何阻止 DoS 流量
DoS 策略适用于入站、出站或双向流量。入站流量是在串联模式中标为“Outside(外部)”的端口所收到(即来自网络外
部)的流量。通常入站流量都发往受保护网络,如企业内部网。出站流量是从企业内部网的系统发出、在串联模式中标
为“Inside(内部)”的端口上(即来自网络内部)的流量。
双向攻击反映入站和出站方向 ECHO 请求和回复的分配中发生变化的攻击。例如,如果 Sensor 通常检测到 50% 的入
站回复和 50% 的出站回复,但随后分配更改为 70%/30%,则此变化可能引发警报。
另外还有一种称为学习模式的攻击,没有任何特定的方向性,具体地说就是 ICMP ECHO 异常和 TCP 控制异常。请注
意,这些攻击无法阻止。
根据流量方向将 Sensor 应用于入站或出站 DoS 策略(这是通过 Sensor 电缆连接和端口配置确定的)。在 DoS 策略中,
必须按流量类型(协议类型)启用“Drop attack packets(丢弃攻击数据包)”响应操作。
当 Sensor 检测到攻击流量状况时,阻止操作将持续到攻击状况结束为止,并且只要存在攻击状况就会随时重复阻止操
作。
使用 Threat Analyzer 验证已阻止的 DoS 攻击
在发生攻击这段时间,将持续向 Threat Analyzer 发送反映 DoS 情况的警报。
在 Threat Analyzer 中,在发生攻击情况的这段时间,结果状态显示“Blocking activated(已激活阻止)”。
从 Threat Analyzer 丢弃 DoS 攻击
计划 IPS 部署
拦截攻击 1
通过 IPS 策略编辑器,您可以有选择性地丢弃 DoS 学习模式攻击,但是如果您尚未设置丢弃响应,Threat Analyzer 会
提供在已检测到近期攻击后丢弃其余 DoS 攻击的功能。
McAfee ® Network Security Platform 7.0 IPS 管理手册 13