Network Security Platform 7.0 IPS Administration Guide - McAfee

3
如何管理 IPS 设置
防火墙策略
• Recurring Time Period Group(循环时间段组):您最多可以将 10 个循环时间段分成一组,以形成“Recurring Time
Period Group(循环时间段组)”规则对象。“Recurring Time Period Group(循环时间段组)”只适用于高级防火墙策
略。
您可以将“Finite Time Period(有限时间段)”规则对象与“Recurring Time Period(循环时间段)”规则对象和
“Recurring Time Period Group(循环时间段组)”规则对象结合使用。在此情况下,“Finite Time Period(有限时间段)”
优先。此外,为了使 Sensor 检查该访问规则,“Finite Time Period(有限时间段)”和至少一个“Recurring Time Period
(循环时间段)”必须处于活动状态。
• Service(服务):要基于 IP 协议、ICMP 代码或 TCP/UDP 端口号限制流量,请使用“Service(服务)”规则对象。您
可以创建“Service(服务)”规则对象或使用默认规则对象。系统预定义了标准 TCP 和 UDP 端口上的常见服务以及
ICMP 代码。例如,telnet 在端口 23 上预定义为 TCP。同样,系统也预定义了 ICMP 代码,如 ICMP Echo 回复和
ICMP 请求。当创建“Service(服务)”规则对象时,选项用于指定协议编号、TCP 端口或 UDP 端口。对于自定义
ICMP 代码,您需要在端口字段中指定 IP 协议编号和 ICMP 代码。对于每个规则对象,您只能定义一个 IP 协议规
范。
对于使用“Service(服务)”规则对象的访问规则,Sensor 会考虑已针对 IPS 配置的任何非标准端口。例如,如果已指
定端口 2023 作为 FTP 非标准端口,则当您已在一个规则中使用 FTP 服务规则对象时,Sensor 会考虑端口 21 和端
口 2023 上的 FTP。
对于某些流量,您可以使用一种以上的规则对象。例如,对于 FTP 和 HTTP,您可以使用“Application(应用程序)”
规则对象或“Service(服务)”规则对象。如果您使用默认的“Service(服务)”规则对象来阻止 FTP,则 Sensor 只会阻
止标准端口 21 上的 FTP。如果您使用默认的“Application Service Group(应用程序服务组)”来阻止 FTP,则
Sensor 会阻止任意端口上的 FTP。如果使用“Service(服务)”规则对象,则 Sensor 甚至会丢弃 SYN 数据包。如果
使用“Application(应用程序)”规则对象,则 Sensor 只会在三方握手后丢弃流量。这是由于只有在握手后,Sensor
才能识别该应用程序,
Sensor 按照由上至下的方式来处理一个策略的访问规则。因此,如果您想丢弃基于服务的流量,请将这些访问策略放
在策略中最高的位置。
如果使用经典防火墙策略,请注意以下事项:
• 建议不要为动态协商端口的协议(如 FTP、TFTP 和 RPC 服务)设置允许规则。对于 RPC 服务,可以对整个
RPC 配置明确允许和拒绝的规则,但无法针对其中任何一部分配置,例如 statd 和 mountd。
• 多媒体协议(如 H.323)和服务(即时消息发送和对等通信)可能协商不同于控制通道的数据通道,或协商不符合
标准的端口。但可以通过拒绝固定的控制端口将访问规则配置成拒绝这些动态协议。
• 要拒绝使用动态协商的协议,您可以选择将策略配置成丢弃在这些传输中检测到的攻击。Network Security
Platform 可以检测 Yahoo Messenger、KaZaA 和 IRC 等程序的使用和攻击。
• Service Group(服务组):您可以将希望以相似方式处理的服务分为一组。这样,您可以轻松地管理防火墙策略。服
务组只与高级防火墙策略关联。您最多可以在一个“Service Group(服务组)”规则对象中指定 10 个服务。
防火墙策略的工作方式
您可以在管理域级别创建防火墙策略。也可以使用以下两个预定义的防火墙规则:
• Allow All Traffic But Bypass Scanning(跳过扫描,允许所有流量):这个预定义的高级策略可以允许任何流量,而无
需检查是否存在攻击。
• Scan All Traffic(扫描所有流量):这个预定义的经典策略可以允许任何流量,但需要检查是否存在攻击。
您可以预定义这些策略,对其进行复制和重新配置,也可以创建自己的策略。您不能删除默认的策略。
要使防火墙策略生效,您需要将其分配到 Sensor 资源。以下是 Sensor 资源:
• 预置设备:此资源是 Sensor 自身,分配到此资源的策略应用于到达 Sensor 的所有流量。此策略称为“Pre‑device(预
置设备)”策略。实际上,此策略是 Sensor 实施的第一个防火墙策略。
• 每个物理端口的接口或子接口。
138 McAfee ® Network Security Platform 7.0 IPS 管理手册