Network Security Platform 7.0 IPS Administration Guide - McAfee

4
在 Sensor 级别配置 IPS 策略
配置高级扫描
DoS 过滤器可因任何 DoS 学习模式攻击(即每个攻击所含的测量值)而启动。每个启用的学习模式攻击都是一些通信流
速率测量值的组合,如 TCP 控制数据包或 UDP 数据包的速率。学习模式配置文件完成了正常流量行为的学习之后,便
将短期内每一测量指标的统计值与配置文件中的长期测量值相比较。如果短期值超出了长期值的范围,将生成一个
“Statistical(统计)”类型的攻击。发出“Statistical(统计)”警报后,Network Security Sensor 可启动自动或手动响应,
以阻止违反测量标准的所有后续数据包。
要进行自动丢弃和阻止,可以配置 DoS 策略启用“Drop Packets(丢弃数据包)”响应(对一个或多个测量),然后将策略应
用到串联模式的 Sensor 接口。只要短期值继续出现违反长期值的行为,自动过滤器就会一直起作用。
要进行手动阻止,必须在 Threat Analyzer 中为生成的 “Statistical(统计)”警报启动响应。有关详细信息,请参阅“阻止统
计攻击的其余 DoS 数据包”。
图 4-14 管理 DoS 过滤器
要管理当前 DoS 过滤器,请执行以下操作:
任务
• 选择“IPS Settings(IPS 设置)” | “Sensor_Name(Sensor 名称)” | “Advanced Scanning(高级扫描)” | “DoS Filters
(DoS 过滤器)”。
执行以下任一操作:
• 要删除过滤器,请选择滤器并单击“Delete(删除)”。
• 要刷新过滤器,选择过滤器并单击“Refresh(刷新)”。
• 要延长过滤器的时效,请执行以下操作:
a 选择一个过滤器并单击“Extend(延长)”。随即打开“Add DoS Filter Time(添加 DoS 过滤器时间)”对话框。
b 键入要添加到“Filter Time(过滤器时间)”的秒数。
c 单击“Save(保存)”,或者单击“Cancel(取消)”以放弃。
图 4-15 “Add DoS Filter Time(添加 DoS 过滤器时间)”对话框
另请参阅
配置高级扫描第 242 页
248 McAfee ® Network Security Platform 7.0 IPS 管理手册