Network Security Platform 7.0 IPS Administration Guide - McAfee

警报
解决利用 DDoS 攻击工具的攻击
Network Security Platform 使用攻击特征码来标识由 DDoS 攻击工具生成的攻击。
Network Security Platform 特征码可以识别来自特定 DDoS 攻击工具的攻击。当检测到来自 DDoS 攻击工具的攻击时,
会在 Threat Analyzer 中生成警报。
连接限制策略
连接限制策略包括一套规则,Sensor 通过这些规则来限制主机可以建立的连接数或连接速率。
Sensor 能够定义阈值,从而限制主机能够建立的连接数(对于 TCP 来说为三方握手)。Sensor 将允许小于或等于定义
阈值的连接数或连接速率,而超过该值将被丢弃。这有助于尽量减少服务器上基于连接的 DoS 攻击。
您也可以在接口级别和子接口级别分配已定义的连接限制策略。
另请参阅
连接限制策略 第 114 页
警报是在 Manager 的 Threat Analyzer 中触发的。
当 Sensor 检测到基于量的 DoS 攻击、基于漏洞的 DoS 攻击和 DDoS 攻击工具引起的攻击时,会触发与 DoS 相关的警
报。
Network Security Platform 采用攻击特征码来检测多个已知 DDoS 攻击工具之间的通信,还可以检测基于漏洞的攻击。
当检测到这些攻击时,Threat Analyzer 中会触发警报。
对于基于量的攻击,Sensor 会在短期和长期配置文件中查找统计异常。Sensor 会将短期配置文件与长期配置文件进行
比较。如果流量级别中存在显著差异,则会生成警报,并且 Sensor 将阻止带有统计异常的流量(如果进行了这样的配
置)。
生成警报的原因是 Sensor 检测到了两种统计异常之一:
• 分类(或“不平衡”)异常
• 流量大小异常
当长期配置文件准确反映了给定网络的正常流量时,统计异常即为攻击的结果。但是因干预(如路由方案的更改)引起的
网络流量变化会导致统计异常。在这种情况下,您需要利用“Rebuild the DoS Profiles (start the learning process from
scratch)(重建 DoS 配置文件(从头启动学习过程))”选项来从头重建配置文件,该选项位于“DoS Data Management
(DoS 数据管理)”页(“Admin_Domain_Name(管理域名称)” | “IPS Settings(IPS 设置)” | “Sensor_Name (Sensor 名
称)” | “Advanced Scanning(高级扫描)” | “DoS Data Management(DoS 数据管理)”)上。
分类(或不平衡)异常
某些类型的数据包之间存在内在联系。例如,如果没有 ICMP Echo 回复,ICMP Echo 请求则几乎毫无用处。同样,如
果没有 FIN 和 RST,您虽然可以启动 TCP 连接,但却无法将其终止。
Network Security Platform 可检测两种类型的分类异常:
• ICMP Echo 异常(Echo 请求和 Echo 回复)
• TCP 控制区段异常(SYN、SYN ACK、FIN 和 RST)
拒绝服务
警报 7
Network Security Platform 会在其长期配置文件中记录这些类型的数据包的分布情况。如果这些数据包类型的分布情况
在短期内发生了剧烈变化,则完全可以确定出现了恶意行为。
McAfee ® Network Security Platform 7.0 IPS 管理手册 355