Network Security Platform 7.0 IPS Administration Guide - McAfee

3
如何管理 IPS 设置
如何配置和管理策略
9 转到“IPS Settings(IPS 设置)” | “Policies(策略)” | “IPS Policies(IPS 设置)”,然后单击“Policy Details(策略详细
信息)”窗口中的“Properties(属性)”选项卡。
10 在“Outbound Rule Set(出站规则集)”中,选择要应用的规则集,然后单击“Save(保存)”。
图 3-67 “Add an IPS Policy(添加 IPS 策略)”对话框
11 按照与自定义入站规则集类似的步骤,自定义利用漏洞攻击的实施。完成所有利用漏洞类别的配置后,进入自定义
拒绝服务 (DoS) 模式。
另请参阅
警报通知选项第 223 页
拒绝服务 (DoS) 模式
拒绝服务 (DoS) 攻击通过将大量虚假流量发送给目标系统或主机,使系统缓冲区溢出以至于必须脱机修复,从而中断其
网络服务。Sensor 在应对 DoS 攻击方面有基于学习和基于阈值两种功能。由于 Sensor 会记录完整的 TCP 状态,因此
很容易将“不良”的 DoS 数据包与“正常”的流量数据包区分开来,以串联模式运行时可将这些不良的数据包丢弃。
DoS 策略适用于入站、出站或双向流量。入站流量是在串联或 Tap 模式中标为“Outside(外部)”的端口所收到(即来自
网络外部)的流量。采用 SPAN 或集线器模式时,除非通过创建 CIDR 块来区分,否则所有流量都被视为入站流量;发
送给指定 CIDR 块的流量在 SPAN 端口上被视为入站流量。通常入站流量都发往受保护网络,如企业内部网。
出站流量是从企业内部网的系统发出、在串联或 Tap 模式中标为“Inside(内部)”的端口上所观察到(即来自网络内部)
的流量。
另外还有一种称为学习模式的攻击,没有任何特定的方向性,具体地说就是 ICMP ECHO 异常和 TCP 控制异常。这些
攻击的性质使得 Sensor 无法判定攻击究竟是入站流量还是出站流量。因此将其归类为双向。
即使 Sensor 以串联模式运行,也“无法”阻止 ICMP Echo 异常和 TCP 控制异常攻击。
用策略编辑器配置时,可以自定义严重性,对许多统计类别启用管理通知。生成的报告和 Threat Analyzer 有助于判断
影响网络性能的统计信息类型。
96 McAfee ® Network Security Platform 7.0 IPS 管理手册