报文netbios端口

i目录1攻击检测及防范·1-11.
1攻击检测及防范简介·1-11.
2攻击检测及防范的类型·1-11.
2.
1单包攻击·1-11.
2.
2扫描攻击·1-21.
2.
3泛洪攻击·1-31.
2.
4TCP分片攻击·1-41.
2.
5Login用户字典序攻击·1-41.
3客户端验证功能·1-41.
3.
1TCP客户端验证功能(TCPClientverify)1-41.
3.
2DNS客户端验证(DNSClientverify)1-71.
3.
3HTTP客户端验证(HTTPClientverify)1-71.
4攻击检测及防范配置任务简介·1-81.
5配置并应用攻击防范策略·1-91.
5.
1创建攻击防范策略·1-91.
5.
2配置单包攻击防范策略·1-91.
5.
3配置扫描攻击防范策略·1-101.
5.
4配置泛洪攻击防范策略·1-111.
5.
5在本机应用攻击防范策略·1-161.
6配置单包攻击防范日志的非聚合输出功能·1-161.
7配置TCP分片攻击防范·1-161.
8配置Login用户延时认证功能1-171.
9攻击检测及防范显示和维护·1-171-11攻击检测及防范1.
1攻击检测及防范简介攻击检测及防范是一个重要的网络安全特性,它通过分析经过设备的报文的内容和行为,判断报文是否具有攻击特征,并根据配置对具有攻击特征的报文执行一定的防范措施,例如输出告警日志、丢弃报文.
1.
2攻击检测及防范的类型设备能够检测单包攻击、扫描攻击和泛洪攻击等多种类型的网络攻击,并能对各类型攻击采取合理的防范措施.
1.
2.
1单包攻击单包攻击也称为畸形报文攻击,主要包括以下三种类型:攻击者通过向目标系统发送带有攻击目的的IP报文,如分片重叠的IP报文、TCP标志位非法的报文,使得目标系统在处理这样的IP报文时出错、崩溃;攻击者可以通过发送正常的报文,如ICMP报文、特殊类型的IPoption报文,来干扰正常网络连接或探测网络结构,给目标系统带来损失;攻击者还可通过发送大量无用报文占用网络带宽,造成拒绝服务攻击.
设备可以对表1-1中所列的各单包攻击行为进行有效防范.
表1-1单包攻击类型及说明列表单包攻击类型说明ICMPredirect攻击者向用户发送ICMP重定向报文,更改用户主机的路由表,干扰用户主机正常的IP报文转发.
ICMPunreachable某些系统在收到不可达的ICMP报文后,对于后续发往此目的地的报文判断为不可达并切断对应的网络连接.
攻击者通过发送ICMP不可达报文,达到切断目标主机网络连接的目的.
ICMPtypeICMP报文中,type值的表示不同含义的报文,接收者需要根据不同的类型进行响应,攻击者通过构造特定type类型的ICMP报文来达到影响系统正常处理报文等目的.
ICMPv6typeICMPv6报文中,type值的表示不同含义的报文,接收者需要根据不同的类型进行响应,攻击者通过构造特定type类型的ICMPv6报文来达到影响系统正常处理报文等目的.
Land攻击者向目标主机发送大量源IP地址和目的IP地址都是目标主机自身的TCPSYN报文,使得目标主机的半连接资源耗尽,最终不能正常工作.
LargeICMP某些主机或设备收到超大的报文,会引起内存分配错误而导致协议栈崩溃.
攻击者通过发送超大ICMP报文,让目标主机崩溃,达到攻击目的.
LargeICMPv6某些主机或设备收到超大的报文,会引起内存分配错误而导致协议栈崩溃.
攻击者通过发送超大ICMPv6报文,让目标主机崩溃,达到攻击目的.
1-2单包攻击类型说明IPoption攻击者利用IP报文中的异常选项的设置,达到探测网络结构的目的,也可由于系统缺乏对错误报文的处理而造成系统崩溃.
Fragment攻击者通过向目标主机发送分片偏移小于5的分片报文,导致主机对分片报文进行重组时发生错误而造成系统崩溃.
Impossible攻击者通过向目标主机发送源IP地址和目的IP地址相同的报文,造成主机系统处理异常.
Tinyfragment攻击者构造一种特殊的IP分片来进行微小分片的攻击,这种报文首片很小,未能包含完整的传输层信息,因此能够绕过某些包过滤防火墙的过滤规则,达到攻击目标网络的目的.
Smurf攻击者向目标网络发送ICMP应答请求,该请求包的目的地址设置为目标网络的广播地址,这样该网络中的所有主机都会对此ICMP应答请求作出答复,导致网络阻塞,从而达到令目标网络中主机拒绝服务的攻击目的.
TCPFlag不同操作系统对于非常规的TCP标志位有不同的处理.
攻击者通过发送带有非常规TCP标志的报文探测目标主机的操作系统类型,若操作系统对这类报文处理不当,攻击者便可达到使目标主机系统崩溃的目的.
Traceroute攻击者连续发送TTL从1开始递增的目的端口号较大的UDP报文,报文每经过一个路由器,其TTL都会减1,当报文的TTL为0时,路由器会给报文的源IP设备发送一个TTL超时的ICMP报文,攻击者借此来探测网络的拓扑结构.
Winnuke攻击者向安装(或使用)Windows系统的特定目标的NetBIOS端口(139)发送OOB(Out-Of-Band,带外)数据包,这些攻击报文的指针字段与实际的位置不符,从而引起一个NetBIOS片断重叠,致使已与其他主机建立连接的目标主机在处理这些数据的时候系统崩溃.
UDPBomb攻击者发送畸形的UDP报文,其IP首部中的报文总长度大于IP首部长度与UDP首部中标识的UDP报文长度之和,可能造成收到此报文的系统处理数据时越界访问非法内存,导致系统异常.
UDPSnork攻击者向Windows系统发送目的端口为135(Windows定位服务)源端口为135、7或19(UDPChargen服务)的报文,使被攻击系统不断应答报文,最终耗尽CPU资源.
UDPFraggle攻击者通过向目标网络发送源UDP端口为7且目的UDP端口为19的Chargen报文,令网络产生大量无用的应答报文,占满网络带宽,达到攻击目的.
Teardrop攻击者通过发送大量分片重叠的报文,致使服务器对这些报文进行重组时造成重叠,因而丢失有效的数据.
Pingofdeath攻击者构造标志位为最后一片且长度大于65535的ICMP报文发送给目标主机,可能导致系统处理数据时越界访问非法内存,造成系统错误甚至系统崩溃.
1.
2.
2扫描攻击扫描攻击是指,攻击者运用扫描工具对网络进行主机地址或端口的扫描,通过准确定位潜在目标的位置,探测目标系统的网络拓扑结构和开放的服务端口,为进一步侵入目标系统做准备.
1.
IPSweep攻击攻击者发送大量目的IP地址变化的探测报文,通过收到的回应报文来确定活跃的目标主机,以便针对这些主机进行下一步的攻击.
1-32.
Portscan攻击攻击者获取了活动目标主机的IP地址后,向目标主机发送大量目的端口变化的探测报文,通过收到的回应报文来确定目标主机开放的服务端口,然后针对活动目标主机开放的服务端口选择合适的攻击方式或攻击工具进行进一步的攻击.
3.
分布式Portscan攻击攻击者控制多台主机,分别向特定目标主机发送探测报文,通过收集所有被控制的主机的回应报文,确定目标主机开启的服务端口,以便进一步实施攻击.
1.
2.
3泛洪攻击泛洪攻击是指攻击者在短时间内向目标系统发送大量的虚假请求,导致目标系统疲于应付无用信息,从而无法为合法用户提供正常服务,即发生拒绝服务.
设备支持对以下几种泛洪攻击进行有效防范:1.
SYNflood攻击根据TCP协议工作原理,服务器收到SYN报文后需要建立半连接并回应SYNACK报文,然后等待客户端的ACK报文来建立正式连接.
由于资源的限制,操作系统的TCP/IP协议栈只能允许有限个TCP连接.
攻击者向服务器发送大量伪造源地址的SYN报文后,由于攻击报文是伪造的,服务器不会收到客户端的ACK报文,从而导致服务器上遗留了大量无效的半连接,耗尽其系统资源,使正常的用户无法访问,直到半连接超时.
2.
ACKflood攻击ACK报文为只有ACK标志位置位的TCP报文,服务器收到ACK报文时,需要查找对应的连接.
若攻击者发送大量这样的报文,服务器需要进行大量的查询工作,消耗正常处理的系统资源,影响正常的报文处理.
3.
SYN-ACKflood攻击由于SYNACK报文为SYN报文的后续报文,服务器收到SYNACK报文时,需要查找对应的SYN报文.
若攻击者发送大量这样的报文,服务器需要进行大量的查询工作,消耗正常处理的系统资源,影响正常的报文处理.
4.
FINflood攻击FIN报文用于关闭TCP连接.
若攻击者向服务器发送大量的伪造的FIN报文,可能会使服务器关闭掉正常的连接.
同时,服务器收到FIN报文时,需要查找对应的连接,大量的无效查询操作会消耗系统资源,影响正常的报文处理.
5.
RSTflood攻击RST报文为TCP连接的复位报文,用于在异常情况下关闭TCP连接.
如果攻击者向服务器发送大量伪造的RST报文,可能会使服务器关闭正常的TCP连接.
另外,服务器收到RST报文时,需要查找对应的连接,大量的无效查询操作会消耗系统资源,影响正常的报文处理.
6.
DNSflood攻击DNS服务器收到任何DNSQuery报文时都会试图进行域名解析并且回复该DNS报文.
攻击者通过构造并向DNS服务器发送大量虚假DNSQuery报文,占用DNS服务器的带宽或计算资源,使得正常的DNSQuery得不到处理.
1-47.
HTTPflood攻击HTTP服务器收到HTTPGET命令时可能进行一系列复杂的操作,包括字符串搜索、数据库遍历、数据组装、格式化转换等等,这些操作会消耗大量系统资源,因此当HTTP请求的速率超过了服务器的处理能力时,服务器就无法正常提供服务.
攻击者通过构造并发送大量虚假HTTPGET请求,使服务器崩溃,无法响应正常的用户请求.
8.
ICMPflood攻击ICMPflood攻击是指,攻击者在短时间内向特定目标发送大量的ICMP请求报文(例如ping报文),使其忙于回复这些请求,致使目标系统负担过重而不能处理正常的业务.
9.
ICMPv6flood攻击ICMPv6flood攻击是指,攻击者在短时间内向特定目标发送大量的ICMPv6请求报文(例如ping报文),使其忙于回复这些请求,致使目标系统负担过重而不能处理正常的业务.
10.
UDPflood攻击UDPflood攻击是指,攻击者在短时间内向特定目标发送大量的UDP报文,占用目标主机的带宽,致使目标主机不能处理正常的业务.
1.
2.
4TCP分片攻击设备的包过滤功能一般是通过判断TCP首个分片中的五元组(源IP地址、源端口号、目的IP地址、目的端口号、传输层协议号)信息来决定后续TCP分片是否允许通过.
RFC1858对TCP分片报文进行了规定,认为TCP分片报文中,首片报文中TCP报文长度小于20字节,或后续分片报文中分片偏移量等于8字节的报文为TCP分片攻击报文.
这类报文可以成功绕过上述包过滤功能,对设备造成攻击.
为防范这类攻击,可以在设备上配置TCP分片攻击防范功能,对TCP分片攻击报文进行丢弃.
1.
2.
5Login用户字典序攻击字典序攻击是指攻击者通过收集用户密码可能包含的字符,使用各种密码组合逐一尝试登录设备,以达到猜测合法用户密码的目的.
为防范这类攻击,可以在设备上配置Login用户延时认证功能,在用户认证失败之后,延时期间不接受此用户的登录请求.
1.
3客户端验证功能1.
3.
1TCP客户端验证功能(TCPClientverify)TCP客户端验证功能用来防御服务器受到的SYNflood,ACKflood,SYN-ACKflood,FINflood,RSTflood等攻击.
启用了TCP客户端验证功能的设备称为TCPproxy,它位于客户端和服务器之间,能够对客户端与服务器之间的TCP连接进行代理.
当设备检测到有服务器受到相关泛洪攻击时,TCPproxy即将该服务器IP地址添加为动态受保护的IP地址,并对所有向该受保护服务器发起的TCP连接的协商报文进行处理,通过对客户端发起的TCP连接进行验证,达到保护服务器免受各种TCP泛洪攻击的目的.
TCP客户端验证支持两种验证模式:1-5SafeReset:是指仅对TCP连接的正向握手报文进行处理,也称为单向代理模式.
SYNCookie:是指对TCP连接的正向和反向所有报文都进行处理,也称为双向代理模式.
用户可以根据实际的组网情况选择不同的代理模式.
例如:在如图1-1所示的组网中,从客户端发出的报文经过TCPproxy,而从服务器端发出的报文不经过TCPproxy,此时只能使用SafeReset方式;在如图1-2所示的组网中,从客户端发出的报文经和从服务器端发出的报文都经过TCPproxy,此时两种验证模式都可以使用.
图1-1SafeReset组网图1-2通用组网TCPClientverify处理流程:1.
SafeResetSafeReset代理模式下,TCPClientverify的处理流程如图1-3所示.
图1-3SafeReset模式的TCPClientverify处理流程1-6TCPproxy收到某客户端发来的与受保护服务器(匹配某个受保护IP地址表项)建立TCP连接的请求(SYN报文)后,先代替服务器向客户端回应序号错误的SYNACK报文.
如果TCPproxy收到客户端回应的正确RST报文,则认为该TCP连接请求通过TCP代理的验证.
此后一定时间内,TCPproxy收到来自该客户端的TCP报文后,直接将其向转发给服务器,允许客户端和服务器之间直接建立TCP连接.
一般而言,应用服务器不会主动对客户端发起恶意连接,因此服务器响应客户端的报文可以不需要经过TCPproxy的检查.
TCPClientverify仅需要对客户端发往应用服务器的报文进行实时监控,服务器响应客户端的报文可以根据实际需要选择是否经过TCPproxy,因此SafeReset模式能够支持更灵活的组网方式.
由于TCPproxy对客户端发起的TCP连接进行了干预,因此SafeReset模式的实现要求客户端的实现严格遵守TCP协议栈的规定,如果客户端的TCP协议栈实现不完善,即便是合法用户,也可能由于未通过TCPproxy的严格检查而无法访问服务器.
而且,该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能,因此启用TCPClientverify后,客户端发起的每个TCP连接的建立时间会有相应增加.
2.
SYNCookieSYNCookie模式下,TCPClientverify的处理流程如图1-4所示.
图1-4SYNCookie模式的TCPClientverify处理流程TCPproxy收到某客户端发来的与受保护服务器建立TCP连接的请求(SYN报文)后,先代替服务器向客户端回应正常的SYNACK报文(窗口值为0).
如果收到客户端回应的ACK报文,则认为该TCP连接请求通过TCP代理的验证.
然后,TCPClientverify再代替客户端向服务器发送SYN报文,并通过三次握手与服务器建立TCP连接.
因此,在客户端和TCPproxy、TCPproxy和服务器之间会建立两个TCP连接,而且两个TCP连接使用的序号不同.
SYNCookie模式下,TCPproxy作为虚拟的服务器与客户端交互,同时也作为虚拟的客户端与服务器交互,在为服务器过滤掉恶意连接报文的同时保证了常规业务的正常运行.
但该方式要求TCPproxy必须部署在所保护的服务器入口和出口的关键路径上,且要保证所有客户端向服务器发送的报文以及服务器向客户端回应的报文都需要经过该设备.
1-71.
3.
2DNS客户端验证(DNSClientverify)DNS客户端验证功能用来防御服务器受到的DNSflood攻击.
启用了DNS客户端验证功能的设备位于客户端和服务器之间,能够对客户端与服务器之间的DNS连接进行代理.
当设备检测到有服务器受到DNSflood攻击时,即将该服务器IP地址添加为动态受保护的IP地址,并对所有向该受保护服务器发起的DNSQuery进行处理,通过对客户端发起的DNS连接进行验证,达到保护服务器免受DNSflood攻击的目的.
DNSClientverify的处理流程如图1-5所示.
图1-5DNSClientverify处理流程DNS客户端验证设备收到某客户端发送的UDP类型的DNSQuery报文(目的地址匹配受保护IP表项)后,先代替服务器向客户端回应DNSTruncate(TC)报文,要求客户端以TCP方式进行域名请求.
如果是合法客户端,则它收到DNSTruncate报文之后会向DNS客户端验证设备发送目的端口为53的TCPSYN报文.
DNS客户端验证设备收到此报文后,先代替服务器向客户端回应序号错误的SYNACK报文,之后,如果能够收到客户端回应的RST报文,则认为该客户端通过了DNS客户端验证.
对于通过了DNS验证的客户端,设备直接转发其后续报文,不对报文进行处理.
由于DNSClientverify对客户端发起的DNS请求进行了干预,因此要求客户端的实现严格遵守TCP/IP协议栈以及DNS协议的规定,如果客户端的协议栈实现不完善,即便是合法用户,也可能由于未通过DNSClientverify的严格检查而无法访问服务器.
而且,该方式依赖于客户端向服务器发送RST报文后再次发起请求的功能,因此启用DNSClientverify后,正常客户端发起的首个DNS请求的响应时间会有相应增加.
1.
3.
3HTTP客户端验证(HTTPClientverify)HTTP客户端验证功能用来防御服务器受到HTTPflood攻击.
启用了HTTP客户端验证功能的设备位于客户端和服务器之间,能够对客户端与服务器之间的HTTPGET请求进行代理.
当设备检测到有服务器受到HTTPflood攻击时,即将该服务器IP地址添加为动态受保护的IP地址,并对所有向该受保护服务器发起的HTTPGET请求报文进行处理,通过对客户端发起的HTTPGET请求进行两次重定向方式的验证,达到保护服务器免受HTTPflood攻击的目的.
HTTPClientverify的处理流程如图1-6所示:1-8图1-6HTTPClientverify处理流程HTTP客户端验证设备收到某客户端发送的TCP连接请求报文(目的地址匹配受保护IP表项)后,首先以TCPProxy的Syncookie方式进行验证(详见"1.
3.
1TCP客户端验证功能(TCPClientverify)").
客户端的TCP连接通过验证之后,设备将对客户端发送的HTTPGET请求报文进行两次重定向验证,具体流程如下所述.
(1)第一次重定向验证:设备收到客户端的HTTPGet请求之后向其发送HTTPRedirect报文,并在重定向报文中设置标记位要求客户端结束本次TCP连接.
该过程中,设备会记录该客户端的信息.
当前的TCP连接结束之后,客户端与设备进行一轮新的TCP三次握手.
(2)第二次重定向验证:设备收到客户端向重定向地址发起的HTTPGet请求之后,向其发送HTTPRedirect报文,并在重定向报文中设置标记位要求客户端结束本次TCP连接.
该过程中,设备会检查客户端是否经过了第一次重定向,以及本次HTTP访问的URI是否是设备重定向的地址.
如果检查通过,设备会将该客户端加入到信任IP表项中,该客户端的后续HTTPGet请求报文将被直接进行透传1.
4攻击检测及防范配置任务简介攻击检测与防范配置任务如下:(1)配置并应用攻击防范策略a.
创建攻击防范策略b.
配置攻击防范策略1-9各类型的攻击防范功能之间没有先后顺序,可根据实际组网需求,配置其中的一种或多种:配置单包攻击防范策略配置扫描攻击防范策略配置泛洪攻击防范策略c.
在本机应用攻击防范策略(2)(可选)配置单包攻击防范日志的非聚合输出功能(3)(可选)配置TCP分片攻击防范(通常单独使用)(4)配置Login用户延时认证功能1.
5配置并应用攻击防范策略1.
5.
1创建攻击防范策略1.
功能简介攻击防范策略主要包括针对攻击类型指定的检测条件及采取的防范措施.
在配置攻击防范之前,必须首先创建一个攻击防范策略,并进入该攻击防范策略视图.
在该视图下,可以定义一个或多个用于检测攻击的特征项,以及对检测到的攻击报文所采取的防范措施.
2.
配置步骤(1)进入系统视图.
system-view(2)创建一个攻击防范策略,并进入攻击防范策略视图.
attack-defensepolicypolicy-number1.
5.
2配置单包攻击防范策略1.
功能简介单包攻击防范主要通过分析经过设备的报文特征来判断报文是否具有攻击性.
若设备检测到某报文具有攻击性,则默认会输出告警日志,另外还可以根据配置将检测到的攻击报文做丢弃处理.
2.
配置步骤(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-name(3)开启指定类型单包攻击报文的特征检测,并设置攻击防范的处理行为.
请至少选择其中一项进行配置.
{开启指定类型的知名单包攻击报文的特征检测,并设置攻击防范的处理行为.
signaturedetect{fraggle|fragment|impossible|land|large-icmp|large-icmpv6|smurf|snork|tcp-all-flags|tcp-fin-only|tcp-invalid-flags|tcp-null-flag|tcp-syn-fin|tiny-fragment|traceroute|udp-bomb|winnuke}[action{{drop|logging}*|none}]1-10signaturedetect{ip-option-abnormal|ping-of-death|teardrop}action{drop|logging}*{开启ICMP类型的单包攻击报文的特征检测,并设置攻击防范的处理行为.
signaturedetecticmp-type{icmp-type-value|address-mask-reply|address-mask-request|destination-unreachable|echo-reply|echo-request|information-reply|information-request|parameter-problem|redirect|source-quench|time-exceeded|timestamp-reply|timestamp-request}[action{{drop|logging}*|none}]{开启ICMPv6类型的单包攻击报文的特征检测,并设置攻击防范的处理行为.
signaturedetecticmpv6-type{icmpv6-type-value|destination-unreachable|echo-reply|echo-request|group-query|group-reduction|group-report|packet-too-big|parameter-problem|time-exceeded}[action{{drop|logging}*|none}]{开启IP选项类型的单包攻击报文的特征检测,并设置攻击防范的处理行为.
signaturedetectip-option{option-code|internet-timestamp|loose-source-routing|record-route|route-alert|security|stream-id|strict-source-routing}[action{{drop|logging}*|none}]缺省情况下,所有类型的单包攻击的特征检测均处于关闭状态.
(4)(可选)配置启动LargeICMP攻击防范的ICMP报文长度的最大值.
signature{large-icmp|large-icmpv6}max-lengthlength缺省情况下,ICMP报文和ICMPv6报文长度的最大值均为4000字节.
(5)(可选)配置对不同级别的单包攻击报文的处理方式.
signaturelevel{high|info|low|medium}action{{drop|logging}*|none}缺省情况下,对info和low级别的单包攻击的处理行为是发送日志;对medium和high级别的单包攻击的处理行为是发送日志并丢包.
(6)(可选)开启指定级别单包攻击报文的特征检测.
signaturelevel{high|info|low|medium}detect缺省情况下,未开启任何级别的单包攻击报文的特征检测.
1.
5.
3配置扫描攻击防范策略1.
功能简介扫描攻击防范主要通过监测网络使用者向目标系统发起连接的速率来检测其探测行为.
若设备监测到某IP地址主动发起的连接速率达到或超过了一定阈值,则可以根据配置输出告警日志、丢弃来自该IP地址的后续报文.
2.
配置步骤(1)进入系统视图.
1-11system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)开启指定级别的扫描攻击防范.
scandetectlevel{high|low|medium}action{drop|logging}*缺省情况下,扫描攻击防范处于关闭状态.
1.
5.
4配置泛洪攻击防范策略1.
功能简介泛洪攻击防范主要用于保护服务器,通过监测向服务器发起连接请求的速率来检测各类泛洪攻击.
应用了泛洪攻击防范策略后,设备处于攻击检测状态,当它监测到向某服务器发送报文的速率持续达到或超过了指定的触发阈值时,即认为该服务器受到了攻击,则进入攻击防范状态,并根据配置启动相应的防范措施(输出告警日志、对后续新建连接的报文进行丢弃处理或者进行客户端验证).
此后,当设备检测到向该服务器发送报文的速率低于恢复阈值(触发阈值的3/4)时,即认为攻击结束,则由攻击防范状态恢复为攻击检测状态,并停止执行防范措施.
2.
配置限制和指导当设备上安装了多块业务板时,每种泛洪攻击防范策略中配置的全局触发阈值为每块业务板上的全局触发阈值,因而整机的该类泛洪攻击的全局触发阈值即为每块业务板上的全局触发阈值与业务板数目的乘积.
为保护指定IP地址,攻击防范策略中支持基于IP地址的攻击防范配置.
对于所有非受保护IP地址,可以统一开启攻击防范检测,并采用全局的参数设置来进行保护.
3.
配置SYNflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启SYNflood攻击防范检测.
syn-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启SYNflood攻击防范检测.
(4)配置SYNflood攻击防范的全局触发阈值.
syn-floodthresholdthreshold-value缺省情况下,SYNflood攻击防范的全局触发阈值为1000.
(5)配置SYNflood攻击防范的全局处理行为.
syn-floodaction{drop|logging}*缺省情况下,不对检测到的SYNflood攻击采取任何措施.
(6)开启对IP地址的SYNflood攻击防范检测,并配置触发阈值和处理行为.
syn-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]1-12缺省情况下,未对任何指定IP地址配置SYNflood攻击防范检测.
4.
配置ACKflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启ACKflood攻击防范检测.
ack-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启ACKflood攻击防范检测.
(4)配置ACKflood攻击防范全局触发阈值.
ack-floodthresholdthreshold-value缺省情况下,ACKflood攻击防范的全局触发阈值为1000.
(5)配置ACKflood攻击防范的全局处理行为.
ack-floodaction{drop|logging}*缺省情况下,不对检测到的ACKflood攻击采取任何措施.
(6)开启对IP地址的ACKflood攻击防范检测,并配置触发阈值和处理行为.
ack-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置ACKflood攻击防范检测.
5.
配置SYN-ACKflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启SYN-ACKflood攻击防范检测.
syn-ack-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启SYN-ACKflood攻击防范检测.
(4)配置SYN-ACKflood攻击防范的全局触发阈值.
syn-ack-floodthresholdthreshold-value缺省情况下,SYN-ACKflood攻击防范的全局触发阈值为1000.
(5)配置SYN-ACKflood攻击防范的全局处理行为.
syn-ack-floodaction{drop|logging}*缺省情况下,不对检测到的SYN-ACKflood攻击采取任何措施.
(6)开启对IP地址的SYN-ACKflood攻击防范检测,并配置触发阈值和处理行为.
syn-ack-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置SYN-ACKflood攻击防范检测.
1-136.
配置FINflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启FINflood攻击防范检测.
fin-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启FINflood攻击防范检测.
(4)配置FINflood攻击防范的全局触发阈值.
fin-floodthresholdthreshold-value缺省情况下,FINflood攻击防范的全局触发阈值为1000.
(5)配置FINflood攻击防范的全局处理行为.
fin-floodaction{drop|logging}*缺省情况下,不对检测到的FINflood攻击采取任何措施.
(6)开启对IP地址的FINflood攻击防范检测,并配置触发阈值和处理行为.
fin-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置FINflood攻击防范检测.
7.
配置RSTflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启RSTflood攻击防范检测.
rst-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启RSTflood攻击防范检测.
(4)配置RSTflood攻击防范的全局触发阈值.
rst-floodthresholdthreshold-value缺省情况下,RSTflood攻击防范的全局触发阈值为1000.
(5)配置全局的RSTflood攻击防范的全局处理行为.
rst-floodaction{drop|logging}*缺省情况下,不对检测到的RSTflood攻击采取任何措施.
(6)开启对IP地址的RSTflood攻击防范检测,并配置触发阈值和处理行为.
rst-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置RSTflood攻击防范检测.
8.
配置ICMPflood攻击防范策略(1)进入系统视图.
1-14system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IPv4地址开启ICMPflood攻击防范检测.
icmp-flooddetectnon-specific缺省情况下,未对任何非受保护IPv4地址开启ICMPflood攻击防范检测.
(4)配置ICMPflood攻击防范的全局触发阈值.
icmp-floodthresholdthreshold-value缺省情况下,ICMPflood攻击防范的全局触发阈值为1000.
(5)配置ICMPflood攻击防范的全局处理动作.
icmp-floodaction{drop|logging}*缺省情况下,不对检测到的ICMPflood攻击采取任何措施.
(6)开启对IPv4地址的ICMPflood攻击防范检测,并配置触发阈值和处理行为.
icmp-flooddetectipip-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IPv4地址配置ICMPflood攻击防范触发阈值.
9.
配置UDPflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启UDPflood攻击防范检测.
udp-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启UDPflood攻击防范检测.
(4)配置UDPflood攻击防范的全局触发阈值.
udp-floodthresholdthreshold-value缺省情况下,UDPflood攻击防范的全局触发阈值为1000.
(5)配置UDPflood攻击防范检测的全局处理行为.
udp-floodaction{drop|logging}*缺省情况下,不对检测到的UDPflood攻击进行任何处理.
(6)开启对IP地址的UDPflood攻击防范检测,并配置触发阈值和处理行为.
udp-flooddetectipipv4-address[thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置UDPflood攻击防范检测.
10.
配置DNSflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
1-15attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启DNSflood攻击防范检测.
dns-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启DNSflood攻击防范检测.
(4)配置DNSflood攻击防范的全局触发阈值.
dns-floodthresholdthreshold-value缺省情况下,DNSflood攻击防范的全局触发阈值为1000.
(5)(可选)配置DNSflood攻击防范的全局检测端口号.
dns-floodportport-list缺省情况下,DNSflood攻击防范的全局检测端口号为53.
(6)配置对DNSflood攻击防范的全局处理行为.
dns-floodaction{drop|logging}*缺省情况下,不对检测到的DNSflood攻击采取任何措施.
(7)开启对IP地址的DNSflood攻击防范检测,并配置触发阈值和处理行为.
dns-flooddetectipipv4-address[portport-list][thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置DNSflood攻击防范检测.
11.
配置HTTPflood攻击防范策略(1)进入系统视图.
system-view(2)进入攻击防范策略视图.
attack-defensepolicypolicy-number(3)对所有非受保护IP地址开启HTTPflood攻击防范检测.
http-flooddetectnon-specific缺省情况下,未对任何非受保护IP地址开启HTTPflood攻击防范检测.
(4)配置HTTPflood攻击防范的全局触发阈值.
http-floodthresholdthreshold-value缺省情况下,HTTPflood攻击防范的全局触发阈值为1000.
(5)(可选)配置HTTPflood攻击防范的全局检测端口号.
http-floodportport-list缺省情况下,HTTPflood攻击防范的全局检测端口号为80.
(6)配置对HTTPflood攻击防范的全局处理行为.
http-floodaction{drop|logging}*缺省情况下,不对检测到的HTTPflood攻击采取任何措施.
(7)开启对IP地址的HTTPflood攻击防范检测,并配置触发阈值和处理行为.
http-flooddetectipipv4-address[portport-list][thresholdthreshold-value][action{{drop|logging}*|none}]缺省情况下,未对任何指定IP地址配置HTTPflood攻击防范检测.
1-161.
5.
5在本机应用攻击防范策略1.
功能简介通过在本机应用攻击防范策略,使已配置的攻击防范策略对目的地址为本机的报文生效.
默认情况下设备对转发的报文下发给硬件转发,只有目的地址是本机的报文才会由软件处理,但软件处理没有攻击防范功能.
为处理针对本机的攻击,需要通过在本机上应用攻击防范策略来实现.
2.
配置步骤(1)进入系统视图.
system-view(2)配置在本机应用攻击防范策略.
attack-defenselocalapplypolicypolicy-name缺省情况下,本机未应用任何攻击防范策略.
1.
6配置单包攻击防范日志的非聚合输出功能1.
功能简介对日志进行聚合输出是指,在一定时间内,对在本机上检测到的相同攻击类型、相同攻击防范动作、相同的源/目的地址的单包攻击的所有日志聚合成一条日志输出.
2.
配置限制和指导通常不建议开启单包攻击防范的日志非聚合输出功能,因为在单包攻击较为频繁的情况下,它会导致大量日志信息输出,占用控制台的显示资源.
3.
配置步骤(1)进入系统视图.
system-view(2)开启对单包攻击防范日志的非聚合输出功能.
attack-defensesignaturelognon-aggregate缺省情况下,单包攻击防范的日志信息经系统聚合后再输出.
1.
7配置TCP分片攻击防范1.
功能简介设备上开启TCP分片攻击防范功能后,能够对收到的TCP分片报文的长度以及分片偏移量进行合法性检测,并丢弃非法的TCP分片报文.
2.
配置限制和指导如果设备上开启了TCP分片攻击防范功能,并应用了单包攻击防范策略,则TCP分片攻击防范功能会先于单包攻击防范策略检测并处理入方向的TCP报文.
3.
配置步骤(1)进入系统视图.
system-view1-17(2)开启TCP分片攻击防范功能.
attack-defensetcpfragmentenable缺省情况下,TCP分片攻击防范功能处于开启状态.
1.
8配置Login用户延时认证功能1.
功能简介Login用户登录失败后,若设备上配置了重新进行认证的等待时长,则系统将会延迟一定的时长之后再允许用户进行认证,可以有效地避免设备受到Login用户字典序攻击.
2.
配置步骤(1)进入系统视图.
system-view(2)配置Login用户登录失败后重新进行认证的等待时长.
attack-defenseloginreauthentication-delayseconds缺省情况下,Login用户登录失败后重新进行认证不需要等待.
1.
9攻击检测及防范显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后攻击检测及防范的运行情况,通过查看显示信息验证配置的效果.
在用户视图下,执行reset命令可以清除攻击检测及防范的统计信息.
表1-2攻击检测及防范配置的显示和维护操作命令显示IPv4flood攻击防范统计信息displayattack-defense{ack-flood|dns-flood|fin-flood|flood|http-flood|icmp-flood|rst-flood|syn-ack-flood|syn-flood|udp-flood}statisticsip[ip-address][[local][slotslot-number]][count]显示攻击防范策略的配置信息displayattack-defensepolicy[policy-name]显示flood攻击防范的IPv4类型的受保护IP表项displayattack-defensepolicypolicy-name{ack-flood|dns-flood|fin-flood|flood|http-flood|icmp-flood|rst-flood|syn-ack-flood|syn-flood|udp-flood}ip[ip-address][slotslot-number][count]显示扫描攻击者的IPv4地址表项displayattack-defensescanattackerip[[local][slotslot-number]][count]显示扫描攻击被攻击者的IPv4地址表项displayattack-defensescanvictimip[local][slotslot-number]][count]显示本机攻击防范统计信息displayattack-defensestatisticslocal[slotslot-number]清除flood攻击防范受保护IP表项的统计信息resetattack-defensepolicypolicy-namefloodprotectedip}statistics清除本机攻击防范的统计信息resetattack-defensestatisticslocal1-18