深信服上網(wǎng)行為管理-安全防護指南

1、深信服上網(wǎng)行為管理安全防護指南培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)防DOS攻擊1.了解防DOS攻擊適用場景2.掌握防DOS攻擊配置方法網(wǎng)關(guān)殺毒1.掌握網(wǎng)關(guān)殺毒測試方法防DOS攻擊SANGFOR AC&SG 網(wǎng)關(guān)殺毒防DOS攻擊防DOS攻擊介紹防DOS攻擊即設(shè)備對于DOS攻擊的防護，通過設(shè)備能夠阻止對設(shè)備本身的攻擊、也可以阻止內(nèi)網(wǎng)某些PC對外網(wǎng)發(fā)起的攻擊。設(shè)備可以阻止DOS攻擊的類型有每個IP在一分鐘內(nèi)向幾一個目標(biāo)IP和端口發(fā)起的最大連接數(shù)及每個IP在每秒鐘發(fā)起的攻擊包次數(shù)（攻擊包包括SYN包，ICMP及小于100字節(jié)的TCP/UDP小包）防DOS攻擊配置不當(dāng)，會導(dǎo)致內(nèi)網(wǎng)斷網(wǎng)，所以默認(rèn)不建議開啟，當(dāng)確實有此需求時，

2、才啟用。防DOS攻擊配置防DOS攻擊總開關(guān)注意，啟用內(nèi)網(wǎng)網(wǎng)段列表后，內(nèi)網(wǎng)網(wǎng)段必須填全，如果沒有填全，則不在此列中的PC上網(wǎng)直接被認(rèn)為是DOS攻擊，被丟棄，導(dǎo)致斷網(wǎng)。如果不啟用內(nèi)網(wǎng)網(wǎng)段列表，則對經(jīng)過的所有數(shù)據(jù)包進行條件匹配，匹配上才認(rèn)為是DOS攻擊此選項不建議啟用排除指定的地址不做DOS攻擊檢測，一般適用于內(nèi)網(wǎng)服務(wù)器，因為服務(wù)器流量比較大，根據(jù)實際情況填寫設(shè)置檢測攻擊條件，及檢測到攻擊后的處理，可以設(shè)置封鎖時間及發(fā)送告警郵件通知管理員。連接數(shù)條件推薦設(shè)置1024，攻擊包條件推薦5000防DOS攻擊配置當(dāng)檢測到DOS攻擊時，系統(tǒng)日志會打出告警日志，如下圖所示注意開啟防dos攻擊后，如果本機所在的網(wǎng)

3、段不在防dos內(nèi)網(wǎng)網(wǎng)段列表中，則本機到設(shè)備443，51111和22345三個端口是默認(rèn)放行的，到設(shè)備其它端口或經(jīng)過設(shè)備的數(shù)據(jù)流會全部被攔截。網(wǎng)關(guān)殺毒網(wǎng)關(guān)殺毒介紹設(shè)備本身集成了第三方殺毒引擎，部署在網(wǎng)絡(luò)前端，對過往的數(shù)據(jù)流量進行病毒檢測查殺，防止病毒影響內(nèi)網(wǎng)安全。網(wǎng)關(guān)殺毒可以針對http下載，ftp下載，pop3/imap收郵件及smtp發(fā)郵件四種數(shù)據(jù)流殺毒。病毒庫更新需要授權(quán)，授權(quán)后，病毒庫會每天自動更新網(wǎng)關(guān)殺毒配置設(shè)置網(wǎng)關(guān)殺毒類型，一般全選。排除不需要殺毒的網(wǎng)站，默認(rèn)排除了PC常見殺毒軟件病毒庫更新地址，以免PC病毒庫更新被判斷為病毒導(dǎo)致無法更新。注意網(wǎng)關(guān)殺毒支持的四種協(xié)議殺毒，http下載

4、，ftp下載，pop3/imap及smtp殺毒都是全局開關(guān)。其中http下載和ftp下載殺毒直接在網(wǎng)關(guān)殺毒中啟用即可生效，但pop3/imap/smtp殺毒是通過郵件代理實現(xiàn)的，還需要在上網(wǎng)策略中啟用郵件過濾，關(guān)聯(lián)到用戶或組，并且確保設(shè)備可上網(wǎng)。下面以smtp郵件殺毒為例，說明網(wǎng)關(guān)殺毒測試方法郵件殺毒配置步驟1、準(zhǔn)備工作（1）檢查設(shè)備本身是否可以上外網(wǎng)，要確保設(shè)備本身能夠上網(wǎng)（2）檢查病毒庫升級授權(quán)是否過期，病毒庫是否當(dāng)前最新。要確保病毒庫升級授權(quán)已開啟，且病毒庫當(dāng)前最新。郵件殺毒配置步驟2、新建認(rèn)證策略，用戶組等（此處略）3、新建上網(wǎng)權(quán)限策略，并啟用郵件過濾關(guān)聯(lián)到用戶或組，如下圖。郵件殺毒配置步驟4、新建上網(wǎng)審計策略，并關(guān)聯(lián)到用戶或組，如下圖。郵件殺毒配置步驟5、啟用網(wǎng)關(guān)殺毒郵件殺毒配置步驟6、配置事件告警。即當(dāng)檢測到病毒時，發(fā)送告警郵件到管理員郵箱郵件殺毒配置步驟7、通過郵件客戶端發(fā)送一封帶病毒的原始郵件郵件殺毒配置步驟8、設(shè)備檢測到病毒效果首頁，運行狀態(tài)頁面，右下角小喇叭提示發(fā)現(xiàn)病毒。如下圖管理員告警郵箱也收到發(fā)現(xiàn)病毒的事件告警郵件，如下圖數(shù)據(jù)中心記錄網(wǎng)關(guān)殺毒日志，如下