VPN被蠕虫病毒攻击了，怎么杀毒。型号是secpath f1030

加防病毒授权，更新最新特征库可以防范一些病毒的 

1. 紧急处置：在防火墙上切断传播路径 🛑

2. 定位攻击源：排查防火墙会话表 🔍

3. 终端彻底查杀与隔离（核心步骤） 🛡️

1. 物理/逻辑隔离：立即拔掉该终端的网线，或在交换机端口、防火墙上彻底封禁其 IP/MAC 地址，防止其继续在网络中传播。
2. 断网全盘查杀：在断开网络连接（拔网线）的前提下，在该终端上安装或更新正规的杀毒软件（如火绒、360、卡巴斯基、微软 Defender 等），进入安全模式进行全盘查杀。
3. 系统加固：蠕虫病毒常利用系统漏洞传播，查杀完成后，务必为操作系统打上最新的安全补丁，并修改弱口令。

4. 长效防护建议 💡

• 开启 IPS（入侵防御系统）：如果您的 F1030 拥有 IPS 特征库授权，建议开启 IPS 策略并应用到域间，防火墙可以自动识别并拦截已知蠕虫病毒的攻击特征。
• 限制 VPN 访问权限：遵循“最小权限原则”，SSL VPN 分配的地址池不应能访问核心服务器的高危端口；IPSec VPN 应精确限制感兴趣流（ACL），只放行必要的业务流量。
• 边界坚决阻断高危端口：在边界防火墙上，坚决阻断从外网到内网的 445、135、139 等端口的 NAT 映射。

# SecPath F1030 VPN 遭遇蠕虫攻击处置说明

>
> 重要基础认知：**F1030 防火墙设备本身 Comware 操作系统不会被 Windows 蠕虫病毒感染**H3C。
> 现象一般是：**VPN 接入的终端（SSL‑VPN/IPSec 客户端主机）感染蠕虫病毒，病毒流量经过 VPN 隧道传入内网，导致内网扫描、大量会话、CPU 高、VPN 隧道异常**；不是防火墙本体中病毒，防火墙不能像 PC 杀毒软件一样 “全盘杀毒”，只能做流量拦截、溯源、隔离，**杀毒工作要在中毒终端主机上完成**。

## 一、应急遏制（先阻断蠕虫扩散）

### 1. 定位感染源

1）查看防火墙会话，找产生大量异常扫描会话的 VPN 接入客户端 IP

```
display session table top‑sort source‑ip
display session table verbose | include VPN
display security‑log attack
```

>
> 蠕虫特征：同一个源 IP，大量向外访问 445、135、139、3389 等端口，目的 IP 随机网段。

2）查看 SSL‑VPN 在线用户，如果是 SSL‑VPN 接入中毒终端：

```
display sslvpn user
```

拿到客户端真实内网虚拟 IP、客户端公网 IP、用户名。

3）若是 IPSec VPN 分支过来的蠕虫：

```
display ipsec sa brief
```

### 2. 临时隔离威胁源

方案 A：拉黑该威胁源 IP（防火墙黑名单）

```
system‑view
blacklist ip source‑ip 中毒客户端IP timeout 1440
```

>
> 该 IP 直接被防火墙丢弃全部报文，VPN 隧道也无法转发流量，阻断蠕虫传播。

方案 B：如果是 SSL‑VPN 用户，直接踢用户下线

```
sslvpn kick‑off username xxx
```

>
> 用户被强制断开 VPN，阻止病毒通过隧道继续向内网扫描。

>
> 注意：防火墙只能阻断流量，**病毒本体仍然存在于用户电脑，电脑不杀毒，再次接入 VPN 会重复发作**。

## 二、防火墙侧加固配置，拦截蠕虫流量（F1030 Comware V7）

>
> 需要 IPS 特征库授权，IPS 特征库保持为最新版本，识别蠕虫漏洞攻击报文H3C。

1. 确认 IPS、AV 特征库版本

```
display signature version
display license
```

>
> IPS License 过期将无法识别蠕虫攻击特征，需要更新授权或者离线升级特征库。

2. 安全策略引用 IPS 配置，对 VPN→内网方向流量做 IPS 检测

- Web：对象→IPS 策略，启用蠕虫、漏洞扫描相关特征；在 VPN 访问内网的安全策略中开启 IPS 检测。
- 命令行：

```
security‑policy
rule name SSLVPN‑TO‑INNER
source‑zone SSLVPN
destination‑zone Trust
action pass
ips apply‑policy 你的IPS策略名
quit
```

>
> IPS 可以识别蠕虫漏洞利用报文，直接丢弃攻击包并产生日志。

3. 开启攻击防范，防御扫描、泛洪

```
system‑view
attack‑defense
enable
anti‑scan enable #开启地址扫描防范
anti‑fraggle enable
anti‑land enable
quit
```

4. 高危端口限制（蠕虫常利用 445/135/139）
内网安全域之间，非业务需要，在安全策略拒绝外网 / VPN 访问 445,135,139 等 SMB 高危端口。

## 三、终端主机杀毒（核心，防火墙无法替代）

1. 把已经感染蠕虫的电脑**断开网络（断开 VPN、拔掉网线 / Wi‑Fi）**，防止继续传播。
2. 在中毒主机上，使用杀毒软件全盘深度扫描，清除蠕虫恶意程序。
3. 修补系统高危漏洞（永恒之蓝等蠕虫大多利用系统漏洞传播），打全 Windows 系统补丁。
4. 确认查杀干净、漏洞修复完成之后，才允许该终端重新接入 VPN。

>
> ⚠️不做主机杀毒，仅靠防火墙拉黑，用户电脑重新连接 VPN 会再次带来蠕虫攻击。

## 四、日志取证排查命令（保存攻击证据）

```
display security‑log attack last 1000 #查看IPS检测到蠕虫攻击日志
display session table count #查看会话总数，蠕虫会暴涨会话数
display cpu‑usage #观察是否因为蠕虫扫描导致CPU冲高
display sslvpn log #SSL‑VPN接入日志
info‑center loghost x.x.x.x #把全部安全日志输出到外置日志服务器留存证据
```

## 五、长期预防建议

1. SSL‑VPN 接入终端建议强制安装主机安全软件，终端未打补丁不允许接入 VPN；
2. IPS/AV 特征库保持定期更新，License 确保在有效期；
3. VPN 接入安全策略上启用 IPS 检测，对 VPN 进入内网的流量做威胁检测；
4. 内网部署终端安全管理，及时发现内网主机蠕虫感染。

## 常见误区

1. ❌给防火墙杀毒：防火墙是网络设备，不是 PC，蠕虫针对 Windows 系统，防火墙不会中毒，不能在防火墙上查杀病毒文件。
2. ❌只拉黑 IP 不处理终端：拉黑只能临时阻断流量，终端病毒本体还存在，再次接入 VPN 会复发。
3. ❌不更新 IPS 特征库：老特征库识别不到新型蠕虫，无法拦截攻击报文。