f100-s-g

1.10  应用审计与管理策略典型配置举例

1.10.1  应用审计与管理策略审计账号登录典型配置举例

1. 组网需求

·            某公司内的各部门通过Device与Internet连接，该公司的工作时间为每周工作日的8点到18点。

·            通过配置应用审计与管理策略，对在上班时间登录的QQ账号均进行审计允许登录，并记录日志。

2. 组网图

图1-2 应用审计与管理策略审计账号登录典型配置组网图

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域（略）

(3)       配置相关的路由和安全策略，保证Trust安全域中的主机可以正常访Internet（略）

(4)       配置时间段

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<Device> system-view

[Device] time-range work 08:00 to 18:00 working-day

(5)       配置应用审计与管理策略

# 进入应用审计与管理视图。

[Device] uapp-control

[Device-uapp-control]

# 创建一个名称为audit-qq的应用审计与管理策略，其类型为审计，并进入应用审计与管理策略视图。

[Device-uapp-control] policy name audit-qq audit

[Device-uapp-control-policy-audit-qq]

# 配置应用审计与管理审计策略audit-qq过滤条件的源安全域为Trust。

[Device-uapp-control-policy-audit-qq] source-zone trust

# 配置应用审计与管理审计策略audit-qq过滤条件的源安全域为Untrust。

[Device-uapp-control-policy-audit-qq] destination-zone untrust

# 配置应用审计与管理审计策略audit-qq的生效时间段为work。

[Device-uapp-control-policy-audit-qq] time-range work

# 配置审计规则，对在上班时间登录的QQ账号均进行审计允许登录，并记录日志。

[Device-uapp-control-policy-audit-qq] rule 1 app QQ behavior Login bhcontent any keyword equal any action permit audit-logging

[Device-uapp-control-policy-audit-qq] quit

[Device-uapp-control] quit

(6)       激活应用审计与管理的策略和规则配置。

[Device] inspect activate

4. 验证配置

以上配置完成后，若内网主机上有账号为1551281595的QQ登录，则设备会对此QQ账号登录进行审计允许登录，并会有审计日志信息输出。

1.10.2  应用审计与管理策略审计敏感信息典型配置举例

1. 组网需求

某公司内的各部门通过Device与Internet连接，通过配置应用审计与管理策略，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，拒绝此次搜索，并记录日志。

2. 组网图

图1-3 应用审计与管理策略审计敏感信息典型配置组网图

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       创建安全域并将接口加入安全域（略）

(3)       配置相关的路由和安全策略，保证Trust安全域中的主机可以正常访Internet（略）

(4)       配置应用审计与管理策略

# 进入应用审计与管理视图。

<Device> system-view

[Device] uapp-control

[Device-uapp-control]

# 配置名称为keyword-bing的关键字组，以审计敏感信息。

[Device-uapp-control] keyword-group name keyword-bing

[Device-uapp-control-keyword-group-keyword-bing]

# 在关键字组keyword-bing中，添加关键字“机密”和“恐怖袭击”。

[Device-uapp-control-keyword-group-keyword-bing] keyword 机密

[Device-uapp-control-keyword-group-keyword-bing] keyword 恐怖袭击

[Device-uapp-control-keyword-group-keyword-bing] quit

# 创建一个名称为audit-bing的应用审计与管理策略，其类型为审计，并进入应用审计与管理策略视图。

[Device-uapp-control] policy name audit-bing audit

[Device-uapp-control-policy-audit-bing]

# 配置应用审计与管理审计策略audit-bing过滤条件的源安全域为Trust。

[Device-uapp-control-policy-audit-bing] source-zone trust

# 配置应用审计与管理审计策略audit-bing过滤条件的源安全域为Untrust。

[Device-uapp-control-policy-audit-bing] destination-zone untrust

# 配置审计规则，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，拒绝此次搜索，并记录日志。

[Device-uapp-control-policy-audit-bing] rule 2 app Bing behavior Search bhcontent keyword keyword include keyword-bing action deny audit-logging

[Device-uapp-control-policy-audit-bing] quit

[Device-uapp-control] quit

(5)       激活应用审计与管理的策略和规则配置。

[Device] inspect activate

4. 验证配置

以上配置完成后，当内网用户使用微软必应搜索查找的信息中包含“机密”或“恐怖袭击”关键字时，此次搜索会没有响应，并会有审计日志信息输出。