防火墙IPS检测功能

第一步：确认攻击报文是否真的被丢弃 在互联网防火墙上验证： # 1. 查看具体的攻击日志详情 display ips attack log verbose # 查找对应攻击的记录，重点关注： # - 攻击动作：应为 "Drop" # - 攻击报文数：可能只丢弃了1个包 # - 会话状态：可能只丢单包，未阻断会话 # 2. 查看接口计数，确认丢弃统计 display interface counter inbound/outbound | include drop display firewall session statistics # 3. 查看IPS策略配置详情 display ips policy [policy_name] # 确认动作是否为 "drop" 或 "block" 在内网防火墙上对比： # 对比攻击的五元组信息 display ips attack log | include [攻击特征ID或源IP] # 记录：源IP、目的IP、源端口、目的端口、协议、时间戳 第二步：优化互联网防火墙的IPS策略 将"丢弃"升级为"阻断"（推荐） # 进入IPS策略视图 system-view ips policy [policy_name] # 1. 修改动作为阻断（阻断整个会话） rule [rule_id] action block # 2. 或者配置更严格的丢弃（丢弃并终止会话） rule [rule_id] action drop session fin-rst send # 发送FIN/RST终止连接 # 3. 设置阻断时间（例如阻断300秒） rule [rule_id] action block block-period 300 # 4. 退出并应用 quit 配置会话阻断（关键配置）： # 全局开启会话阻断 ips session block enable # 或者在接口应用策略时指定阻断 interface GigabitEthernet1/0/1 ips apply policy [policy_name] outbound block-session 第三步：检查网络拓扑与流量路径 确认是否存在旁路路径： # 1. 检查路由表，确认是否有其他路径绕过互联网防火墙 display ip routing-table [目标服务器IP] # 2. 检查NAT策略，确认攻击流量是否被NAT转换 display nat policy display nat session source-ip [攻击者IP] # 3. 检查负载均衡或链路聚合配置 display link-aggregation verbose display vrrp verbose 抓包验证（最直接的方法）： # 在互联网防火墙的内网侧接口抓包 diagnostic packet-capture interface GigabitEthernet1/0/2 inbound capture-filter ip host [攻击者IP] and ip host [服务器IP] capture-only quit # 等待攻击发生，然后停止抓包 display packet-capture status # 下载抓包文件分析，确认攻击报文是否真的被丢弃 第四步：优化日志记录策略 减少重复日志记录： # 1. 设置攻击日志聚合（减少重复记录） ips log aggregation enable ips log aggregation threshold 5 # 5秒内相同攻击合并记录 # 2. 调整日志级别，只记录重要事件 ips log level { 1 | 2 | 3 | 4 | 5 | 6 | 7 } # 通常设置为3（中等）即可 # 3. 配置日志抑制（防止日志风暴） ips log suppress enable ips log suppress threshold 10 interval 60 # 60秒内相同攻击最多记录10次 第五步：验证配置有效性 创建测试用例验证： # 1. 模拟攻击测试（使用合法测试工具） # 在外网发起测试攻击 # 2. 实时监控丢弃动作 display ips attack statistics real-time # 3. 检查会话表，确认攻击会话被阻断 display firewall session table source-ip [测试IP] verbose # 应该看到会话状态为 "Blocked" 或 "Deny" 对比两台防火墙的检测结果： # 互联网防火墙执行： display ips attack log source-ip [攻击IP] destination-ip [服务器IP] last 10 minutes # 内网防火墙执行同样的命令 # 对比时间戳：内网防火墙记录的时间应晚于互联网防火墙（如果有的话） # 理想情况：内网防火墙不应记录到相同攻击 高级优化方案 方案一：分层防护策略 # 互联网防火墙：侧重DDoS防护和粗粒度攻击 ips category { ddos | exploit | malware } severity { high | critical } action block # 内网防火墙：侧重应用层攻击和精细防护 ips category { web-attack | sql-injection | xss } severity { medium | high } action alert # 内网以告警为主，因为大部分攻击应在互联网侧被阻断 方案二：启用威胁情报联动 # 如果支持威胁情报功能 threat-intelligence enable threat-intelligence update interval 3600 # 配置自动阻断 threat-intelligence action block category { malware-c2 | botnet } confidence 80 方案三：配置IPS策略同步（如使用集中管理） 如果使用H3C iMC等集中管理平台： # 在管理平台上配置策略统一下发 # 确保两台防火墙策略一致，避免检测差异