F5000如何修改IPS

新建一个IPS模板后

可以手动修改动作

要修改 F5000 上 IPS 策略的动作，不能直接修改系统自带的 default 策略。正确的方法是新建一个自定义策略，然后在其中为特定规则设置“阻断”动作，最后在安全策略中引用这个新建的配置。

具体操作步骤如下：

方案一：通过 Web 界面配置（推荐）

1. 新建 IPS 配置文件：登录 F5000 的 Web 界面，在 “对象” > “应用安全” > “入侵防御” > “配置文件” 中，新建一个配置文件。可以基于 default 复制一份，或直接创建空白配置。

2. 配置阻断规则：进入新建配置文件的编辑页面。找到与“银狐”病毒相关的规则（可通过规则名称或ID搜索定位），将它的动作从“允许”修改为 “阻断” 或 “丢弃”。如果有需要，也可以将整个风险等级（如“高危”）的动作统一设置为“丢弃”。

3. 应用新策略：在 “策略” > “安全策略” 中，找到调用 IPS 的安全策略规则。编辑该规则，在“内容安全”或“IPS”的引用处，将原来引用的 default 策略，替换为你刚刚新建的 IPS 配置文件。

方案二：通过命令行配置

1. 进入系统视图并新建策略：

   text

   system-view ips policy <your-policy-name>

   （<your-policy-name> 为你自定义的策略名，不能是 default）

2. 修改指定规则的动作：在IPS策略视图下，使用 signature override 命令修改特定规则。

   text

   signature override pre-defined <signature-id> action drop

   （将 <signature-id> 替换为你要修改的规则ID）

3. 在安全策略中引用：最后，需要在相应的安全策略中调用这个新建的 ips policy。

核心要点与验证

• 核心原则：default 策略是只读的，必须新建策略才能修改动作。

• 动作优先级：IPS的动作优先级从高到低为：重置 > 重定向 > 丢弃 > 允许。你设置的“阻断/丢弃”优先级高于“允许”。

• 特征库：确保设备的 IPS 特征库已更新，以便能识别“银狐”病毒的特征。若未购买 License，可能无法使用最新特征库。

• 验证：配置生效后，可模拟或触发相关流量，查看设备日志确认规则是否成功阻断。

核心原因
默认 IPS 策略模板的高危 / 严重级别木马、C2 回连类特征动作 = alert（仅告警放行），所以银狐木马外联只会记录日志、不会断流拦截。提供两种修改方案，推荐方案 1 全局批量修改，方案 2 精准针对银狐回连规则单独拦截。
方案一：全局修改 IPS 威胁等级默认行为（推荐，高危威胁全部阻断）
网页配置路径（Web 界面，易懂）
登录 F5000 防火墙 → 上方菜单 策略 → IPS 策略
点开你当前正在调用的 IPS 配置文件（你正在使用的默认策略模板）
切换标签：全局行为设置 / 风险等级动作
分级动作修改：
严重（Critical）、高危（High）：动作由「告警 Alert」改为 阻断 Drop + 记录日志
中危 (Medium)：按需选「告警」或「阻断」；低危 / 信息保留告警，避免误拦截正常业务。
保存 IPS 策略。
关键一步：将 IPS 策略绑定到安全策略
进入「安全策略」，找到内网上网的放通规则（trust→untrust 出站策略），编辑策略：
内容安全 → IPS 配置：选择刚才修改后的 IPS 模板，启用 IPS 检测。
命令行完整配置
bash
system-view
# 进入正在使用的IPS策略视图
ips policy Default
# 修改高危、严重等级威胁默认动作为丢弃+日志
configuration action severity critical drop logging
configuration action severity high drop logging
# 中危仅告警，防止误阻断业务
configuration action severity medium alert logging
configuration action severity low alert logging
configuration action severity info alert logging
save
# 将IPS策略绑定到出站安全策略
security-policy ip
rule name trust_to_internet
ips apply Default
quit
方案二：精准拦截「银狐木马回连 C2 行为」（只拦截该类流量，不改动全局高危策略）
适合不想全局阻断高危规则、仅封堵银狐外联场景：
IPS 策略内进入 特征规则检索，搜索关键字：银狐、Trojan-C2、木马回连、远控外联；
选中所有银狐家族 C2 通信特征，批量编辑动作：丢弃 (Drop)+ 日志；
保存 IPS 策略，并绑定到内网出站安全策略；
补充加固：在安全策略里新增黑名单，封禁银狐木马常见外联 IP / 域名。
方案三：替换官方激进防护模板（最简单）
IPS 策略页面直接选用官方预制模板：IPS-Strict（严格模式），该模板出厂配置：高危 / 严重攻击直接阻断，无需手动改等级动作。
三、必做校验（改完依然放行的常见遗漏点）
安全策略必须挂载 IPS
只改 IPS 模板没用，内网访问互联网的那条放行安全策略，必须开启并绑定 IPS 策略，流量才会经过 IPS 检测。
确认防火墙工作模式
路由模式、透明模式均可，但安全策略必须双向放通流量 + 挂载 IPS；
更新 IPS 特征库
升级最新 IPS 病毒库，才能完整识别新版银狐变种回连行为：
update ips signature auto 开启自动升级特征库。
查看威胁匹配日志验证效果
bash
display ips statistics rule drop
display security-log ips
出现银狐规则 drop 丢弃记录，代表拦截生效。
四、补充优化（防止内网中招终端持续外联）
搭配 IP 联动封禁，命中银狐回连后自动拉黑内网主机 IP1 小时：
bash
ips policy Default
configuration action severity high drop logging blacklist duration 3600
高危威胁触发后，自动把感染主机加入黑名单封禁 1 小时。
极简总结
根源：默认 IPS 高危动作仅告警放行；
最快解决：IPS 策略把高危 / 严重等级动作改成丢弃，或者直接使用 Strict 严格 IPS 模板；
必须把 IPS 策略绑定在内网出站安全策略上才能生效；
精准防护：单独检索银狐木马 C2 规则，单独设置阻断动作。