SecPath T1000‑AI‑70 ICMP 时间戳检测（漏洞 ID‑39248）处理

现象：设备运行在透明（二层）模式，扫描器发送 ICMP Type‑13（Timestamp‑Request），设备本机回复 Type‑14（Timestamp‑Reply）；配置普通域间安全策略丢弃 ICMP13/14 无效。

根本原因

1. ICMP 时间戳请求是访问防火墙设备本机管理 IP 的报文，归属于 Local 安全域，普通域间策略只过滤跨安全域转发业务流量，不会拦截去往防火墙 CPU / 本机的 Local 域报文。

你配置的安全策略是处理穿过防火墙转发的业务报文；扫描报文目标是 T1000 管理 IP，报文上送到设备 CPU，不走业务转发路径，所以策略不生效。

2. T1000‑AI‑70（透明模式），接口没有三层 IP，只有全局配置的管理 IP；收到 ICMP 时间戳请求，设备内核协议栈直接应答，域间策略无法拦截本机协议栈应答行为。
3. 对象策略也不能对 Local 域生效，Web 页面对象策略仅用于业务转发流量。

ICMP Type13 = 时间戳请求；Type14 = 时间戳应答；ICMP 没有端口，是 IP 协议号 1，不要错误理解成端口 13、14，这也是很多人配置踩坑点。

方案一：Local 域 ACL 过滤（优先，Comware V7 标准，透明 / 路由模式均生效）

使用 ACL 过滤访问设备本机（Local 域）的 ICMP 时间戳报文，该 ACL 绑定在 Local 域，直接丢弃上送 CPU 的 Type‑13 报文，设备就不会回复 Type‑14 应答。

关键点：security‑zone local inbound ACL，专门控制所有到达防火墙 CPU 本机的报文，域间策略管不到本机，必须用 Local 域 ACL。

配置完成后使用工具复测：发送 ICMP type‑13，设备不再回复 type‑14 应答，漏洞扫描 39248 即可消除。

方案二：限制管理访问来源（辅助加固，适合生产）

只允许指定管理网段访问 T1000 的管理 IP，其他所有 IP 直接无法访问设备本机，从源头规避扫描探测：

注意：不要直接 deny 全部 ip，否则你自己也无法登录设备 Web/SSH。

重要误区澄清

1. ❌不要把 ICMP13/14 理解成 TCP/UDP 端口 13、14；它是ICMP 报文内部 type 类型字段，IP 协议号 = 1，ACL 规则使用icmp‑type 13匹配，不是端口参数。
2. ❌普通域间策略（trust‑untrust 等）不能拦截目标 IP 为防火墙本机的报文，这类报文归属 Local 安全域，不走业务转发路径。
3. ❌透明模式不等于没有 Local 域，只要配置了管理 IP，扫描访问管理 IP 报文依然会上送到 CPU。
4. ❌对象策略不支持 Local 域，对象策略只处理穿越设备转发业务流量。

验证排查命令

复测建议：使用 nmap 执行 nmap ‑PE ‑PP ‑PO 设备管理IP，不再收到 ICMP 时间戳应答即修复完成。

补充说明漏洞风险

ICMP 时间戳漏洞（CVE‑1999‑0524）属于低风险信息泄露漏洞，不能直接入侵设备；攻击者仅可获取设备系统时间，不会直接造成设备被攻陷；等保 / 漏洞扫描要求必须消除该探测应答，使用上面 Local 域 ACL 方案即可满足整改要求。

漏洞cve发一下

规避措施：

ICMP timestamp请求和响应本身不是直接的“漏洞”，但它可能会在某些情况下被滥用。适当的网络配置和安全措施可以有效缓解这些风险：

1.防火墙上过滤外来(INPUT)的ICMP timestamp（类型13）报文以及外出(OUTPUT)的ICMP timestamp回复报文。

综上所述，建议此漏洞无需修复。该漏洞风险级别低且可在客户端配置防火墙来规避。

对于配置防火墙有2种方案，一种是客户端的防火墙设置

还有一种是机台本身的防火墙配置iptableds