- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
03-IPS配置
本章節下載： 03-IPS配置 (387.85 KB)
IPS（Intrusion Prevention System，入侵防禦係統）是一種可以對應用層攻擊進行檢測並防禦的安全防禦技術。IPS通過分析流經設備的網絡流量來實時檢測入侵行為，並通過一定的響應動作來阻斷入侵行為，實現保護企業信息係統和網絡免遭攻擊的目的。
IPS具有以下功能：
· 深度防護：可以檢測報文應用層的內容，以及對網絡數據流進行協議分析和重組，並根據檢測結果來對報文做出相應的處理。
· 實時防護：實時檢測流經設備的網絡流量，並對入侵活動和攻擊性網絡流量進行實時攔截。
· 全方位防護：可以對多種攻擊類型提供防護措施，例如蠕蟲、病毒、木馬、僵屍網絡、間諜軟件、廣告軟件、CGI（Common Gateway Interface）攻擊、跨站腳本攻擊、注入攻擊、目錄遍曆、信息泄露、遠程文件包含攻擊、溢出攻擊、代碼執行、拒絕服務、掃描工具、後門等。
· 內外兼防：對經過設備的流量都可以進行檢測，不僅可以防止來自企業外部的攻擊，還可以防止發自企業內部的攻擊。
設備基於IPS策略對報文進行IPS處理。IPS策略中定義了匹配報文的IPS特征和處理報文的IPS動作。
IPS特征用來描述網絡中的攻擊行為的特征，設備通過將報文與IPS特征進行比較來檢測和防禦攻擊。IPS特征包含多種屬性，例如攻擊分類、動作、保護對象、嚴重級別和方向。這些屬性可作為過濾條件來篩選IPS特征。
設備支持以下兩種類型的IPS特征：
· 預定義IPS特征：係統中的IPS特征庫自動生成。設備不支持對預定義IPS特征的內容進行創建、修改和刪除。
· 自定義IPS特征：管理員在設備上手工創建。通常新的網絡攻擊出現後，與其對應的攻擊特征會出現的比較晚一些。如果管理員已經掌握了新網絡攻擊行為的特點，可以通過自定義方式創建IPS特征，及時阻止網絡攻擊，否則，不建議用戶自定義IPS特征。
IPS動作是指設備對匹配上IPS特征的報文做出的處理。IPS處理動作包括如下幾種類型：
· 重置：通過發送TCP的reset報文斷開TCP連接。
· 重定向：把符合特征的報文重定向到指定的Web頁麵上。
· 源阻斷：阻斷符合特征的報文，並會將該報文的源IP地址加入IP黑名單。如果設備上同時開啟了IP黑名單過濾功能（由blacklist global enable開啟），則一定時間內（由block-period命令指定）來自此IP地址的所有報文將被直接丟棄；否則，此IP黑名單不生效。有關IP黑名單過濾功能的詳細介紹請參見“安全配置指導”中的“攻擊檢測與防範”，有關block-period命令的詳細介紹請參見“DPI深度安全”中的“應用層檢測引擎”。
· 丟棄：丟棄符合特征的報文。
· 放行：允許符合特征的報文通過。
· 捕獲：捕獲符合特征的報文。
· 生成日誌：對符合特征的報文生成日誌信息。
IPS處理流程如圖1-1所示：
圖1-1 IPS數據處理流程圖
IPS功能是通過在DPI應用profile中引用IPS策略，並在安全策略或對象策略中引用DPI應用profile來實現的，IPS處理的具體實現流程如下：
(1) 設備收到報文後，首先與IP黑名單匹配：
¡ 如果匹配成功，則直接丟棄報文。
¡ 如果匹配失敗，則進入步驟2。
(2) 設備對報文進行規則（即安全策略規則或對象策略規則）匹配：
如果規則引用了IPS業務，設備將對匹配了規則的報文進行深度內容檢測：首先，識別報文的協議，然後根據協議分析方案進行更精細的分析，並深入提取報文特征。
有關安全策略規則的詳細介紹請參見“安全配置指導”中的“安全策略”；有關對象策略規則的詳細介紹請參見“安全配置指導”中的“對象策略”。
(3) 設備將提取的報文特征與IPS特征進行匹配，並進行如下處理：
¡ 如果報文未與任何IPS特征匹配成功，則設備對報文執行允許動作。
¡ 如果報文隻與一個IPS特征匹配成功，則根據此特征中指定的動作進行處理。
¡ 如果報文同時與多個IPS特征匹配成功，則根據這些動作中優先級最高的動作進行處理。動作優先級從高到低的順序為：重置 > 重定向 >丟棄 > 允許。但是，對於源阻斷、生成日誌和捕獲三個動作隻要匹配成功的特征中存在就會執行。
IPS特征庫是用來對經過設備的應用層流量進行病毒檢測和防禦的資源庫。隨著網絡攻擊不斷的變化和發展，需要及時升級設備中的IPS特征庫，同時設備也支持IPS特征庫回滾功能。
IPS特征庫的升級包括如下幾種方式：
· 定期自動在線升級：設備根據管理員設置的時間定期自動更新本地的IPS特征庫。
· 立即自動在線升級：管理員手工觸發設備立即更新本地的IPS特征庫。
· 手動離線升級：當設備無法自動獲取IPS特征庫時，需要管理員先手動獲取最新的IPS特征庫，再更新設備本地的IPS特征庫。
如果管理員發現設備當前IPS特征庫對報文進行檢測和防禦網絡攻擊時，誤報率較高或出現異常情況，則可以將其進行回滾到出廠版本和上一版本。
IPS功能需要安裝License才能使用。License過期後，IPS功能可以采用設備中已有的IPS特征庫正常工作，但無法升級到比當前版本高的特征庫。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。
IPS配置任務如下：
(1) 創建IPS策略
(2) 配置篩選IPS特征的屬性
(3) 配置IPS動作
(4) 配置IPS引用的應用層檢測引擎動作參數profile
(6) 激活IPS策略配置
(7) 在安全策略中引用IPS業務
(8) 在對象策略中引用IPS業務
(9) 配置IPS特征庫升級和回滾
(10) （可選）導入和刪除自定義IPS特征
缺省情況下，IPS策略將使用當前設備上所有處於生效狀態的IPS特征與報文進行匹配，並對匹配成功的報文執行IPS特征屬性中的動作。管理員可根據實際需求，在新建的IPS策略中，將IPS特征的屬性作為過濾條件，篩選出需要與報文進行匹配的IPS特征，並配置IPS特征動作。
(1) 進入係統視圖。
system-view
(2) 創建IPS策略，並進入IPS策略視圖。
ips policy policy-name
缺省情況下，存在一個缺省IPS策略，名稱為default，且不能被修改或刪除。
IPS策略將篩選出匹配所有已配置屬性的特征，如果屬性中配置了多個參數，則IPS特征至少需要匹配上其中一個參數，才表示匹配上該屬性。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置篩選IPS特征的屬性。
¡ 配置篩選IPS特征的保護對象屬性。
protect-target { target [ subtarget | all ] }
缺省情況下，IPS策略匹配所有保護對象的特征。
¡ 配置篩選IPS特征的攻擊分類屬性。
attack-category { category [ subcategory ] | all }
缺省情況下，IPS策略匹配所有攻擊分類的特征。
¡ 配置篩選IPS特征的動作屬性。
action { block-source | drop | permit | reset } *
缺省情況下，IPS策略匹配所有動作的特征。
¡ 配置篩選IPS特征的方向屬性。
object-dir { client | server } *
缺省情況下，IPS策略匹配所有方向的特征。
¡ 配置篩選IPS特征的嚴重級別屬性。
severity-level { critical | high | low | medium } *
缺省情況下，IPS策略匹配所有嚴重級別的特征。
缺省情況下，新建IPS策略執行特征屬性中的動作。管理員也可以根據實際網絡需求，為IPS策略中所有特征配置統一的動作，或者為指定的特征配置動作。
設備對以上動作執行的優先級為：IPS策略中為指定特征配置的動作 > IPS策略為所有特征配置的統一動作 > IPS特征自身屬性的動作。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置IPS策略中所有特征的統一動作。
signature override all { { block-source | drop | permit | redirect | reset } | capture | logging } *
缺省情況下，IPS策略執行特征屬性中的動作。
(4) （可選）修改IPS策略中指定特征的動作和生效狀態。
signature override { pre-defined | user-defined } signature-id { { disable | enable } [ { block-source | drop | permit | redirect | reset } | capture | logging ] * }
缺省情況下，預定義IPS特征使用係統預定義的狀態和動作，自定義IPS特征的動作和狀態在管理員導入的特征庫文件中定義。
缺省IPS策略中的IPS特征的動作屬性和生效狀態屬性不能被修改。
每類IPS動作的具體執行參數由應用層檢測引擎動作參數profile來定義，該profile的具體配置請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
如果IPS引用的應用層檢測引擎動作參數profile不存在或沒有引用，則使用係統各類動作參數的缺省值。
(1) 進入係統視圖。
system-view
(2) 配置IPS引用的應用層檢測引擎動作參數profile。
ips { block-source | capture | email | logging | redirect } parameter-profile parameter-name
缺省情況下，IPS未引用應用層檢測引擎動作參數profile。
DPI應用profile是一個安全業務的配置模板，為實現IPS功能，必須在DPI應用profile中引用指定的IPS策略。
一個DPI應用profile中隻能引用一個IPS策略，如果重複配置，則新的配置會覆蓋已有配置。
(1) 進入係統視圖。
system-view
(2) 進入DPI應用profile視圖。
app-profile profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(3) 在DPI應用profile中引用IPS策略。
ips apply policy policy-name mode { protect | alert }
缺省情況下，DPI應用profile中未引用IPS策略。
當IPS的策略被創建、修改和刪除後，需要配置此功能使其策略配置生效。
配置此功能會暫時中斷所有DPI業務的處理，為避免重複配置此功能對DPI業務造成影響，請完成部署DPI各業務模塊的策略後統一配置此功能。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 激活IPS策略配置。
inspect activate
缺省情況下，IPS策略被創建、修改和刪除時不生效。
(1) 進入係統視圖。
system-view
(2) 進入安全策略視圖。
security-policy { ip | ipv6 }
(3) 進入安全策略規則視圖。
rule { rule-id | name name } *
(4) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(5) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
(1) 進入係統視圖。
system-view
(2) 進入對象策略視圖。
object-policy { ip | ipv6 } object-policy-name
(3) 在對象策略規則中引用DPI應用profile。
rule [ rule-id ] inspect app-profile-name
缺省情況下，在對象策略規則中未引用DPI應用profile。
(4) 退回係統視圖。
quit
(5) 創建安全域間實例，並進入安全域間實例視圖。
zone-pair security source source-zone-name destination destination-zone-name
有關安全域間實例的詳細介紹請參見“安全配置指導”中的“安全域”。
(6) 應用對象策略。
object-policy apply { ip | ipv6 } object-policy-name
缺省情況下，安全域間實例內不應用對象策略。
· 請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
· 當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響IPS業務的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。
· 自動在線升級（包括定期自動在線升級和立即自動在線升級）IPS特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得H3C官方網站的IP地址，並與之路由可達，否則設備升級IPS特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。
· 同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問H3C官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的IPS特征庫進行升級。
(1) 進入係統視圖。
system-view
(2) 開啟定期自動在線升級IPS特征庫功能，並進入自動在線升級配置視圖。
ips signature auto-update
缺省情況下，定期自動在線升級IPS特征庫功能處於關閉狀態。
(3) 配置定期自動在線升級IPS特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間自動升級IPS特征庫。
(4) （可選）開啟IPS特征文件自動覆蓋功能。
override-current
缺省情況下，設備定期自動在線升級IPS特征庫時會將當前的特征庫文件備份為上一版本。
當管理員發現H3C官方網站上的特征庫服務專區中的IPS特征庫有更新時，可以選擇立即自動在線升級方式來及時升級IPS特征庫版本。
(1) 進入係統視圖。
system-view
(2) 立即自動在線升級IPS特征庫。
ips signature auto-update-now
如果設備不能訪問H3C官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級IPS特征庫版本。
· 本地升級：使用本地保存的特征庫文件升級係統上的IPS特征庫版本。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統上的IPS特征庫版本。
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前主用主控板上，否則設備升級特征庫會失敗。（獨立運行模式）
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前全局主用主控板上，否則設備升級特征庫會失敗。（IRF模式）
(1) 進入係統視圖。
system-view
(2) 手動離線升級IPS特征庫。
ips signature update [ override-current ] file-path
IPS特征庫版本每次回滾前，設備都會備份當前版本。多次回滾上一版本的操作將會在當前版本和上一版本之間反複切換。例如當前IPS特征庫版本是V2，上一版本是V1，第一次執行回滾到上一版本的操作後，特征庫替換成V1版本，再執行回滾上一版本的操作則特征庫重新變為V2版本。
(1) 進入係統視圖。
system-view
(2) 回滾IPS特征庫。
ips signature rollback { factory | last }
當需要的IPS特征在設備當前IPS特征庫中不存在時，可通過編輯Snort格式的IPS特征文件，並將其導入設備中來生成所需的IPS特征。導入的IPS特征文件內容會自動覆蓋係統中所有的自定義IPS特征。
目前僅支持以Snort文件導入的方式生成自定義IPS特征，Snort文件需要遵循Snort公司的語法。
(1) 進入係統視圖。
system-view
(2) 導入自定義IPS特征。
ips signature import snort file-path
(1) 進入係統視圖。
system-view
(2) 刪除導入的所有導入的自定義IPS特征。
ips signature remove snort
完成上述配置後，在任意視圖下執行display命令可以顯示配置後IPS的運行情況，通過查看顯示信息驗證配置的效果。
表1-1 IPS顯示和維護
|
操作 |
命令 |
|
顯示IPS策略信息 |
display ips policy policy-name |
|
顯示IPS特征庫版本信息 |
display ips signature library |
|
顯示IPS特征屬性列表 |
display ips signature [ pre-defined | user-defined ] [ direction { any | to-client | to-server } ] [ category category-name | fidelity { high | low | medium } | protocol { icmp | ip | tcp | udp } | severity { critical | high | low | medium } ] * |
|
顯示指定IPS特征的詳細屬性 |
display ips signature { pre-defined | user-defined } signature-id |
|
顯示IPS自定義特征解析失敗的信息 |
display ips signature user-defined parse-failed |
如圖1-2所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現要求使用設備上的缺省IPS策略對用戶數據報文進行IPS防禦。
圖1-2 在安全策略中引用缺省IPS策略配置組網圖
(1) 配置各接口的IP地址（略）
(2) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(3) 配置對象組
# 創建名為ipsfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address ipsfilter
[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-ipsfilter] quit
(4) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用缺省IPS策略default，並指定該IPS策略的模式為protect。
[Device-app-profile-sec] ips apply policy default mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(5) 配置安全策略引用IPS業務
# 進入IPv4安全策略視圖
[Device] security-policy ip
# 創建名為ipsfilter的安全策略規則，過濾條件為：源安全域Trust、源IP地址對象組ipsfilter、目的安全域Untrust。動作為允許，且引用的DPI應用profile為sec。
[Device-security-policy-ip] rule name ipsfilter
[Device-security-policy-ip-10-ipsfilter] source-zone trust
[Device-security-policy-ip-10-ipsfilter] source-ip ipsfilter
[Device-security-policy-ip-10-ipsfilter] destination-zone untrust
[Device-security-policy-ip-10-ipsfilter] action pass
[Device-security-policy-ip-10-ipsfilter] profile sec
[Device-security-policy-ip-10-ipsfilter] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，使用缺省IPS策略可以對已知攻擊類型的網絡攻擊進行防禦。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-718)類型的攻擊報文經過Device設備時，Device會匹配該報文，並對報文按照匹配成功的IPS特征的動作（reset和logging）進行處理。
如圖1-3所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有組網需求如下：
· 將編號為2的預定義IPS特征的動作改為丟棄並進行報文捕獲和生成日誌。
· 禁用編號為4的預定義IPS特征。
· 使編號為6的預定義IPS特征生效。
圖1-3 在安全策略中引用自定義IPS策略配置組網圖
(1) 配置各接口的IP地址（略）
(2) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(3) 配置對象組
# 創建名為ipsfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address ipsfilter
[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-ipsfilter] quit
(4) 配置IPS策略
# 創建一個名稱為ips1的IPS策略，並進入IPS策略視圖。
[Device] ips policy ips1
# 配置IPS策略保護所有對象。
[Device-ips-policy-ips1] protect-target all
# 將編號為2的預定義IPS特征的狀態為開啟，動作為丟棄和捕獲報文，並生成日誌信息。
[Device-ips-policy-ips1] signature override pre-defined 2 enable drop capture logging
# 禁用編號為4的預定義IPS特征。
[Device-ips-policy-ips1] signature override pre-defined 4 disable
# 使編號為6的預定義IPS特征生效。
[Device-ips-policy-ips1] signature override pre-defined 6 enable
[Device-ips-policy-ips1] quit
(5) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用IPS策略ips1，並指定該IPS策略的模式為protect。
[Device-app-profile-sec] ips apply policy ips1 mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(6) 配置安全策略引用IPS業務
# 進入IPv4安全策略視圖
[Device] security-policy ip
# 創建名為ipsfilter的安全策略規則，過濾條件為：源安全域Trust、源IP地址對象組ipsfilter、目的安全域Untrust。動作為允許，且引用的DPI應用profile為sec。
[Device-security-policy-ip] rule name ipsfilter
[Device-security-policy-ip-10-ipsfilter] source-zone trust
[Device-security-policy-ip-10-ipsfilter] source-ip ipsfilter
[Device-security-policy-ip-10-ipsfilter] destination-zone untrust
[Device-security-policy-ip-10-ipsfilter] action pass
[Device-security-policy-ip-10-ipsfilter] profile sec
[Device-security-policy-ip-10-ipsfilter] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，在IPS策略ips1中可看到以上有關IPS策略的配置。
如圖1-4所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的IPS特征庫文件ips-1.0.8-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為ips和123。現需要手動離線升級IPS特征庫，加載最新的IPS特征。
圖1-4 手動離線升級IPS特征庫配置組網圖
(1) 配置各接口的IP地址（略）
(2) 配置安全策略保證Device與DMZ安全域之間互通
# 向安全域DMZ中添加接口GigabitEthernet1/0/3。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
# 進入IPv4安全策略視圖
[Device] security-policy ip
# 創建名為update的安全策略規則，過濾條件為：源安全域Local和DMZ、目的安全域DMZ和Local，動作為允許。
[Device-security-policy-ip] rule name update
[Device-security-policy-ip-11-update] source-zone local
[Device-security-policy-ip-11-update] source-zone dmz
[Device-security-policy-ip-11-update] destination-zone dmz
[Device-security-policy-ip-11-update] destination-zone local
[Device-security-policy-ip-11-update] action pass
[Device-security-policy-ip-11-update] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(3) 手動升級IPS特征庫
# 采用FTP方式手動離線升級設備上的IPS特征庫，且被加載的IPS特征庫文件名為ips-1.0.8-encrypt.dat。
[Device] ips signature update ftp://ips:[email protected]/ips-1.0.8-encrypt.dat
IPS特征庫升級後，可以通過display ips signature library命令查看當前特征庫的版本信息。
如圖1-5所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現要求每周六上午九點前後半小時內，定期自動在線升級設備的IPS特征庫。
圖1-5 定時自動升級IPS特征庫配置組網圖
(1) 配置各接口的IP地址（略）
(2) 配置設備解析H3C官方網站對應IP地址的域名解析功能（略）
(3) 配置安全策略保證Trust安全域的局域網用戶可以訪問Untrust安全域的Internet資源（略）
(4) 配置定期自動在線升級IPS特征庫
# 開啟設備自動升級IPS特征庫功能，並進入自動升級配置視圖。
<Device> system-view
[Device] ips signature auto-update
[Device-ips-autoupdate]
# 設置定時自動升級IPS特征庫計劃為：每周六上午9:00:00自動升級，抖動時間為60分鍾。
[Device-ips-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-ips-autoupdate] quit
設置的定期自動在線升級IPS特征庫時間到達後，可以通過display ips signature library命令查看當前特征庫的版本信息。
如圖1-6所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現要求使用設備上的缺省IPS策略對用戶數據報文進行IPS防禦。
圖1-6 在對象策略中引用缺省IPS策略配置組網圖
(1) 配置各接口的IP地址（略）
(2) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(3) 配置對象組
# 創建名為ipsfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address ipsfilter
[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-ipsfilter] quit
(4) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用缺省IPS策略default，並指定該IPS策略的模式為protect。
[Device-app-profile-sec] ips apply policy default mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(5) 配置對象策略引用IPS業務
# 創建名為ipsfilter的IPv4對象策略，並進入對象策略視圖。
[Device] object-policy ip ipsfilter
# 對源IP地址對象組ipsfilter對應的報文進行深度檢測，引用的DPI應用profile為sec。
[Device-object-policy-ip-ipsfilter] rule inspect sec source-ip ipsfilter destination-ip any
[Device-object-policy-ip-ipsfilter] quit
# 配置安全域間實例並應用對象策略，創建源安全域Trust到目的安全域Untrust的安全域間實例，並應用對源IP地址對象組ipsfilter對應的報文進行深度檢測的對象策略ipsfilter。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] object-policy apply ip ipsfilter
[Device-zone-pair-security-Trust-Untrust] quit
以上配置生效後，使用缺省IPS策略可以對已知攻擊類型的網絡攻擊進行防禦。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-718)類型的攻擊報文經過Device設備時，Device會匹配該報文，並對報文按照匹配成功的IPS特征的動作（reset和logging）進行處理。
如圖1-7所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有組網需求如下：
· 將編號為2的預定義IPS特征的動作改為丟棄並進行報文捕獲和生成日誌。
· 禁用編號為4的預定義IPS特征。
· 使編號為6的預定義IPS特征生效。
圖1-7 在對象策略中引用自定義IPS策略配置組網圖
(1) 配置各接口的IP地址（略）
(2) 創建安全域並將接口加入安全域
# 向安全域Trust中添加接口GigabitEthernet1/0/1。
<Device> system-view
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
# 向安全域Untrust中添加接口GigabitEthernet1/0/2。
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(3) 配置對象組
# 創建名為ipsfilter的IP地址對象組，並定義其子網地址為192.168.1.0/24。
[Device] object-group ip address ipsfilter
[Device-obj-grp-ip-ipsfilter] network subnet 192.168.1.0 24
[Device-obj-grp-ip-ipsfilter] quit
(4) 配置IPS策略
# 創建一個名稱為ips1的IPS策略，並進入IPS策略視圖。
[Device] ips policy ips1
# 配置IPS策略保護所有對象。
[Device-ips-policy-ips1] protect-target all
# 將編號為2的預定義IPS特征的狀態為開啟，動作為丟棄和捕獲報文，並生成日誌信息。
[Device-ips-policy-ips1] signature override pre-defined 2 enable drop capture logging
# 禁用編號為4的預定義IPS特征。
[Device-ips-policy-ips1] signature override pre-defined 4 disable
# 使編號為6的預定義IPS特征生效。
[Device-ips-policy-ips1] signature override pre-defined 6 enable
[Device-ips-policy-ips1] quit
(5) 配置DPI應用profile
# 創建名為sec的DPI應用profile，並進入DPI應用profile視圖。
[Device] app-profile sec
# 在DPI應用profile sec中應用IPS策略ips1，並指定該IPS策略的模式為protect。
[Device-app-profile-sec] ips apply policy ips1 mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(6) 配置對象策略引用IPS業務
# 創建名為ipsfilter的IPv4對象策略，並進入對象策略視圖。
[Device] object-policy ip ipsfilter
# 對源IP地址對象組ipsfilter對應的報文進行深度檢測，引用的DPI應用profile為sec。
[Device-object-policy-ip-ipsfilter] rule inspect sec source-ip ipsfilter destination-ip any
[Device-object-policy-ip-ipsfilter] quit
(7) 配置安全域間實例並應用對象策略
# 配置安全域間實例並應用對象策略，創建源安全域Trust到目的安全域Untrust的安全域間實例，並應用對源IP地址對象組ipsfilter對應的報文進行深度檢測的對象策略ipsfilter。
[Device] zone-pair security source trust destination untrust
[Device-zone-pair-security-Trust-Untrust] object-policy apply ip ipsfilter
[Device-zone-pair-security-Trust-Untrust] quit
以上配置生效後，在IPS策略ips1中可看到以上有關IPS策略的配置。
如圖1-8所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的IPS特征庫文件ips-1.0.8-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為ips和123。現需求手動離線升級IPS特征庫，加載最新的IPS特征。
圖1-8 基於對象策略手動離線升級IPS特征庫配置組網圖
(1) 配置各接口的IP地址（略）
(2) 配置安全域間實例保證Device與FTP服務器互通
# 配置ACL 2001，定義規則允許所有報文通過。
<Device> system-view
[Device] acl basic 2001
[Device-acl-ipv4-basic-2001] rule permit
[Device-acl-ipv4-basic-2001] quit
# 向安全域DMZ中添加接口GigabitEthernet1/0/3。
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
# 創建源安全域Local到目的安全域DMZ的安全域間實例，允許Local域用戶訪問DMZ域的報文可以通過。
[Device] zone-pair security source local destination dmz
[Device-zone-pair-security-Local-DMZ] packet-filter 2001
[Device-zone-pair-security-Local-DMZ] quit
# 創建源安全域DMZ到目的安全域Local的安全域間實例，允許DMZ域用戶訪問Local域的報文可以通過。
[Device] zone-pair security source dmz destination local
[Device-zone-pair-security-DMZ-Local] packet-filter 2001
[Device-zone-pair-security-DMZ-Local] quit
(3) 手動升級IPS特征庫
# 采用FTP方式手動離線升級設備上的IPS特征庫，且被加載的IPS特征庫文件名為ips-1.0.8-encrypt.dat。
[Device] ips signature update ftp://ips:[email protected]/ips-1.0.8-encrypt.dat
IPS特征庫升級後，可以通過display ips signature library命令查看當前特征庫的版本信息。
如圖1-9所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現要求每周六上午九點前後半小時內，定期自動在線升級設備的IPS特征庫。
圖1-9 基於對象策略定時自動升級IPS特征庫配置組網圖
(1) 配置各接口的IP地址（略）
(2) 配置設備解析H3C官方網站對應IP地址的域名解析功能（略）
(3) 配置對象策略保證Trust安全域的局域網用戶可以訪問Untrust安全域的Internet資源（略）
(4) 配置定期自動在線升級IPS特征庫
# 開啟設備自動升級IPS特征庫功能，並進入自動升級配置視圖。
<Device> system-view
[Device] ips signature auto-update
[Device-ips-autoupdate]
# 設置定時自動升級IPS特征庫計劃為：每周六上午9:00:00自動升級，抖動時間為60分鍾。
[Device-ips-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-ips-autoupdate] quit
設置的定期自動在線升級IPS特征庫時間到達後，可以通過display ips signature library命令查看當前特征庫的版本信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
