- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
03-IPS配置
本章節下載： 03-IPS配置 (456.57 KB)
目 錄
IPS（Intrusion Prevention System，入侵防禦係統）是一種可以對應用層攻擊進行檢測並防禦的安全防禦技術。IPS通過分析流經設備的網絡流量來實時檢測入侵行為，並通過一定的響應動作來阻斷入侵行為，實現保護企業信息係統和網絡免遭攻擊的目的。
IPS具有以下功能：
· 深度防護：可以檢測報文應用層的內容，以及對網絡數據流進行協議分析和重組，並根據檢測結果來對報文做出相應的處理。
· 實時防護：實時檢測流經設備的網絡流量，並對入侵活動和攻擊性網絡流量進行實時攔截。
· 全方位防護：可以對多種攻擊類型提供防護措施，例如蠕蟲、病毒、木馬、僵屍網絡、間諜軟件、廣告軟件、CGI（Common Gateway Interface）攻擊、跨站腳本攻擊、注入攻擊、目錄遍曆、信息泄露、遠程文件包含攻擊、溢出攻擊、代碼執行、拒絕服務、掃描工具、後門等。
· 內外兼防：對經過設備的流量都可以進行檢測，不僅可以防止來自企業外部的攻擊，還可以防止發自企業內部的攻擊。
設備基於IPS策略對報文進行IPS處理。IPS策略中定義了匹配報文的IPS特征和處理報文的IPS動作。
IPS特征用來描述網絡中的攻擊行為的特征，設備通過將報文與IPS特征進行比較來檢測和防禦攻擊。IPS特征包含多種屬性，例如攻擊分類、動作、保護對象、嚴重級別和方向等。這些屬性可作為過濾條件來篩選IPS特征，隻有篩選出的特征才能與報文進行匹配。
設備支持以下兩種類型的IPS特征：
· 預定義IPS特征：係統中的IPS特征庫自動生成。設備不支持對預定義IPS特征的內容進行創建、修改和刪除。
· 自定義IPS特征：包括Snort文件導入的Snort特征和用戶手工配置的自定義特征。管理員在設備上手工創建。通常新的網絡攻擊出現後，與其對應的攻擊特征會出現的比較晚一些。如果管理員已經掌握了新網絡攻擊行為的特點，可以通過自定義方式創建IPS特征，及時阻止網絡攻擊，否則，不建議用戶自定義IPS特征。
IPS動作是指設備對匹配上IPS特征的報文做出的處理。IPS處理動作包括如下幾種類型：
· 重置：通過發送TCP的reset報文斷開TCP連接。
· 重定向：把符合特征的報文重定向到指定的Web頁麵上。
· 源阻斷：阻斷符合特征的報文，並會將該報文的源IP地址加入IP黑名單。如果設備上同時開啟了IP黑名單過濾功能（由blacklist global enable開啟），則一定時間內（由block-period命令指定）來自此IP地址的所有報文將被直接丟棄；否則，此IP黑名單不生效。有關IP黑名單過濾功能的詳細介紹請參見“安全配置指導”中的“攻擊檢測與防範”，有關block-period命令的詳細介紹請參見“DPI深度安全”中的“應用層檢測引擎”。
· 丟棄：丟棄符合特征的報文。
· 放行：允許符合特征的報文通過。
· 捕獲：捕獲符合特征的報文。
· 生成日誌：對符合特征的報文生成日誌信息。
IPS處理流程如圖1-1所示：
圖1-1 IPS數據處理流程圖
IPS功能是通過在DPI應用profile中引用IPS策略，並在安全策略中引用DPI應用profile來實現的，IPS處理的具體實現流程如下：
(1) 設備識別應用層報文協議，並提取報文特征。
(2) 設備將提取的報文特征與IPS特征進行匹配，並進行如下處理：
¡ 如果報文未與任何IPS特征匹配成功，則設備對報文執行允許動作。
¡ 如果報文隻與一個IPS特征匹配成功，則根據此特征中指定的動作進行處理。
¡ 如果報文同時與多個IPS特征匹配成功，則根據這些動作中優先級最高的動作進行處理。動作優先級從高到低的順序為：重置 > 重定向 >丟棄 > 允許。但是，對於源阻斷、生成日誌和捕獲三個動作隻要匹配成功的特征中存在就會執行。
IPS特征庫是用來對經過設備的應用層流量進行病毒檢測和防禦的資源庫。隨著網絡攻擊不斷的變化和發展，需要及時升級設備中的IPS特征庫，同時設備也支持IPS特征庫回滾功能。
IPS特征庫的升級包括如下幾種方式：
· 定期自動在線升級：設備根據管理員設置的時間定期自動更新本地的IPS特征庫。
· 立即自動在線升級：管理員手工觸發設備立即更新本地的IPS特征庫。
· 手動離線升級：當設備無法自動獲取IPS特征庫時，需要管理員先手動獲取最新的IPS特征庫，再更新設備本地的IPS特征庫。
如果管理員發現設備當前IPS特征庫對報文進行檢測和防禦網絡攻擊時，誤報率較高或出現異常情況，則可以將其進行回滾到出廠版本和上一版本。
IPS功能需要購買並正確安裝License後才能使用。License過期後，IPS功能可以采用設備中已有的IPS特征庫正常工作，但無法升級到比當前版本高的特征庫。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。
IPS配置任務如下：
(1) 配置IPS策略
(3) （可選）激活IPS策略配置
(5) 配置IPS特征庫升級和回滾
(6) （可選）導入和刪除Snort特征
(7) （可選）配置自定義IPS特征
(8) （可選）配置IPS特征命中統計功能
(9) （可選）配置IPS白名單
缺省情況下，IPS策略將使用當前設備上所有處於生效狀態的IPS特征與報文進行匹配，並對匹配成功的報文執行IPS特征屬性中的動作。管理員可根據實際需求，在新建的IPS策略中，將IPS特征的屬性作為過濾條件，篩選出需要與報文進行匹配的IPS特征，並配置IPS特征動作。
(1) 進入係統視圖。
system-view
(2) 創建IPS策略，並進入IPS策略視圖。
ips policy policy-name
缺省情況下，存在一個缺省IPS策略，名稱為default，且不能被修改或刪除。
IPS策略將篩選出匹配所有已配置屬性的特征，如果屬性中配置了多個參數，則IPS特征至少需要匹配上其中一個參數，才表示匹配上該屬性。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置篩選IPS特征的屬性。
¡ 配置篩選IPS特征的保護對象屬性。
protect-target { target [ subtarget | all ] }
缺省情況下，IPS策略匹配所有保護對象的特征。
¡ 配置篩選IPS特征的攻擊分類屬性。
attack-category { category [ subcategory ] | all }
缺省情況下，IPS策略匹配所有攻擊分類的特征。
¡ 配置篩選IPS特征的動作屬性。
action { block-source | drop | permit | reset } *
缺省情況下，IPS策略匹配所有動作的特征。
¡ 配置篩選IPS特征的方向屬性。
object-dir { client | server } *
缺省情況下，IPS策略匹配所有方向的特征。
¡ 配置篩選IPS特征的嚴重級別屬性。
severity-level { critical | high | low | medium } *
缺省情況下，IPS策略匹配所有嚴重級別的特征。
¡ 配置篩選IPS特征的推薦狀態屬性。
status { disabled | enabled } *
缺省情況下，IPS策略匹配所有缺省推薦和不推薦使用的特征。
特征的推薦狀態屬性用於標識特征庫中缺省是否推薦使用該特征匹配報文。推薦狀態為enabled時，表示缺省推薦使用該特征；推薦狀態為disabled時，表示缺省不推薦使用該特征。
當管理員升級IPS特征庫後，希望將某個版本之後新增的特征篩選出來，置為非生效狀態（即不用於匹配報文）時，可通過本功能將該版本設置為基線版本，IPS策略會將所有在基線版本之上新增的特征設置為非生效狀態，僅使用基線版本的特征與報文進行匹配。
本功能可幫助用戶快速篩選出基線版本與當前版本之間有差異的特征，IPS策略將使用基線版本的特征與報文進行匹配，而不必回滾至基線版本的特征庫。
配置本功能後，如果希望將某個非生效狀態的特征調整為生效狀態、且其它特征狀態保持不變時，需要進行如下操作：
(1) 再次執行本命令，將基線版本調整至該特征所屬的特征庫版本。
(2) 在設備的Web界麵上，查看其它非生效狀態的特征ID。
(3) 執行signature override命令，將仍然需要保持非生效狀態的特征禁用。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置IPS特征庫版本基線。
signature version-baseline version-number
缺省情況下，未配置IPS特征庫版本基線。
缺省情況下，新建IPS策略執行特征屬性中的動作。管理員也可以根據實際網絡需求，為IPS策略中所有特征配置統一的動作，或者為指定的特征配置動作。
設備對以上動作執行的優先級為：IPS策略中為指定特征配置的動作 > IPS策略為所有特征配置的統一動作 > IPS特征自身屬性的動作。
若動作配置為logging，生成的日誌信息不會輸出到控製台和監視終端。如需獲取該日誌，可通過執行display logbuffer命令進行查看。有關display logbuffer命令的詳細介紹，請參見“網絡管理和監控命令參考”中的“信息中心”。
日誌信息中，真實源MAC地址（RealSrcMacAddr）和真實源目的MAC地址（RealDstMacAddr）字段僅當開啟跨三層MAC地址學習功能後顯示取值。有關跨三層MAC地址學習功能的詳細介紹，請參見“基礎配置指導”中的“跨三層MAC地址學習”。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置IPS策略中所有特征的統一動作。
signature override all { { block-source | drop | permit | redirect | reset } | capture | logging } *
缺省情況下，IPS策略執行特征屬性中的動作。
(4) （可選）修改IPS策略中指定特征的動作和生效狀態。
signature override { pre-defined | user-defined } signature-id { { disable | enable } [ { block-source | drop | permit | redirect | reset } | capture | logging ] * }
缺省情況下，預定義IPS特征使用係統預定義的狀態和動作，自定義IPS特征的動作和狀態在管理員導入的特征庫文件中定義。
缺省IPS策略中的IPS特征的動作屬性和生效狀態屬性不能被修改。
(5) 退回係統視圖。
quit
(6) （可選）配置IPS捕獲報文時緩存的報文數量。
ips capture-cache number
缺省情況下，未配置IPS捕獲報文時緩存的報文數量，設備不對報文進行緩存。
僅當配置了本命令後，設備才對IPS捕獲的報文進行緩存。報文緩存結束後，設備將所有緩存報文寫入IPS捕獲文件中，方便用戶分析威脅信息。
IPS動作中，源阻斷、捕獲和日誌僅在配置參數後生效，參數可通過如下方式配置：
· 配置全局動作參數：通過在係統視圖下配置IPS引用應用層檢測引擎動作參數profile實現，該方式配置的動作參數對所有IPS策略均生效。
· 配置策略動作參數：直接在各個IPS策略視圖下單獨配置各動作的執行參數。目前僅支持配置日誌動作參數。
· 如果IPS策略視圖下既配置了全局動作參數，又配置了策略動作參數，則以全局動作參數為準。
· 如果需要使策略動作參數生效，則必須保證全局動作參數處於未使能狀態。
· 建議在完成全局動作參數的配置之後，再使能全局動作參數。
(1) 進入係統視圖。
system-view
(2) 配置全局動作參數。
ips { block-source | capture | email | logging | redirect } parameter-profile parameter-name
缺省情況下，未配置全局動作參數。
引用的動作參數profile由應用層檢測引擎動作參數profile提供。如果引用的應用層檢測引擎動作參數profile不存在或沒有引用，則使用係統各類動作參數的缺省值。有關應用層檢測引擎動作參數profile的具體配置請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 配置日誌動作參數。
log { email | syslog }
缺省情況下，IPS日誌輸出方式為syslog。
(4) （可選）配置允許以郵件方式輸出日誌的最低嚴重級別。
email severity-level { critical | high | low | medium }
缺省情況下，允許以郵件方式輸出日誌的最低嚴重級別為low。
本命令僅當IPS日誌輸出方式為email時生效。僅當報文命中的IPS特征的嚴重級別不低於本命令配置的最低嚴重級別時，設備才會將生成的IPS日誌以郵件方式發送。
(5) （可選）引用郵件動作參數profile。
email parameter-profile parameter-profile-name
缺省情況下，未引用郵件動作參數profile。
僅當IPS日誌輸出方式為email時需要配置本命令。
引用的郵件動作參數profile由應用層檢測引擎郵件動作參數profile提供。有關應用層檢測引擎郵件動作參數profile的具體配置請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(6) 去使能全局動作參數。
undo global-parameter enable
缺省情況下，全局動作參數處於使能狀態。
DPI應用profile是一個安全業務的配置模板，為實現IPS功能，必須在DPI應用profile中引用指定的IPS策略。
一個DPI應用profile中隻能引用一個IPS策略，如果重複配置，則新的配置會覆蓋已有配置。
(1) 進入係統視圖。
system-view
(2) 進入DPI應用profile視圖。
app-profile profile-name
關於該命令的詳細介紹請參見“DPI深度安全命令參考”中的“應用層檢測引擎”。
(3) 在DPI應用profile中引用IPS策略。
ips apply policy policy-name mode { protect | alert }
缺省情況下，DPI應用profile中未引用IPS策略。
缺省情況下，當IPS策略發生配置變更時（即被創建、修改和刪除），係統將會檢測在20秒的間隔時間內是否再次發生了配置變更，並根據判斷結果執行如下操作：
· 如果間隔時間內未發生任何配置變更，則係統將在下一個間隔時間結束時（即40秒時）執行一次激活操作，使這些策略的配置生效。
· 如果間隔時間內再次發生了配置變更，則係統將繼續按照間隔時間周期性地檢測是否發生配置變更。
如果用戶希望對變更的配置立即進行激活，可執行inspect activate命令手工激活，使配置立即生效。
有關此功能的詳細介紹請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。
(1) 進入係統視圖。
system-view
(2) 激活IPS策略配置。
inspect activate
缺省情況下，IPS策略被創建、修改和刪除後，係統會自動激活配置使其生效。
執行此命令會暫時中斷DPI業務的處理，可能導致其他基於DPI功能的業務同時出現中斷。例如，安全策略無法對應用進行訪問控製等。
(1) 進入係統視圖。
system-view
(2) 進入安全策略視圖。
security-policy { ip | ipv6 }
(3) 進入安全策略規則視圖。
rule { rule-id | [ rule-id ] name rule-name }
(4) 配置安全策略規則的動作為允許。
action pass
缺省情況下，安全策略規則動作是丟棄。
(5) 配置安全策略規則引用DPI應用profile。
profile app-profile-name
缺省情況下，安全策略規則中未引用DPI應用profile。
· 請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
· 當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響IPS業務的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。
· 自動在線升級（包括定期自動在線升級和立即自動在線升級）IPS特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得官方網站的IP地址，並與之路由可達，否則設備升級IPS特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。
· 同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的IPS特征庫進行升級。
(1) 進入係統視圖。
system-view
(2) 開啟定期自動在線升級IPS特征庫功能，並進入自動在線升級配置視圖。
ips signature auto-update
缺省情況下，定期自動在線升級IPS特征庫功能處於關閉狀態。
(3) 配置定期自動在線升級IPS特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間自動升級IPS特征庫。
(4) （可選）開啟IPS特征文件自動覆蓋功能。
override-current
缺省情況下，設備定期自動在線升級IPS特征庫時會將當前的特征庫文件備份為上一版本。
當管理員發現官方網站上的特征庫服務專區中的IPS特征庫有更新時，可以選擇立即自動在線升級方式來及時升級IPS特征庫版本。
(1) 進入係統視圖。
system-view
(2) 立即自動在線升級IPS特征庫。
ips signature auto-update-now
如果設備不能訪問官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級IPS特征庫版本。
· 本地升級：使用本地保存的特征庫文件升級係統上的IPS特征庫版本。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統上的IPS特征庫版本。
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前主用設備上，否則設備升級特征庫會失敗。
如果管理員希望手動離線升級特征庫時發送給TFTP、FTP服務器的請求報文的源IP地址是一個特定的地址時，可配置source參數。例如，當組網環境中設備發出的報文需要經過NAT地址轉換後才能訪問TFTP、FTP服務器時，則需要管理員通過source參數指定一個符合NAT地址轉換規則的源IP地址（其中，如果設備需要經過一台獨立的NAT設備進行地址轉換時，本命令指定的IP地址必須可以與NAT設備三層路由可達），使設備發出的報文可以進行NAT地址轉換等處理，正常訪問TFTP、FTP服務器。
當同時配置了source和vpn-instance參數時，需要保證source中指定的源IP地址或接口所屬VPN實例與vpn-instance中配置的VPN實例相同。
(1) 進入係統視圖。
system-view
(2) 手動離線升級IPS特征庫。
ips signature update [ override-current ] file-path [ vpn-instance vpn-instance-name ] [ source { ip | ipv6 } { ip-address | interface interface-type interface-number } ]
IPS特征庫版本每次回滾前，設備都會備份當前版本。多次回滾上一版本的操作將會在當前版本和上一版本之間反複切換。例如當前IPS特征庫版本是V2，上一版本是V1，第一次執行回滾到上一版本的操作後，特征庫替換成V1版本，再執行回滾上一版本的操作則特征庫重新變為V2版本。
(1) 進入係統視圖。
system-view
(2) 回滾IPS特征庫。
ips signature rollback { factory | last }
開啟本功能後，當IPS特征庫升級或回滾成功時，設備將記錄特征庫變更的時間，並在每日按照配置的時間發送日誌。
目前，僅支持以快速日誌方式發送IPS特征庫更新日誌，配置本功能後，還需要配置IPS快速日誌使用國家電網格式（即配置customlog format dpi ips sgcc命令）並允許設備向指定的日誌主機發送IPS模塊的日誌（即配置customlog host命令）。有關快速日誌輸出功能的詳細介紹，請參見“網絡管理和監控命令參考”中的“快速日誌輸出”。
(1) 進入係統視圖。
system-view
(2) 開啟IPS特征庫更新日誌記錄功能並配置每日發送日誌的時間。
ips signature update-log send-time time
當需要的IPS特征在設備當前IPS特征庫中不存在時，可通過編輯Snort格式的IPS特征文件，並將其導入設備中來生成所需的IPS特征。導入的IPS特征文件內容會自動覆蓋係統中所有的Snort特征。
目前僅支持以Snort文件導入的方式生成自定義IPS特征，Snort文件需要遵循Snort公司的語法。
(1) 進入係統視圖。
system-view
(2) 導入自定義IPS特征。
ips signature import snort file-path
(1) 進入係統視圖。
system-view
(2) 刪除導入的所有Snort特征。
ips signature remove snort
當需要的IPS特征在設備當前IPS特征庫中不存在時，可通過手工配置方式自定義創建所需的IPS特征。
(1) 進入係統視圖。
system-view
(2) 創建自定義IPS特征，並進入自定義IPS特征視圖。
ips signature user-defined name signature-name
缺省情況下，不存在自定義IPS特征。
(3) （可選）配置自定義IPS特征的描述信息。
description text
特征具有多種屬性，包括動作、檢測方向、嚴重級別和特征下規則間的邏輯關係。
一個自定義特征下可以配置多條規則作為特征的匹配條件，如果規則間是邏輯與的關係，報文需要匹配該自定義特征的所有規則才結束匹配過程；如果規則間是邏輯或的關係，一旦報文與某條規則匹配成功就結束此匹配過程。
(1) 進入係統視圖。
system-view
(2) 進入自定義IPS特征視圖。
ips signature user-defined name signature-name
缺省情況下，不存在自定義IPS特征。
(3) 配置自定義IPS特征屬性。
¡ 配置自定義IPS特征的動作。
action { block-source | drop | permit | reset } [ capture | logging ] *
缺省情況下，自定義IPS特征的動作為permit。
¡ 配置自定義IPS特征的檢測方向。
direction { any | to-client | to-server }
缺省情況下，自定義IPS特征的檢測方向為any。
¡ 配置自定義IPS特征的嚴重級別。
severity-level { critical | high | low | medium }
缺省情況下，自定義IPS特征的嚴重級別為low。
¡ 配置自定義IPS特征下規則間的邏輯關係。
rule-logic { and | or }
缺省情況下，自定義IPS特征下規則間的邏輯關係為or。
設備支持以下兩種類型自定義IPS特征規則：
· 關鍵字類型
· 數值類型
規則下可以配置匹配條件以及檢查項。僅當報文與規則的匹配條件匹配成功後，才會對規則的檢查項進行檢測。
一條規則可以配多個檢查項，用於精確匹配報文中所需檢測的內容。檢查項之間為邏輯與的關係，匹配順序為配置順序，隻有所有檢查項都匹配成功，規則才算成功匹配。
觸發檢查項是同一規則下檢查項的觸發條件，隻有關鍵字類型自定義特征規則才需要配置觸發檢查項。如果一條規則的觸發檢查項匹配失敗，則該規則匹配失敗，不會再對該規則下的檢查項進行檢測。
· 檢查項僅檢測指定協議字段範圍內的數據。
· 配置檢查項匹配的協議字段時，建議依據HTTP協議中各協議字段順序進行配置，否則可能會影響設備的檢測結果。
· 對於關鍵字類型的自定義特征規則，在配置檢查項之前，必須先配置觸發檢查項。刪除觸發檢查項後，將一並刪除所有的檢查項。
· 可使用偏移量、檢測深度或者相對偏移量、相對檢測深度兩組參數精確定位檢測的起始和終止位置。其中，偏移量、檢測深度和相對偏移量、相對檢測深度兩組參數隻可配置一組。
(1) 進入係統視圖。
system-view
(2) 進入自定義IPS特征視圖。
ips signature user-defined name signature-name
(3) 創建自定義IPS特征規則，並進入自定義IPS特征規則視圖。
rule rule-id l4-protocol l4-protocol-name l5-protocol l5-protocol-name pattern-type { keyword | integer }
缺省情況下，不存在自定義IPS特征規則。
(4) 配置自定義IPS特征規則的匹配條件。
¡ 配置自定義IPS特征規則匹配的源IP地址。
source-address ip ip-address
缺省情況下，自定義IPS特征規則匹配所有源IP地址。
¡ 配置自定義IPS特征規則匹配的目的IP地址。
destination-address ip ip-address
缺省情況下，自定義IPS特征規則匹配所有目的IP地址。
¡ 配置自定義IPS特征規則匹配的源端口。
source-port start-port [ to end-port ]
缺省情況下，自定義IPS特征規則匹配所有源端口。
¡ 配置自定義IPS特征規則匹配的目的端口。
destination-port start-port [ to end-port ]
缺省情況下，自定義IPS特征規則匹配所有目的端口。
¡ 配置自定義IPS特征規則匹配的HTTP報文請求方法。
http-method method-name
缺省情況下，自定義IPS特征規則匹配所有HTTP報文請求方法。
(5) 配置關鍵字類型自定義IPS特征規則的觸發檢查項和檢查項。
a. 配置觸發檢查項。
trigger field field-name include { hex hex-string | text text-string } [ offset offset-value ] [ depth depth-value ]
b. 配置檢查項。
detection-keyword detection-id field field-name match-type { exclude | include } { hex hex-string | regex regex-pattern | text text-string } [ offset offset-value [ depth depth-value ] | relative-offset relative-offset-value [ relative-depth relative-depth-value ] ]
(6) 配置數值類型自定義IPS特征規則的檢查項。
detection-integer field field-name match-type { eq | gt | gt-eq | lt | lt-eq | nequ } number
本功能用於統計IPS策略中每個特征的命中次數，管理員可在設備的Web界麵查看統計數據。
(1) 進入係統視圖
system-view
(2) 進入IPS策略視圖。
ips policy policy-name
(3) 開啟IPS特征命中統計功能。
statistics signature-hit enable
缺省情況下，IPS特征命中統計功能處於關閉狀態。
當用戶通過查看IPS日誌發現存在誤報的情況時，可配置IPS白名單功能，將日誌中獲取到的特征ID、URL和源IP地址加入白名單，設備將放行匹配白名單的報文，降低誤報率。
當白名單表項中同時存在特征ID、URL和源IP地址中的兩者或以上時，需要同時匹配才認為匹配成功。
如果設備中開啟了真實源IP地址提取功能（即執行了inspect real-ip enable命令），則當設備提取到了真實源IP地址後，會使用真實源IP地址與白名單中的源IP地址進行匹配；如果未提取到真實源IP地址，則使用報文的源IP地址與白名單中的源IP地址進行匹配。
(1) 進入係統視圖。
system-view
(2) 開啟IPS白名單功能。
ips whitelist enable
缺省情況下，IPS白名單功能處於關閉狀態。
(3) 創建並進入IPS白名單表項視圖。
ips whitelist entry-id
(4) 配置IPS白名單描述信息。
description text
缺省情況下，未配置IPS白名單描述信息。
(5) 向IPS白名單表項中添加匹配信息。請至少選擇其中一項進行配置。
¡ 向IPS白名單表項中添加特征ID。
signature-id sig-id
缺省情況下，IPS白名單表項中不存在特征ID。
¡ 向IPS白名單表項中添加URL。
url match-type { accurate | substring } url-text
缺省情況下，IPS白名單表項不存在URL。
¡ 向IPS白名單表項中添加源IP。
source-address { ip ipv4-address | ipv6 ipv6-address }
缺省情況下，IPS白名單表項不存在源IP地址。
(6) 退回到係統視圖。
quit
(7) 激活IPS白名單配置。
ips whitelist activate
當創建、修改和刪除含有URL的IPS白名單後，需要執行本命令使其生效。
完成上述配置後，在任意視圖下執行display命令可以顯示配置後IPS的運行情況，通過查看顯示信息驗證配置的效果。
表1-1 IPS顯示和維護
|
操作 |
命令 |
|
顯示IPS策略信息 |
display ips policy policy-name |
|
顯示IPS特征庫版本信息 |
display ips signature library |
|
顯示IPS特征屬性列表 |
display ips signature [ pre-defined | user-defined { snort | user-config } ] [ direction { any | to-client | to-server } ] [ category category-name | fidelity { high | low | medium } | protocol { icmp | ip | tcp | udp } | severity { critical | high | low | medium } ] * |
|
顯示指定預定義IPS特征的詳細屬性 |
display ips signature pre-defined signature-id |
|
顯示指定自定義IPS特征的詳細屬性 |
display ips signature user-defined { snort | user-config } signature-id |
|
顯示IPS自定義特征解析失敗的信息 |
display ips signature user-defined parse-failed |
如圖1-2所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現要求使用設備上的缺省IPS策略對用戶數據報文進行IPS防禦。
圖1-2 在安全策略中引用缺省IPS策略配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置DPI應用profile並激活IPS策略配置
# 創建名為sec的DPI應用profile，在sec中引用名稱為default的缺省IPS策略，並指定該IPS策略的模式為protect。
[Device] app-profile sec
[Device-app-profile-sec] ips apply policy default mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(5) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網，並對交互報文進行IPS防禦。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，使用缺省IPS策略可以對已知攻擊類型的網絡攻擊進行防禦。比如GNU_Bash_Local_Memory_Corruption_Vulnerability(CVE-2014-7187)類型的攻擊報文經過Device設備時，Device會匹配該報文，並對報文按照匹配成功的IPS特征的動作（reset和logging）進行處理。
如圖1-3所示，Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現有組網需求如下：
· 將編號為2的預定義IPS特征的動作改為丟棄並進行報文捕獲和生成日誌。
· 禁用編號為4的預定義IPS特征。
· 使編號為6的預定義IPS特征生效。
圖1-3 在安全策略中引用自定義IPS策略配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置IPS策略
# 創建一個名稱為ips1的IPS策略，配置IPS策略保護所有對象、啟用編號為2的預定義IPS特征，並配置動作為丟棄、捕獲報文並記錄日誌、禁用編號為4的預定義IPS特征、啟用編號為6的預定義IPS特征。
[Device] ips policy ips1
[Device-ips-policy-ips1] protect-target all
[Device-ips-policy-ips1] signature override pre-defined 2 enable drop capture logging
[Device-ips-policy-ips1] signature override pre-defined 4 disable
[Device-ips-policy-ips1] signature override pre-defined 6 enable
[Device-ips-policy-ips1] quit
(5) 配置DPI應用profile並激活IPS策略配置
# 創建名為sec的DPI應用profile，在DPI應用profile sec中應用IPS策略ips1，並指定該IPS策略的模式為protect。
[Device] app-profile sec
[Device-app-profile-sec] ips apply policy ips1 mode protect
[Device-app-profile-sec] quit
# 激活IPS策略配置。
[Device] inspect activate
(6) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網，並對交互報文進行IPS檢測。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] profile sec
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
以上配置生效後，在IPS策略ips1中可看到以上有關IPS策略的配置。
如圖1-4所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源，以及DMZ安全域的FTP服務器。FTP服務器根目錄下保存了最新的IPS特征庫文件ips-1.0.8-encrypt.dat，FTP服務器的登錄用戶名和密碼分別為ips和123。現需要手動離線升級IPS特征庫，加載最新的IPS特征。
圖1-4 手動離線升級IPS特征庫配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
[Device] security-zone name dmz
[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3
[Device-security-zone-DMZ] quit
(4) 配置安全策略
¡ 配置安全策略規則放行Trust到Untrust安全域的流量，使內網用戶可以訪問外網資源
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
¡ 配置安全策略規則放行Trust到DMZ安全域的流量，使內網用戶可以訪問DMZ安全域中的服務器
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-dmz
[Device-security-policy-ip-11-trust-dmz] source-zone trust
[Device-security-policy-ip-11-trust-dmz] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-11-trust-dmz] destination-zone dmz
[Device-security-policy-ip-11-trust-dmz] action pass
[Device-security-policy-ip-11-trust-dmz] quit
¡ 配置安全策略規則放行設備與FTP服務器之間的流量，使設備可以訪問FTP服務器，獲取特征庫文件
[Device] security-policy ip
[Device-security-policy-ip] rule name ftplocalout
[Device-security-policy-ip-12-ftplocalout] source-zone local
[Device-security-policy-ip-12-ftplocalout] destination-zone dmz
[Device-security-policy-ip-12-ftplocalout] destination-ip-subnet 192.168.2.0 24
[Device-security-policy-ip-12-ftplocalout] application ftp
[Device-security-policy-ip-12-ftplocalout] application ftp-data
[Device-security-policy-ip-12-ftplocalout] action pass
[Device-security-policy-ip-12-ftplocalout] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(5) 手動升級IPS特征庫
# 采用FTP方式手動離線升級設備上的IPS特征庫，且被加載的IPS特征庫文件名為ips-1.0.8-encrypt.dat。
[Device] ips signature update ftp://ips:[email protected]/ips-1.0.8-encrypt.dat
IPS特征庫升級後，可以通過display ips signature library命令查看當前特征庫的版本信息。
如圖1-5所示，位於Trust安全域的局域網用戶通過Device可以訪問Untrust安全域的Internet資源。現要求每周六上午九點前後半小時內，開始定期自動在線升級設備的IPS特征庫。
圖1-5 定時自動升級IPS特征庫配置組網圖
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置DNS服務器地址
# 指定DNS服務器的IP地址為10.72.66.36，確保Device可以獲取到官網的IP地址，具體配置步驟如下。
[Device] dns server 10.72.66.36
(5) 配置安全策略
¡ 配置安全策略規則放行Trust到Untrust安全域的流量，使內網用戶可以訪問外網資源
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
¡ 配置安全策略規則放行Local到Untrust安全域的流量，使設備可以訪問官網的特征庫服務專區，獲取特征庫文件
[Device] security-policy ip
[Device-security-policy-ip] rule name downloadlocalout
[Device-security-policy-ip-11-downloadlocalout] source-zone local
[Device-security-policy-ip-11-downloadlocalout] destination-zone untrust
[Device-security-policy-ip-11-downloadlocalout] action pass
[Device-security-policy-ip-11-downloadlocalout] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(6) 配置定期自動在線升級IPS特征庫
# 設置定時自動升級IPS特征庫計劃為：每周六上午9:00:00前後30分鍾內開始自動在線升級。
[Device] ips signature auto-update
[Device-ips-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60
[Device-ips-autoupdate] quit
設置的定期自動在線升級IPS特征庫時間到達後，可以通過display ips signature library命令查看當前特征庫的版本信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
