联想网御防火墙PowerV-Web界面操作手册-3系统配置

网御防火墙PowerV Web网御防火墙PowerV Web界面操作手册联想集团 3-联想集团 3-#常运行一段时间后，当误报巳经减少到很低程度时再启用。有时FTP效劳器或DNS效劳器会引发扫描报警，这属于误报，可以调整扫描时间阈值或者将这些效劳器的IP地址添加到忽略扫描报警的地址列表中。有时在检测结果中会看到对外效劳器的IP出现在攻击者的源地址中，比方从对外效劳器的80端口到某个外部IP地址的高端口，报警信息为发现了403forbidden的特征字符串。这条报警信息并不意味着对外效劳器是攻击者，恰恰相反，正是由于某个外部IP通过防火墙向对外效劳器发起了非法的web请求，导致效劳器返回“403禁止访问”的信息，所以攻击者是外部IP地址主机。但是由于防火墙的自动响应功能只阻断检测结果中的源IP地址，因此为了确保效劳器不被阻断，最好将效劳器的IP地址放入忽略自动阻断的地址列表中。3.7.4扫描检测配置管理员点击“扫描检测配置〃，将扫描时间阈值由3分钟内发现5次端口连接调整为10秒钟内发现3次端口连接。如下列图所示。系貧配直＞〉入您检県*〉曰融整爲配宜图3-18扫描检测配置3.7.5自动响应配置管理员可以启用自动响应功能，并设置阻断时间为12秒。如下列图所示:系殖直〉，入溪检08»自4岫应配直图3-19自动响应功能设置完毕后，自动响应功能生效。一旦有触发检测规那么的可疑事件发生，出现在检测结果中的源IP地址立即被自动列入系统黑名单中，发起者的通信被防火墙阻断，可疑行为将无法继续进行下去。管理员可以自定义阻断时间〔以秒为单位），如果不填写时间，那么视为永远不解除阻断。去除已经阻断的IP地址，可以去除防火墙系统的所有已经阻断的IP地址，包括ids联动系统阻断的地址。注意:攻击者可以伪造地址进行攻击，所以开启改项功能有可能导致对被伪造IP的DOS攻击或网络通信异常，因此推荐一般情况下不要翻开此项功能。3.7.6检测结果管理员点击界面中的“检测结果〃，可以查看所有的入侵，页面如下所示。行号攻去书調口被攻击者目曲心乾口李群主黑Lriur1715:28:05LD.50ID.]BD—__朔口扌省报告鏈来自mm川1E。的扫捐行为|中2噸1715:33:1010.5010.160—浦口扫描报吿：1口60.iuL&正LiS-iaa洪宓主机既■C了公社扌排，其中兀定金点七JL谴接”中3Flar171533:1410.50.10.16C—____端口扫描报栏id-mi=r正亡进七扌建.山5白主机进行了4d沃扌3描.耳中TCPjSS4Dft,UHrSffioift中4侦1715:28:19LD.50ID.]BD—____的口扫描捆者10 101就正花逬行扌琳，对网白主就进有了晞扌as,其中我隠挂网冷，皿p连接瞅中5ribi-1715：33：2310.5010.160—--—浦口扫描反吿：1口si.iul&正Lia-TiaaEF台主机既■C了L_法扌瑞，其中兀禮接4琳，皿度接漱中6FlarIT1533:2610.E：U.10.16C—____關口扫描报*1。寸|。|=「正在进匸扌腰紹枷白主机进行了60次扌瓏，其中TC畦拯&嗽，颇连撤诙中7Har1715:28:32ID.50ID.]BD—____节口扫插布芒10 101就正芷逬行扌塑，对加咅主施进有了们樹王S,其中我斑甚4。房，皿荏接瞅中6Flar1715：ZS：36W.5010.160—希口扫描授吿：10S0.1UL&正匕进匸｝韭壬5台主机既■c了房蛆as,其中t玲ii/L用，jl上痘接一江中QFlarIT1533:4110.ELL10.16C—____端口扫捕报栏id-inI=r正巨进七扌尚.袒仲白主机进行了可没扌3描.其中TCPiSSBOrt,皿逐iffib茂中!□Flif1715:28:^15LD.50ID.]BD—__带口扫插报世10 10IW正茁讲行扌龔，闵4。台主机进冇了们农扌可5,其中我暗甚顿幻颐谆接瞅中[2]” 第项作顶跳转到\\可邑毎亜l]Qrl行哥图3-20检测结果3.8戸