深信服下一代防火墙AF 快速安装手册

#F后用该防护策喧向ip地址扫描防护阀｛S(packet/sJ: 4000『编口扫撤防护阀®(packet/s): 4000第三步：DOS/DDOS攻击防护类型，点击请选择防护类型进入攻击防护设置界面。选择目的服务器为［服务器组］,勾选下面的攻击检测，点击屈即可。页面如下:

第四步：勾选检测攻击后操作［记录口志］和［阻断］,［基于数据包攻击］和［异常报文侦测］不勾选。点击昭保存配置即可。页面如下：基于数据包攻击数据包攻击类请辫随护睡型：异京报文侦测IP协议报文选请潮防护建项：TCP协议报文请选锄丝型选项:检测攻击后操作旎滇日恙 P阻断提交 取消

外网助护1内同防护■1■新增X册臃/片用。禁用，上您■下移路移动碧刷新□序导名称描述策略举型攻击渡区域忧态□1防外网攻击面洪水攻击防护开启，扫描防护外网区第五步：「防火墙』f［DOS/DDOS防护」f『内网防护』，进入内网防护设置界面。选择源区域为［内网区］,选择仅允许内网服务器段和内网用户从源区域穿透设备。由于此处有三层交换机，所以选择［内部网络到本机通过三层交换机］。将服务器网段添加到排除列表。点击保吞|即可。页面如下：|外阿防护内网防护y启用内网防护y启用内网防护源区域：内网区谏地址过涯： ©允许任意源IP地妣的数据包通遇®仅允详以下IP地址教据包通过i//。内部网络到本机酒过三层交换设骨相连内网通过二层交换设督与本机直连（不跨/三层）融崛止设号以下1吁也址发起的攻击不会械拦截融崛止设号TCP最大连接教；最大攻击包次粉封谈咬击《寸间《分）：栓91攻击后法作/记录日志保存

32IPSIPS功能介绍入侵防御系统(IntrusionPreventionSystem)依靠对数据包的检测来发现对内网系统的潜在威胁。IPS将检查入网的数据包，确定这种数据包的真正用途，然后根据用户配置决定是否允许这种数据包进入目标区域网络。IPS典型配置案例某客户拓扑如下，防火墙路由模式部署。内网服务器区与用户区通过分别位于防火墙两个不同的接I】。客户希望利用ips功能即保护服务器，又保护客户端。第一步：首先要在I■网络配置」->r接【1/区域」，将防火墙三个接口划分到不同区域。本案例中，将ETH1定义成外网区，ETH2定义成DMZ区，ETH3「1定义成内网区。『对象定义」->HP组J将/24定义成服务器组，/24定义成内网用户，界面如F：

物理按口||子按口 VUiNffi口 区域|接口猊+新增X»希刷新□区域名称转发类型 按口列表 管理选项 管理地址□外因区 三层区域 ethl WebVI,ask,3nnp 全部□内瓯 三层叵域 00 WabVI,==k,=nnp 全部□DMZ区 三度区域 eth2 Weblll,ssKsnnp 全部+新增X®客刷新□序导名称881腰-1全部任意□地址，系统内置，不可煽罹或册阴X□2内网用户X□3扇备果狙X第二步：设置服务器保护，进入IPS设置处，点击西，设置好规则名称。源区域选择外网区，目的区域选择DMZ区，目的IP选择服务器组。界面如下:新增IPS X第三步：勾选［保护服务器］,并且选择相应规则。保护客户端不勾选。点击提交，保存即可。界面如下:

IPS送项|7保始服务器已迭：worm、n—twork_d『vice、database、I厂保护客户端已迭:worm、和e\backdoor、trojan、汩yww「检则攻击后操作动作: 。允注C拒绝①封锁IP： 厂联动封锁源IP日志： p记录第四步：设置客户端保护。进入IPS设置，点击西，设置好规则名称。源区域选择内网区，目的区域选择外网区，目的IP选择全部。界面如下：F启用第五步：勾选保护客户端，并且选择客户端漏洞。点击提交，保存规则即可。界面如下:

IPS送顶厂程拍月&务■器日说,worm、旭twork_ctevE、database,匕p保护喜户端已迭二收orm、file、backdoor、t「ojan、spywz「检刑攻击后操作动作： 「允在#拒绝①封锁ip： r联动封锁源ip日志： p记录dl由于攻击服务器和客户端使用的攻击手段不同，所以设置保护客户端与保护服务器的客户端漏洞和服务器漏洞规则也是不同的。2.一般情况下保护服务器源区域需要选择外网接口所属区域，目的区域选择内网接口所属区域。保护客户端源区域选择内网接口所属区域，目的选择外网接口所属区域。3.3.WEB应用防护WEB应用防护介绍WEB应用防护主要用于保护内网的WEB服务器免受各种攻击。是专门针对客户内网的WEB服务器设计的防攻击策略，可以防止OS命令注入、SQL注入、XSS攻击等各种针对WEB应用的攻击行为。WEB应用防护配置案例某客户拓扑如下，SANGFOR防火墙路由模式部署在网络出口，客户希望针对内网的WEB服务器群进行保护。包括针对WEB服务器的seiver字段和VIA字段隐藏，OS命令注入防护，SQL命令注入防护，XSS命令注入防护，CSRF命令注入防护，http://www***com/view/*此类含有view的URL全部允许,不需要进行防护，除此之外的其余URL都需要进行防护。客户内网服务器提供服务的端II包括WEB80和FTP21。

第一步：在设置策略之前，需要在I•网络配置』f『接「1/区域」定义好接口所属的【区域】。「对象定义』fHP组J定义好服务器所属的【IP组】。此案例中将需要将ETH2定义为［内网区］。ETH1定义为［外网区］o/24定义为［WEB服务器］。如图：*部雄X胴隆够刷新□序号名称咄陈■1全部任意I&也址，系统内置，不小信揖或明腕X□2内网用尸X□3WEE服务器X1接口/区域1 1瞬按口于接口电AN接口区域接口联动4■新增X册除#刷觐□区域名所转发莹型接口列表管理地址□三层区财ethZVebUIzsshzsnnp全部□外也三层区域ethlYebUI,ssh,snnp全部第二步：进入WEB应用防护界面，单击新增，填写规则名称。此案例中，服务器在内

网区，所以要防护攻击，源区域应该是外网。此处选择源区域为［外网区］。页面如下:新擂WEB应用防护P启用P启用第三步：此案例中，需要选择目的区域为内网区，目的IP为［web服务器］,端【I设置为WEB80和FTP21。其余端II默认即可。页面如下：第四步：设置服务器的防护类型，勾选所有的防护类型，页面如下:第四步：设置服务器的防护类型，勾选所有的防护类型，页面如下:选择WEB应用防护类型X筛选:显示全部Y||模糊搜索P已迭防护类型；1。个第五步：设置应用隐藏，该客户要求针对FTP服务器隐藏版本信息，针对HTTP服务器隐藏server字段，则设置如下图，点击瓯保存即可:安全甑置网站攻击防牯： 防护类率：SQL注入、XSS攻击、网页木马、网站丘捅、W…需要加强防护的皿列表应用隐藏： 17FTPFHTTP设置口令防护： rftp弱口令防护设置r口令累力破解防护设置第六步：勾选URL防护，点击设置，将view设置为允许，不进行检测。页面如下:URL防护设置+添加X删除，上移■下移□URL动作日志删除/view允许启用X确定 取消第七步：勾选检测攻击后动作为“拒绝”并记录日志。然后点击匣|保存规则，页面如下：检删攻击后揉作动作：「允许 G拒绝①封锁[P:r联动封锁涯ip日志：F记录告攀r发谖短信①X删除/启用。套用，上移劣下移卦移动落刷新□序号名掰 渡H域目的区成目的IP安全应顶状态SH除□1保护YEB服务器 外网区内同区YEB服务黑YEB网站隐藏,OS命令注入防护.✓X]w田应用防护第4章密码安全风险提示为了防止其他无关人员或恶意攻击者通过默认账号密码登录和更改设备配置，请修改NGAF设备登录的默认密码。SANGFORNGAF设备有三类密码：NGAF控制台登录密码NGAF内置数据中心登录密码SANGFOR设备升级系统的登录密码蚌其中NGAF内置数据中心的登录密码、SANGFOR设备升级系统的登录密码与控制台的登录密码一致，修改了控制台的登录密码，即同时修改了数据中心的登录密码和SANGFOR设备升级系统的登录密码。4.1