选择区域语言: EN CN HK

10-安全配置指导

15-攻击检测与防范配置

本章节下载  (104.84 KB)

docurl=/cn/Service/Document_Software/Document_Center/Switches/Catalog/S12500/S12500/Configure/Operation_Manual/H3C_S12500_CG-R7374-6W732/10/201505/868944_30005_0.htm

15-攻击检测与防范配置


1 攻击检测及防范

1.1  攻击检测及防范简介

攻击检测及防范是一个重要的网络安全特性,它通过分析经过设备的报文的内容和行为,判断报文是否具有攻击特征,并根据配置对具有攻击特征的报文执行一定的防范措施,例如输出告警日志、丢弃报文、加入黑名单或客户端验证列表。

设备仅支持TCP分片攻击防范功能。

1.2  TCP分片攻击防范

设备的包过滤功能一般是通过判断TCP首个分片中的五元组(源IP地址、源端口号、目的IP地址、目的端口号、传输层协议号)信息来决定后续TCP分片是否允许通过。RFC1858对TCP分片报文进行了规定,认为TCP分片报文中,首片报文中TCP报文长度小于20字节,或后续分片报文中分片偏移量等于8字节的报文为TCP分片攻击报文。这类报文可以成功绕过上述包过滤功能,对设备造成攻击。

为防止这类攻击,可以在设备上配置TCP分片攻击防范功能,对TCP分片攻击报文进行丢弃。

设备暂不支持过滤首片报文中长度小于20字节的TCP报文。

1.3  配置TCP分片攻击防范

说明

·     仅EC1、EF和FG类单板支持TCP分片攻击防范功能,且必须先配置acl hardware-mode ipv6 enable命令,本功能才能生效有关acl hardware-mode ipv6 enable命令的介绍,请参见“ACL和QoS命令参考”中的“ACL。本文中提到的EC1、EF和FG类单板指的是丝印后缀分别为EC1、EF和FG类的单板。

 

表1-1 配置TCP分片攻击防范

操作

命令

说明

进入系统视图

system-view

-

配置TCP分片攻击防范功能

attack-defense tcp fragment enable

缺省情况下,TCP分片攻击防范功能处于开启状态

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!