整本手册

本章节下载 (673.86 KB)

整本手册

H3C SecCenter CSAP-WEB监测中心-僵木蠕检测引擎

典型配置举例

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 产品简介

互联网信息化的高速发展，也让网络安全事件愈演愈烈，整体呈现出隐蔽性高、潜伏期长、爆发突然且波及面广等特点，其中尤其以僵尸网络、木马、蠕虫病毒和DDoS攻击等威胁事件影响最为严重，在带来网络安全风险的同时也造成了巨大的社会经济损失。近几年频繁爆发的勒索病毒WannaCRY、MemcachedDrDoS等，均在短时间内造成了大面积的危害，如何全面及时的对这类事件进行检测已经成为迫切的需求。

H3C SecCenter CSAP-WEB监测中心-僵木蠕检测引擎是面向态势感知场景设计，从被动检测的角度出发，作为WEB监测中心的数据检测引擎之一，提供对僵尸网络、木马、蠕虫病毒及DDoS攻击的旁路检测与发现能力。引擎包含了Web攻击、远程注入、木马蠕虫、网络扫描、恶意代码、可疑文件、破取用户权限及拒绝服务等多种类型的攻击检测方式，并具备标准的结构化事件输出方式，可配合WEB监测中心形成完整的安全态势监控体系。

2 典型应用

2.1 旁路部署

H3C SecCenter CSAP-WEB监测中心-僵木蠕检测引擎旁路方式部署在内网交换机旁，提供监听检测服务。

图2-1 旁路部署应用组网图

3 网络管理

3.1 网络接口

admin用户登录，在主页面选择：网络管理>网络接口

该功能用于配置僵木蠕检测引擎的网桥配置、PORT配置。

(1) 选择网络管理>网络接口>网桥接口，进入网桥配置，默认有MngtBridge，默认IP地址为192.168.1.100（管理地址），选择默认网桥，再点编辑可在MngtVlan中新增IP地址。点击增加可添加网桥，每个网桥最多支持配置8个IP地址。点击删除可删除当前网桥。

图3-1 网桥配置

图3-2 添加IP地址

图3-3 新增加网桥

表3-1 网桥配置参数

参数	说明
网桥号	网桥的名称
IP地址/掩码	网桥的IP地址、掩码
状态	设置网桥接口的启用或禁用
IP增加/删除	对网桥IP做删除或编辑的操作
网桥操作	对网桥进行编辑、增加或删除操作

(2) 选择网络管理>网络接口>port接口，进入port接口配置界面，选择接口进行编辑，划分到新建的网桥中。

图3-4 路由配置

表3-2 port接口说明

参数	说明
网桥接口	Port接口划分到对应的网桥中
启用状态	启用或禁用

3.2 系统配置

admin用户登录，在主页面选择：系统配置>DNS配置

该功能用于配置僵木蠕检测引擎的DNS配置

图3-5 DNS配置

4 任务配置

本章介绍任务策略的相关配置。

4.1 全局配置

全局配置功能主要用于配置僵木蠕检测引擎的工作模式

在主页面选择:防护配置 > 全局配置，防护模式选择检测模式，部署模式选择旁路，点击保存。

图4-1 全局配置

表4-1 录入参数说明

配置信息	说明
防护模式	配置防护模式为检测模式
部署模式	配置部署模式为旁路模式

4.2 策略配置

4.2.1 检测策略配置

策略配置功能主要用于配置僵木蠕检测引擎的预定义检测策略，配置检测任务时可以调用配置好的策略。

在主页面选择:防护配置 >策略配置

(1) 点击新增>填写策略名称

图4-2 策略名称配置

(2) 点击网络层DDoS防护>勾选启用规则

图4-3 网络层DDoS防护功能

表4-2 增站点

参数	说明
策略名称	配置策略名称
威胁情报	选择要开启规则
网络层DDoS防护	选择要开启规则
HTTP层DDoS防护	选择要开启规则
IPS防护	选择要开启规则