目  录

1 产品简介

1.1 产品概述

1.2 管理概述

1.3 登录系统

1.4 系统用户

2 基础配置向导

2.1 连接web管理界面或命令行

2.1.1 连接web管理界面

2.1.2 连接命令行

2.2 部署方式

2.2.1 检测模式配置

3 状态监控

3.1 概述

3.2 系统概况

3.3 攻击态势

3.4 资产状态

3.5 恶意IP

3.6 连接状态

4 检测配置

4.1 概述

4.2 全局配置

4.3 策略配置

4.4 资产配置

4.5 黑名单

4.5.1 IP黑名单

4.5.2 URL黑名单

4.6 白名单

4.6.1 IP白名单

4.6.2 URL白名单

4.7 规则过滤

5 威胁情报

5.1 概述

5.2 威胁情报配置

6 日志分析

6.1 概述

6.2 攻击日志

6.3 生成报表

6.4 Syslog配置

7 网络管理

7.1 网络接口

7.1.1 Port接口配置

7.1.2 Channel接口配置

7.1.3 网桥接口配置

7.1.4 Trunk接口配置

7.2 路由配置

7.3 策略路由

8 系统配置

8.1 概述

8.2 账户管理

8.2.1 密码修改

8.3 系统信息

8.3.1 时间管理

8.4 告警设置

8.5 DNS配置

8.6 SNMP配置

8.7 远程管理

8.8 端口设置

9 系统维护

9.1 许可证管理

9.1.1 许可证管理概述

9.1.2 许可文件配置步骤

9.2 备份恢复

9.3 在线升级

9.4 关机重启

9.5 恢复出厂

9.6 远程支持

9.7 诊断工具

9.7.1 Web Shell工具

9.7.2 tcpdump数据包下载

 

1 产品简介

1.1  产品概述

H3C SecCenter CSAP-WEB监测中心-僵木蠕检测引擎，是一个深入应用层（七层）的网络安全检测系统，采用电信级的多核并行处理架构，在对经过流量的报文进行深入七层实时解析的基础上，不仅可以做到对恶意代码、注入攻击及僵尸蠕虫木马等威胁的检测，还可以对DDoS攻击进行深度识别检测，是面向态势感知方案作全面输出的安全事件检测系统。

1.2  管理概述

Web管理界面为用户提供了更直观的人机交互方式，用户通过Web管理系统实现对僵木蠕检测引擎的管理和配置。

本章介绍了Web管理系统的基本信息，具体包括以下内容。

表1-1 管理系统概述

功能	描述
登录系统	介绍登录系统Web页面的方法 。
系统用户	介绍系统用户的类型及权限。
系统功能介绍	介绍系统每个模块的基本功能 。

1.3  登录系统

登录僵木蠕检测引擎的Web管理系统的步骤如下：

(1)     确认客户端主机可以和僵木蠕检测引擎正常通讯（如果通过防火墙，请将443端口打开）。

(2)     打开 IE浏览器，用HTTPS方式连接僵木蠕检测引擎的管理IP地址，例如https://192.168.1.100。

(3)     回车后弹出安全警报对话框，单击【是】，接受僵木蠕检测引擎许可证加密的通道。

(4)     在如图所示的登录界面中，选择登录系统使用的语言，输入正确的用户名和密码（初始用户名admin，密码admin）以及随机验证码，并单击【登录】，即可进入Web管理系统。

(5)     结束

用户可通过选择语言下拉框，选择界面语言，该操作不影响其他用户对系统的访问界面。

登录系统注意事项：

·     建议使用最新版本的浏览器，屏幕分辨率最好设置为1024×768及以上。

·     初次使用本系统时可用默认用户登录。

·     登录失败的原因有可能是：①用户名输入错误 ②密码输入错误 ③没区分大小写。

·     登录本系统之前，请检查浏览器是否设置了禁止弹出窗口属性；如果是，请撤销此设置。

1.4  系统用户

目前系统中的账户分为三类：

·     账户管理员

可以分配账号，预配置账户account。

·     配置管理员

可以配置系统，预配置账户admin。

·     审计管理员

可以查看审计日志，预配置账户audit。

account、admin和audit以及相关用户组用户的权限不同。系统用户的详细权限如下表。

表1-2 系统用户信息

用户		权限
账户管理员	account(缺省用户)	具有账户管理的权限。
	accountgroup（由account或属于accountgroup用户创建）	具有账户管理的权限。
配置管理员	admin(缺省用户)	超级管理员，具有配置系统的权限，可以查看审计日志。
	admingroup（由account或属于accountgroup用户创建）	具有配置系统的权限。
审计管理员	audit(缺省用户)	具有查看审计日志的权限。
	auditgroup（由account或属于accountgroup用户创建）	具有查看审计日志的权限。

使用缺省用户登录后，建议立即修改初始密码。

2 基础配置向导

2.1  连接web管理界面或命令行

配置、维护和管理僵木蠕检测引擎有两种方法：WebUI和CLI。

2.1.1  连接web管理界面

可以使用默认设置连接Web用户管理界面，默认设置见下表。

表2-1 Web用户界面连接设置

配置项	参数
URL	https://192.168.1.100
网络接口	port1
用户名	admin
密码	默认为admin，如果已修改使用修改后的密码

 

连接Web用户管理界面的步骤如下：

(1)     在管理计算机中配置静态IP地址：192.168.1.2，掩码为255.255.255.0；

(2)     使用以太网电缆将管理计算机的以太网端口连接到僵木蠕检测引擎设备的port1；

(3)     在管理计算机中启动浏览器并输入 URL：https://192.168.1.100；

(4)     输入用户名和密码登录Web用户管理界面。

在https://开头包括“S”。

2.1.2  连接命令行

可以使用默认设置通过SSH连接到CLI。

表2-2 SSH连接设置

配置项	参数
IP地址	192.168.1.100
网络接口	port1
SSH端口	22
用户名	admin
密码	admin

2.2  部署方式

2.2.1  检测模式配置

旁路检测模式通过离线部署，使用镜像接口将通过交换机的数据包镜像至僵木蠕检测引擎中，僵木蠕检测引擎对镜像数据包进行检测，并生成攻击日志。推荐网络拓扑如下图。

图2-1 旁路检测模式

 

配置步骤如下：

1. 交换机配置

ETH1、ETH3为被镜像接口

ETH2为镜像接口

2. 僵木蠕检测引擎配置

(1)     登录僵木蠕检测引擎的管理界面，选择“网络管理->网络接口-网桥接口”，新增网桥接口br2，管理IP为：192.168.7.201。

图2-2 编辑网络接口IP

 

(2)     选择“网络管理->网络接口-Port接口”，配置ETH0属于网桥接口br2。

图2-3 编辑Port接口

 

(3)     选择“防护配置->全局配置”，配置检测模式，部署模式为旁路。

图2-4 模式配置

 

(4)     选择“防护配置->策略配置”，手动配置基础信息。根据需求设置不同的检测模块。

图2-5 策略配置

 

图2-6 威胁情报策略配置

 

图2-7 网络层DDos检测策略配置

 

图2-8 HTTP层DDos检测策略配置

 

图2-9 僵木蠕检测引擎检测策略配置

 

(5)     选择“防护配置->资产配置”，手动配置资产信息。根据需求引用不同的策略。

图2-10 资产配置

 

资产配置参数详细说明如下：

表2-3 检测资产参数详细说明

功能	描述
IP地址	资产具体的IP地址或者网段
外部IP	检测资产公网IP地址
备注	自定义
策略名称	选择已经存在的检测规则

 

(6)     完成以上配置后即可形成检测，对攻击数据进行检测，可以选择“日志分析->攻击日志”可以查看攻击日志信息。

(7)     结束

3 状态监控

3.1  概述

登陆系统后默认进入状态监控的系统概况显示界面。

本章主要包括系统概况、攻击态势、资产状态、恶意IP、连接状态等。

表3-1 状态监控介绍

功能	描述
系统概况	显示系统的流量概况、攻击事件、安全情报事件、接口信息、连接数、设备硬件等信息。
攻击态势	显示流量统计表、攻击统计数据等信息。
资产状态	显示检测资产的TCP统计、UDP统计、ICMP统计、RAW-IP统计、HTTP统计、DNS统计信息。
恶意IP	显示恶意IP信息。
连接状态	显示设备实时的连接信息。

3.2  系统概况

系统概况主要是显示当前系统的基本信息，主要包括以下几项：

(1)     流量概况

点击“统计流量数值”，为当前通过设备的实时流量。

图3-1 实时流量

 

(2)     攻击事件

点击“攻击事件”可以直接跳转至攻击日志。

图3-2 攻击事件

 

(3)     攻击类型

图3-3 攻击类型

 

(4)     接口信息

显示设备的接口信息。

图3-4 接口信息显示

 

(5)     CPU、内存、硬盘信息

图3-5 CPU、内存、硬盘信息

 

(6)     危险等级

显示当前所有攻击中危险等级的分布

图3-6 危险等级

 

(7)     设备信息

图3-7 设备信息

 

3.3  攻击态势

攻击态势是“防护配置->策略配置”配置策略选择需要启用的防护，并在“资产配置”处引用已经存在的策略，在服务器或者僵木蠕设备遭受攻击时，方便用户及时掌握设备被攻击的情况，显示攻击事件，攻击等级、攻击统计数据（攻击源TOP5、攻击目标TOP5、攻击类型分布、攻击地域分布）等信息。

图3-8 攻击态势

 

(1)     查询

系统可以根据查询条件的设置显示对应的流量信息、攻击统计信息。查询条件包括时间、统计粒度。

图3-9 条件查询

 

(2)     攻击事件

图3-10 攻击事件

 

(3)     攻击统计数据

图3-11 攻击统计数据

 

3.4  资产状态

在“防护配置->策略配置”配置策略选择需要启用的防护，并在“资产配置”处引用已经存在的策略，在资产遭受到策略中已启用的攻击时，该页面会显示当前资产的TCP统计、UDP统计、ICMP统计、RAW-IP统计、HTTP统计、DNS统计信息。

图3-12 资产状态

 

3.5  恶意IP

在“防护配置->策略配置”配置策略选择需要启用的防护，并在“资产配置”处引用已经存在的策略，在资产遭受到策略中已启用的攻击时，显示恶意IP列表，包括IP地址、攻击目的IP、攻击类型、协议类型和封禁时间。

图3-13 恶意IP

 

3.6  连接状态

当僵木蠕设备启用某一功能（如SNMP）时，运用到的协议会显示当前活动连接信息，可以根据查询条件查询。

图3-14 连接状态

 

4 检测配置

4.1  概述

本章主要包括全局配置、策略配置、资产配置、黑名单、白名单，规则过滤。

表4-1 状态监控介绍

功能	描述
全局配置	配置检测模式和部署模式。
策略配置	配置具体需要检测的参数
资产配置	配置检测资产，并引用合适的策略。
黑名单	配置IP黑名单和URL黑名单。
白名单	配置IP白名单和URL白名单。
规则过滤	显示在攻击日志中被排除的规则具体信息和是否将这条规则重新添加回去

4.2  全局配置

系统支持旁路检测模式。

图4-1 旁路检测模式

 

4.3  策略配置

在策略配置页面可以配置被后面资产引用的具体的检测类型，只有被选中的检测类型才会在资产遭受攻击时，进行检测或者检测（资产支持网段及全网）。

图4-2 策略配置

 

4.4  资产配置

在资产配置页面中可以配置检测资产参数，只有配置的资产引用了策略，当该资产受到异常攻击时才能被僵木蠕检测到。

图4-3 资产配置

 

表4-2 检测资产详细配置说明

配置项	描述
IP地址	资产具体的IP地址或者网段
外部IP	检测资产公网IP地址
备注	自定义
策略名称	选择已经存在的检测规则

 

4.5  黑名单

4.5.1  IP黑名单

选择“防护配置->黑名单->IP黑名单”，进入IP黑名单管理界面，点击【增加】按钮，在弹出的增加黑名单对话框中可以配置IP黑名单：IP地址和子网掩码。已被配置成为ip黑名单的用户，在访问设备时，均会被僵木蠕检测到。

图4-4 IP黑名单配置

 

4.5.2  URL黑名单

选择“防护配置->黑名单->URL黑名单”，进入URL黑名单管理界面，点击【增加】按钮，在弹出的增加URL黑名单对话框中可以配置URL，对于已配置的URL，在被访问时，均会被僵木蠕检测到。

图4-5 URL黑名单

 

注：URL的一般语法格式为：

url:</path>

webhost:<protocol://hostname[:port]/path/[:parameters][?query]#fragment>

4.6  白名单

4.6.1  IP白名单

选择“防护配置->白名单->IP白名单”，进入IP白名单管理界面，点击【增加】按钮，在弹出的增加白名单对话框中可以配置IP白名单：IP地址和子网掩码。配置了ip白名单的源ip对设备进行攻击，僵木蠕不进行检测

图4-6 IP白名单

 

4.6.2  URL白名单

选择“防护配置->白名单->URL白名单”，进入URL白名单管理界面，点击【增加】按钮，在弹出的增加URL白名单对话框中可以配置URL。对配置了URL白名单的URL进行攻击，僵木蠕不进行检测

图4-7 URL白名单

 

注：URL的一般语法格式为：

url:</path>

webhost:<protocol://hostname[:port]/path/[:parameters][?query]#fragment>

4.7  规则过滤

系统支持的过滤目前只支持IPS防护策略中的规则，对于DDOS和情报中心的规则还不能做到排除。

需要先在攻击中选择自己需要排除的一条具体规则，然后点击细节，在细节中选择排除，对于排除后的规则，不再进行检测。

图4-8 日志细节

 

在规则过滤中勾选被过滤的规则，选择恢复规则，则这条规则就在引擎中生效，达到检测效果。

图4-9 规则过滤

 

5 威胁情报

5.1  概述

本章主要包括威胁情报配置，在开启威胁情报后，设备在能访问互联网的前提下， 连接到情报源，下载最新安全情报数据，对于匹配上情报源中的攻击规则时，会被僵木蠕检测到。

表5-1 威胁情报介绍

功能	描述
威胁情报配置	是否同步威胁情报数据库

5.2  威胁情报配置

是否从网络（在“网络管理->路由配置”处配置路由）中获取最新的安全情报数据，更新数据库，检测设备。

图5-1 威胁情报配置

 

6 日志分析

6.1  概述

本章主要包括攻击日志、系统日志、生成报表，syslog配置。

表6-1 状态监控介绍

功能	描述
攻击日志	查看DDoS攻击日志。
系统日志	查看系统的操作日志。
生成报表	生成各种文件类型的报表。
Syslog配置	配置接收syslog接受端的信息。

 

6.2  攻击日志

攻击日志主要用来记录攻击发生的日期和时间、攻击类型、协议类型、危险等级、源IP、源端口、目的IP、目的端口和区域，系统支持分页查看，并按照时间先后自动排序。

图6-1 攻击日志

 

条件查询

点击【条件】按钮可以设置查询条件查询攻击日志。

图6-2 条件查询

 

6.3  生成报表

生成报表主要用来将日志数据进行分析，处理生成PDF,HTML和WROD格式的文档，帮助用户快速定位风险状况、威胁来源、资产状态及解决方案。使用本产品能有效抵御黑客利用已知漏洞发起的攻击，过滤攻击行为和异常流量。僵木蠕默认开启日志记录功能，在“日志分析->攻击日志”处查询某一地域上的攻击信息（攻击类型、来源、次数等）是否和相同时间段内报表记录的攻击信息一致

图6-3 生成报表

 

报表配置说明

表6-2 报表配置介绍

功能	描述
用户自定义表头	报表中的标题。
时间	报表数据的起始时间和结束时间
报表类型	选择生成的文件类型。
报表导出	可以将选中的报表导出

6.4  Syslog配置

Syslog配置主要是用来配置接受syslog数据的接收端信息，此接收端可以收到字符串格式和JSON格式的攻击数据，接收端可以配置三个。

图6-4 Syslog配置

 

Syslog配置说明

表6-3 Syslog配置介绍

功能	描述
启用	选择是否启用这个功能。
类型	选择发送数据的格式，可以选择字符串格式或者JSON格式
Syslog服务器ip	设置syslog接受端的ip
Syslog服务器端口	设置syslog接受端的端口

 

7 网络管理

网络管理主要描述本设备的网络工作模式以及网络方面的配置方法。本章主要介绍Port接口，Channel接口，网桥接口，trunk接口，ARP和路由的配置方法。

表7-1 网络管理概述

功能	描述
网络接口	介绍Port，Channel，网桥和Trunk接口配置的方法。
静态路由	介绍静态路由配置的方法。
策略路由	介绍策略路由配置的方法。
ARP配置	介绍动态ARP和静态ARP的配置方法。

 

7.1  网络接口

7.1.1  Port接口配置

本系统的端口是普通的二层交换机端口模型，端口可以接收发送报文。端口是自动创建的，不能创建和删除。端口可以加入Channel或网桥接口，参见Channel和网桥部分说明。

配置Port接口的详细步骤如下：

(1)     选择“网络管理->网络接口->Port接口”,进入Port接口界面。

图7-2 Port接口界面

 

(2)     选择Port接口点击【编辑】按钮，弹出编辑Port接口界面。

图7-3 编辑Port接口

 

(3)     配置Port接口信息。

可以将Port接口设置为Channel接口或网桥接口中的一种，不能同时设置为Channel接口和网桥接口。

设置Channel接口或网桥接口为空，可以将Port接口从Channel接口或网桥接口中移除。

将Port接口从Channel接口中移除需要保证Channel接口处于启用状态或者未被网桥接口引用状态。

(4)     点击【保存】按钮保存配置。

(5)     结束

7.1.2  Channel接口配置

以太网通道(Ethernet Channel)也叫链路聚合、链路捆绑，它是一种将多条链路聚合成一个逻辑链路来使用的技术，可以灵活提高带宽。它逻辑上也是一个端口，可以接受发送报文，对上层业务是透明的。

配置Channel接口的详细步骤如下：

(1)     选择“网络管理->网络接口->Channel接口”,进入Channel接口界面。

图7-4 Channel接口界面

 

(2)     点击【增加】按钮，弹出编辑Channel接口界面。

图7-5 编辑Channel接口页面

 

(3)     编辑接口参数。

可以修改Channel接口状态，把Channel接口加入网桥接口中。

设置网桥接口设置网桥接口为none时可以将Channel接口从网桥接口中移除。

(4)     点击【保存】按钮保存配置。

(5)     结束

删除Channel接口的详细步骤如下：

(6)     选择“网络管理->网络接口->Channel接口”,进入Channel接口界面。

(7)     选择Channel接口，点击右上角的【删除】按钮，弹出确认对话框。

图7-6 删除确认对话框

 

(8)     点击【OK】按钮删除Channel接口。

(9)     结束

Channel接口不能在网桥接口中，否则无法删除。

7.1.3  网桥接口配置

虚拟局域网（Virtual Local Area Network 或简写Bridge）是对连接到第2层交换机端口的网络用户的逻辑分段的实现形式。为实现交换式以太网的广播隔离，一种理想的解决方案就是采用虚拟局域网技术。这种对连接到第2 层交换机端口的网络用户的逻辑分段技术实现非常灵活，它可以不受用户物理位置限制，根据用户需求进行Bridge划分。

一个Bridge相当于OSI 模型第2 层的广播域，它能将广播控制在一个 Bridge内部。而不同Bridge之间或 Bridge 与LAN/WAN的数据通讯必须通过第3 层（网络层）网关来完成。否则，即便是同一交换机上的端口，假如它们不处于同一个Bridge，正常情况下也无法进行数据通讯。

 Bridge可以为网络提供以下作用：

1.安全性 2.广播控制 3.带宽利用 4.延迟控制

 本系统的Bridge不光有2 层交换的功能，同时也有3 层路由的功能。每个Bridge都有一个网关可以配置IP地址和路由，这样就可以实现3 层路由功能。

配置网桥接口的详细步骤如下：

(1)     选择“网络管理->网络接口->网桥接口”,进入网桥接口界面。

图7-7 网桥接口界面

 

(2)     点击【增加】按钮，弹出编辑网桥接口页面。

图7-8 编辑网桥接口界面

 

(3)     编辑网桥接口参数。

在第一步的编辑界面中编辑网桥号和网桥状态。

网桥接口配置详细介绍如下表。

表7-2   网桥接口配置

配置项	描述
网桥号	输入数字设置网桥号名称，网桥号为1的为管理网桥，用户不能使用。
MTU	MTU为最大传输单元，默认值为1500。
模式	系统默认，不能进行修改。
状态	可以配置为启用和禁用。
STP	勾选，启用STP配置，避免网络环路的出现； 不勾选，禁用STP配置。

 

点击【下一步】按钮进入第二步编辑界面，可以在网桥上添加IP地址，支持ipv4和ipv6版本。

图7-9 编辑网桥接口第二步

 

编辑网桥时可以修改网桥状态、 MTU和IP地址。

(4)     点击【完成】按钮保存网桥接口配置。

(5)     结束

删除网桥接口的详细步骤：

(6)     选择“网络管理->网络接口->网桥接口”,进入网桥接口界面。

(7)     选中一个或者多个网桥接口点击【删除】按钮，弹出的确认对话框。

图7-10 删除确认对话框

 

(8)     点击【OK】删除网桥接口。

必须先移除所有Port接口、Channel接口和IP地址，否则无法删除。

(9)     结束

7.1.4  Trunk接口配置

Bridge Trunk(虚拟局域网中继技术)的作用是让连接在不同交换机上的主机互通。在Trunk接口中配置Trunk 来配合物理交换机的数据交互。

 配置Trunk接口的详细步骤如下：

(1)     选择“网络管理->网络接口->Trunk 接口”进入Trunk接口管理界面。

图7-11 Trunk接口管理界面

 

(2)     点击【增加】按钮，弹出增加Trunk 接口界面。

图7-12 增加Trunk接口界面

 

(3)     步骤3：编辑Trunk接口参数。

Trunk接口参数说明如下表。

表7-3 Trunk接口参数说明

配置项	描述
接口	选择Trunk接口使用的网桥接口。
VLAN标签	输入Trunk接口允许通过的Vlan编号。
模式	包括Port-Mode和Access-Mode两种模式。 Port-Mode：交换机之间或者交换机和上层设备之间的通信模式，用于干道链路。 Access-Mode：交换机上用来连接用户的模式，只用于接入链路。
状态	启用，启用Trunk接口； 禁用，禁用Trunk接口。

 

(4)     点击【下一步】，显示第二步编辑界面。

图7-13 编辑Trunk接口第二步

 

(5)     配置接口IP地址，支持ipv4和ipv6地址。

在第二步编辑界面中点击【增加】按钮弹出接口IP地址配置界面。

图7-14 配置接口IP地址

 

编辑IP地址参数。

点击【保存】保存IP地址配置。

(6)     点击【完成】按钮保存Trunk 接口配置。

(7)     结束

7.2  路由配置

路由就是通过互联的网络把信息从源地址传输到目的地址的活动。路由发生在OSI网络参考模型中的第三层即网络层。

路由引导报文传输，经过一些中间的节点后，到它们最后的目的地。路由通常根据路由表来引导报文传输，而路由表就是一个储存到各个目的地的最佳路径的转发表。每个路由的条目就是目的网络地址，下一跳网关。当有多个路由条目配置时，采用如下顺序选择路由：先选择子网掩码最长的，如果掩码相同则选择Metric最小的。Metric 表示本路由的管理距离，越大表示该路由越远。

路由配置的详细步骤如下：

(1)     选择“网络管理->路由配置”,进入路由配置界面。

图7-15 路由配置界面

 

(2)     点击【增加】按钮，弹出增加路由页面。

图7-16 增加路由

 

(3)     编辑路由参数。

路由配置详细介绍如下表：

表7-4 路由配置

配置项	描述
IP地址	路由的IP地址。
子网掩码	路由的子网掩码。
下一跳	路由的下一个点，对端直连路由器的接口地址。
Metric	Metric：跳数，跳数用于指出路由的成本，通常情况下代表到达目标地址所需要经过的跳跃数量，一个跳数代表经过一个路由器。 跳数越低，代表路由成本越低，优先级越高。

 

(4)     点击【保存】按钮保存路由配置。

(5)     结束

7.3  策略路由

策略路由（Policy Routing），也叫做基于策略的路由，是一种路由方案，它基于预定义的策略转发报文。这个策略可以是源地址/目的地址或其组合。

策略路由的配置步骤如下：

(1)     选择“网络管理->策略路由”,进入策略路由配置页面。

图7-17 策略路由配置界面

 

(2)     步骤2：点击【增加】按钮，弹出编辑策略路由页面。

图7-18 添加策略路由

 

(3)     配置路由参数。

策略路由配置详细说明见下表。

表7-5 策略路由配置

配置项	描述
索引	自定义索引号。
源地址	数据来源地址。
源子网掩码	数据来源子网掩码。
目的地址	数据发送的目的地址。
目的子网掩码	数据发送的目的子网掩码。
网关	路由器的IP地址。

 

索引号定义的是该规则在规则库的位置，最前面的先生效。如果索引是0 则插入到最后，如果是1 则插入到最前面，其它规则的索引后移，以此类推。

(4)     点击【保存】按钮保存策略路由配置。

(5)     结束

8 系统配置

8.1  概述

本章介绍了系统配置的常用操作内容和方法，具体内容如下。

表8-1 系统配置常用操作

功能	描述
账户管理	添加或编辑系统用户信息。
系统信息	配置系统基本信息和服务器日期时间。
告警设置	配置邮件告警的基础信息
DNS配置	配置外部DNS服务器。
SNMP配置	配置SNMP。
远程管理	增加和编辑远程许可管理信息。
端口设置	设置僵木蠕检测引擎的WebUI端口。

8.2  账户管理

选择“系统配置->账户管理”，进入账户管理页面。可以选择修改密码

8.2.1  密码修改

所有用户均有修改密码的权限。

选择“系统配置->账户管理->修改密码”，进入修改密码页面。修改密码必须输入正确的旧密码，如果旧密码输入错误，则不允许修改密码。修改密码成功后，将在下次登陆时要求输入新的密码。

旧密码：管理用户需要修改的密码。

新密码：管理用户设置的新密码。

确认新密码：重新输入新密码，确认一致性。

图8-1 修改密码

 

注意事项：请牢记修改后的密码，如果忘记系统密码，将不能登录系统。

8.3  系统信息

系统信息可以包括时间管理。时间管理提供手工设置系统的时间，也提供通过NTP协议同步系统时间。

8.3.1  时间管理

选择“系统配置->系统信息->日期和时间”进入系统时间管理界面，可以选择时间配置方式：手工配置和时间服务器配置。

1. 手工配置时间

手工配置时间的详细步骤如下：

(1)     选择“系统配置->系统信息->日期和时间”进入时间管理界面。

图8-2 手工配置时间

 

(2)     在时间管理界面中选择配置方式为手工配置。

(3)     输入具体日期和时间。

(4)     点击【保存】按钮保存配置。

(5)     结束

2. 时间服务器配置

NTP协议全称网络时间协议（Network Time Protocol）。NTP的目的是在国际互联网上传递统一、标准的时间。具体的实现方案是在网络上指定若干时钟源网站，为用户提供授时服务，并且这些网站间应该能够相互比对，提高准确度。

时间服务器配置步骤如下：

(1)     选择“系统配置->系统信息->日期和时间”进入时间管理界面。

图8-3 配置NTP服务器

 

(2)     选择配置方式为时间服务器。

(3)     配置NTP服务器参数。

(4)     点击【保存】按钮保存配置。

(5)     结束

调整周期类型包括：每月（每月1号6:52）、每日（每日6：25）、仅一次。

8.4  告警设置

选择“系统配置->告警设置”进入到邮件告警设置，可以配置发送邮件需要邮箱信息，配置成功以后将在接收到攻击以后，发送邮件到指定的邮箱。

图8-4 告警设置

 

8.5  DNS配置

选择“系统配置->DNS配置”进入DNS配置页面，可以配置设备的域名服务器。配置成功后，设备将使用所配置的域名服务器来解析域名。用户可以设置两个DNS服务器。一个是主DNS服务器，一个是备份DNS服务器。当主DNS服务器工作不正常，不能访问时，将会启动备份DNS服务器作为域名解析服务器。

图8-5 DNS配置

 

8.6  SNMP配置

简单网络管理协议（SNMP），由一组网络管理的标准组成，包含一个应用层协议（application layer protocol）、数据库模型（database schema），和一组资料物件。该协议能够支持网络管理系统，用以监测连接到网络上的设备是否有任何引起管理上关注的情况。该协议是互联网工程工作小组（IETF，Internet Engineering Task Force）定义的internet协议簇的一部分。

SNMP配置详细步骤如下。

(1)     选择“系统配置->SNMP配置”进入SNMP配置页面。

图8-6 SNMP配置

 

(2)     配置SNMP配置的启用状态以及详细配置参数。

SNMP配置详细参数说明见下表。

表8-2 SNMP配置说明

功能	描述
版本号	SNMP支持版本号。
联系信息	SNMP服务器联系信息。
系统信息	SNMP服务器的系统信息。
设备位置	SNMP服务器的设备位置。
团体名称	SNMP服务器的团体名称。
允许来源	允许客户端访问的IP。

 

(3)     点击【保存】按钮保存配置。

(4)     结束

8.7  远程管理

远程管理可以设置能对设备进行管理的IP网段。同时也可以设定允许访问的类型，如Web管理、Ping测试、SSH和WebShell。

选择“系统配置->远程管理”进入远程管理页面，可以增加、编辑和删除远程许可。

图8-7 远程管理

 

1. 增加远程许可信息

(1)     在远程管理页面中点击【增加】按钮，弹出增加新的远程许可IP地址界面。

图8-8 增加远程许可信息

 

(2)     输入远程许可信息。

远程许可信息参数说明见下表。

表8-3 远程许可信息说明

类型	描述
IP地址	远程访问的IP地址。
子网掩码	远程访问僵木蠕检测设备的IP网段的掩码。
是否允许SSH	勾选后允许上面设置的网段的客户端访问僵木蠕检测设备的SSH服务。
是否允许Web	勾选后允许上面设置的网段的客户端访问僵木蠕检测设备的Web服务。
是否允许Ping	勾选后允许上面设置的网段的客户端访问僵木蠕检测设备的Ping服务。

 

(3)     点击【保存】按钮保存配置。

2. 编辑远程许可信息

(1)     选择远程许可后点击【编辑】或直接双击远程许可，弹出编辑远程许可IP地址界面。

图8-9 编辑远程许可信息

 

(2)     修改远程许可信息。

(3)     点击【保存】按钮保存配置。

3. 删除远程许可信息

选择一个或多个远程许可后点击【删除】按钮删除远程许可。

8.8  端口设置

端口设置用于设置访问设备使用的端口号，详细配置步骤如下。

(1)     选择“系统配置->设置->端口设置”进入端口设置页面。

图8-10 端口设置

 

(2)     输入WebUI端口。

(3)     点击【保存】按钮保存配置。

(4)     修改端口后需要加上端口重新登录访问设备管理界面。

(5)     结束

9 系统维护

9.1  许可证管理

9.1.1  许可证管理概述

License是版权拥有者对产品使用者行为的一种约束和规定，一般定义了用户使用该产品的条件，License绑定了设备的序列号和型号信息。如果License所绑定的序列号与当前设备的序列号不匹配，则该License是不合法的，不可被使用。只有当本设备被上载License之后，用户才能对设备进行配置。

9.1.2  许可文件配置步骤

1. 生成许可文件配置步骤

(1)     选择“主页面->许可证管理->生成 许可请求”进入生成许可请求管理页面。

图9-1 生成许可文件

 

(2)     点击【生成】按钮生成许可请求文件，界面显示文件保存提示。

(3)     选择本地路径保存许可文件。

(4)     结束

2. 升级许可信息配置步骤

(1)     选择“主页面->许可证管理->升级许可信息”进入升级许可信息管理界面。

图9-2 升级许可信息

 

(2)     点击【选择】按钮进入License文件的目录下选择一个有效的许可文件（*.dat）。

(3)     点击【升级】按钮进行升级操作。

(4)     结束

请妥善保管License文件，不要遗失。如果没有 License文件激活系统，僵木蠕检测系统将不会进行安全检测工作而进入纯IP转发状态。如果您的License 是一个试用版的 License，请在 License有效期过后，向供应商购买正式版本License。否则License有效期过后，僵木蠕检测设备将仅仅作为一个网络转发设备存在，没有任何安全保护功能。

3. 当前系统许可信息查看

选择“主页面->许可证管理->当前系统许可信息”,查看基本许可信息，网络许可信息。

图9-3 当前系统许可信息

 

9.2  备份恢复

备份主要是针对设备配置文件的备份。建议用户定期对设备的配置信息进行备份，以供将来恢复系统配置时使用。另外备份数据还可以导入导出系统，这样增加了系统的可靠性。如果系统发生严重后果，那么客户的配置数据还可以在另外一台设备上恢复。

图9-4 备份恢复

 

9.3  在线升级

系统升级分两种方式：系统升级包升级和FTP升级。

1. 系统升级包升级

进入系统升级管理界面，点击【选择】按钮选择本地的升级包后点击【升级】按钮升级系统。

图9-5 系统升级

 

2. FTP升级

在外部设置好FTP服务器，并将升级包放在相应目录下后，在界面中输入FTP升级路径、FTP登录名和登录密码，点击【升级】按钮执行升级。

图9-6 FTP升级

 

规则库升级分两种方式：规则库升级包升级和FTP升级。

3. 规则库升级包升级

进入规则库升级管理界面，点击【选择】按钮选择本地的升级包后点击【升级】按钮升级规则库。

图9-7 规则库升级

 

4. FTP升级

在外部设置好FTP服务器，并将规则库升级包放在相应目录下后，在界面中输入FTP升级路径、FTP登录名和登录密码，点击【升级】按钮执行升级。

图9-8 FTP升级

 

9.4  关机重启

关机：选择“系统维护->关机重启->关机”进入关机页面，点击【确认】关闭设备。

图9-9 关机

 

重启：选择“系统维护->关机重启->重启”进入重启页面点击【确认】重启设备。

图9-10 重启

 

请确认保存所有配置后，再重新启动或者关闭设备。否则，之前未保存的配置将会丢失。

9.5  恢复出厂

选择“系统维护->恢复出厂”进入恢复出厂模式页面，点击【确认】可以将系统恢复出厂设置。

图9-11 恢复出厂模式

 

恢复出厂模式后，系统所有配置将丢失，并且无法恢复，如果不确定，请先备份系统以便恢复。

9.6  远程支持

当系统出现问题时，可以使用下面页面产生诊断信息，然后发送给技术支持人员进行分析。

图9-12 远程支持

 

9.7  诊断工具

9.7.1  Web Shell工具

Web Shell工具可以直接在web界面中使用cli命令。

选择“诊断工具->Web Shell工具”进入Web Shell工具管理界面。

图9-13 Web Shell工具

 

9.7.2  tcpdump数据包下载

选择“诊断工具->tcpdump数据包下载”进入tcpdump数据包下载界面，可以在设置协议类型、数据条目、接口和主机ip/域名等参数后，点击【确认】按钮下载数据包，点击【停止】按钮停止下载数据包，下载完毕的数据包会给出导出提示，可以根据提示信息导出数据包。

图9-14 tcpdump数据包下载