目  录

1 防病毒

1.1 防病毒简介

1.1.1 概述

1.1.2 应用场景

1.1.3 基本概念

1.1.4 防病毒数据处理流程

1.1.5 病毒特征库升级与回滚

1.2 防病毒配置任务简介

1.3 配置防病毒

1.3.1 配置防病毒策略

1.3.2 引用应用层检测引擎动作参数profile

1.3.3 在DPI应用profile中引用防病毒策略

1.3.4 激活DPI各业务模块的策略和规则配置

1.3.5 基于安全策略应用防病毒业务

1.3.6 配置病毒特征库升级和回滚

1.4 防病毒显示和维护

1.5 防病毒典型配置举例

1.5.1 应用缺省防病毒策略的典型配置举例

1.5.2 应用自定义防病毒策略的典型配置举例

1.5.3 手动离线升级病毒特征库典型配置举例

1.5.4 定时自动升级病毒特征库典型配置举例

1 防病毒

1.1  防病毒简介

1.1.1  概述

防病毒功能是一种通过对报文应用层信息进行检测来识别和处理病毒报文的安全机制。防病毒功能凭借庞大且不断更新的病毒特征库可有效保护网络安全，防止病毒在网络中的传播。将具有防病毒功能的设备部署在企业网入口，可以将病毒隔离在企业网之外，为企业内网的数据安全提供坚固的防御。目前，该功能支持对基于以下应用层协议传输的报文进行防病毒检测：

·     FTP（File Transfer Protocol，文件传输协议）

·     HTTP（Hypertext Transfer Protocol，超文本传输协议）

·     IMAP（Internet Mail Access Protocol，Internet邮件访问协议）

·     POP3（Post Office Protocol-Version 3，邮局协议的第3个版本）

·     SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）

1.1.2  应用场景

图1-1 防病毒典型应用场景

如图1-1所示，在如下应用场景中，隔离内网和外网的网关设备上需要部署防病毒策略来保证内部网络安全：

·     内网用户需要访问外网资源，且经常需要从外网下载各种应用数据。

·     内网的服务器需要经常接收外网用户上传的数据。

当在设备上部署防病毒策略后，正常的用户数据可以进入内部网络，携带病毒的报文会被检测出来，并被采取阻断、重定向或生成告警信息等动作。

1.1.3  基本概念

1. 病毒特征

病毒特征是设备上定义的用于识别应用层信息中是否携带病毒的字符串，由系统中的病毒特征库预定义。

2. 病毒例外

缺省情况下，设备对所有匹配病毒特征的报文均进行防病毒动作处理。但是，当管理员认为已检测到的某个病毒为误报时，可以将该病毒特征设置为病毒例外，之后携带此病毒特征的报文经过时，设备将对此报文执行允许动作。

3. 应用例外

缺省情况下，设备基于应用层协议的防病毒动作对符合病毒特征的报文进行处理。当需要对某应用层协议上承载的某一具体应用采取不同的动作时，可以将此应用设置为应用例外。例如，对HTTP协议采取的动作是允许，但是需要对HTTP协议上承载的游戏类应用采取阻断动作，这时就可以把所有游戏类的应用均设置为应用例外。

4. 防病毒动作

防病毒动作是指对符合病毒特征的报文做出的处理，包括如下几种类型：

·     告警：允许病毒报文通过，同时生成病毒日志。

·     阻断：禁止病毒报文通过，同时生成病毒日志。

·     重定向：将携带病毒的HTTP连接重定向到指定的URL，同时生成病毒日志。仅对上传方向有效。

其中，病毒日志支持输出到信息中心或以邮件的方式发送到指定的收件人邮箱。

1.1.4  防病毒数据处理流程

设备上部署防病毒策略后，对接收到的用户数据报文处理流程如图1-2所示：

图1-2 防病毒数据处理流程图

防病毒处理的整体流程如下：

(1)     如果报文匹配了规则（即安全策略规则），且引用了防病毒业务，则设备将继续识别此报文的应用层协议。有关安全策略规则的详细介绍请参见“安全配置指导”中的“安全策略”。

(2)     如果报文的应用层协议为防病毒功能所支持，则设备使用病毒特征库中的病毒特征对此报文进行匹配，否则不对其进行防病毒处理。

(3)     如果报文与病毒特征匹配成功，则进一步判断此病毒报文是否符合病毒例外，否则对其执行允许动作。

(4)     如果病毒报文符合病毒例外，则对此报文执行允许动作，否则继续判断其是否符合应用例外。

(5)     如果病毒报文符合应用例外，则执行应用例外的防病毒动作（告警、阻断和允许），否则执行所属应用层协议的防病毒动作（告警、阻断和重定向）。

1.1.5  病毒特征库升级与回滚

病毒特征库是用来对经过设备的报文进行病毒检测的资源库。随着互联网中病毒的不断变化和发展，需要及时升级设备中的病毒特征库，同时设备也支持病毒特征库回滚功能。

1. 病毒特征库升级

病毒特征库的升级包括如下几种方式：

·     定期自动在线升级：设备根据管理员设置的时间定期自动更新本地的病毒特征库。

·     立即自动在线升级：管理员手工触发设备立即更新本地的病毒特征库。

·     手动离线升级：当设备无法自动获取病毒特征库时，需要管理员先手动获取最新的病毒特征库，再更新设备本地的病毒特征库。

2. 病毒特征库回滚

如果管理员发现设备当前的病毒特征库对报文进行病毒检测的误报率较高或出现异常情况，可以将其回滚到出厂版本或上一版本。

1.2  防病毒配置任务简介

表1-1 防病毒配置任务简介

1.3  配置防病毒

1.3.1  配置防病毒策略

在防病毒策略中可以配置防病毒的检测条件、对病毒报文的处理动作、病毒例外和应用例外等。

设备上的所有防病毒策略均使用当前系统中的病毒特征库对用户数据进行病毒检测和处理。

表1-2 配置防病毒策略

1.3.2  引用应用层检测引擎动作参数profile

防病毒动作的具体执行参数（例如，邮件服务器的地址、输出日志的方式和对报文重定向的URL）由应用层检测引擎各动作参数profile来定义，可通过引用各动作参数proflle为防病毒动作提供执行参数。应用层检测引擎动作参数proflle的具体配置请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

如果防病毒没有引用应用层检测引擎动作参数profile，或者引用的动作参数profile不存在，则使用系统中各动作参数的缺省值。

表1-3 引用应用层检测引擎动作参数profile

1.3.3  在DPI应用profile中引用防病毒策略

DPI应用profile是一个安全业务的配置模板，为实现防病毒功能，必须在DPI应用profile中引用指定的防病毒策略。一个DPI应用profile中只能引用一个防病毒策略，如果重复配置，则新的配置会覆盖已有配置。

表1-4 在DPI应用profile中引用防病毒策略

1.3.4  激活DPI各业务模块的策略和规则配置

当DPI各业务模块的策略和规则被创建、修改和删除后，需要配置此功能使其策略和规则配置生效。

配置此功能会暂时中断DPI业务的处理，为避免重复配置此功能对DPI业务造成影响，请完成部署DPI各业务模块的策略和规则后统一配置此功能。

有关此功能的详细介绍请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

表1-5 激活DPI各业务模块的策略和规则配置

1.3.5  基于安全策略应用防病毒业务

表1-6 基于安全策略应用防病毒业务

1.3.6  配置病毒特征库升级和回滚

随着网络病毒攻击的不断变化和发展，管理员需要及时升级设备中的病毒特征库，同时设备也支持病毒特征库回滚功能。

1. 配置定期自动在线升级病毒特征库

如果设备可以访问H3C官方网站，可以采用定期自动在线升级方式来对设备上的病毒特征库进行升级。

表1-7 配置定期自动在线升级病毒特征库

2. 立即自动在线升级病毒特征库

当管理员发现H3C官方网站上的特征库服务专区中的病毒特征库有更新时，可以采用立即自动在线升级方式来及时升级病毒特征库版本。

表1-8 立即自动在线升级病毒特征库

3. 手动离线升级病毒特征库

如果设备不能访问H3C官方网站上的特征库服务专区，管理员可以采用如下几种方式手动离线升级病毒特征库版本。

·     本地升级：使用本地保存的特征库文件升级系统上的病毒特征库版本。特征库文件只能存储在当前主用设备上，否则设备升级特征库会失败。

·     FTP/TFTP升级：通过FTP或TFTP方式下载远程服务器上保存的特征库文件，并升级系统上的病毒特征库版本。

表1-9 手动离线升级病毒特征库

4. 回滚病毒特征库

病毒特征库版本每次回滚前，设备都会备份当前版本。多次回滚上一版本的操作将会在当前版本和上一版本之间反复切换。例如，当前病毒特征库版本是V2，上一版本是V1。第一次执行回滚到上一版本的操作后，特征库替换成V1版本，再执行回滚上一版本的操作则特征库重新变为V2版本。

表1-10 回滚病毒特征库

1.4  防病毒显示和维护

完成上述配置后，在任意视图下执行display命令可以显示配置后防病毒的运行情况，通过查看显示信息验证配置的效果。

表1-11 防病毒显示和维护

1.5  防病毒典型配置举例

1.5.1  应用缺省防病毒策略的典型配置举例

1. 组网需求

如图1-3所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现要求使用设备上的缺省防病毒策略对用户数据报文进行防病毒检测和防御。

2. 组网图

图1-3 应用缺省防病毒策略的配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置对象组

# 创建名为antivirus的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address antivirus

[Device-obj-grp-ip-antivirus] network subnet 192.168.1.0 24

[Device-obj-grp-ip-antivirus] quit

(4)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用缺省防病毒策略default，并指定该防病毒策略的模式为protect。

[Device-app-profile-sec] anti-virus apply policy default mode protect

[Device-app-profile-sec] quit

# 激活DPI各业务模块的策略和规则配置。

[Device] inspect activate

(5)     配置安全策略引用防病毒业务

# 进入IPv4安全策略视图

[Device] security-policy ip

# 创建名为antivirus的安全策略规则，过滤条件为：源安全域Trust、源IP地址对象组antivirus、目的安全域Untrust。动作为允许，且引用的DPI应用profile为sec。

[Device-security-policy-ip] rule name antivirus

[Device-security-policy-ip-10-antivirus] source-zone trust

[Device-security-policy-ip-10-antivirus] source-ip antivirus

[Device-security-policy-ip-10-antivirus] destination-zone untrust

[Device-security-policy-ip-10-antivirus] action pass

[Device-security-policy-ip-10-antivirus] profile sec

[Device-security-policy-ip-10-antivirus] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

4. 验证配置

以上配置生效后，使用缺省防病毒策略可以对已知攻击类型的网络攻击进行防御。

1.5.2  应用自定义防病毒策略的典型配置举例

1. 组网需求

如图1-4所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现有组网需求如下：

·     将编号为2的预定义病毒特征设置为病毒例外。

·     将名称为139Email的应用设置为应用例外。

2. 组网图

图1-4 应用自定义防病毒配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     创建安全域并将接口加入安全域

# 向安全域Trust中添加接口GigabitEthernet1/0/1。

<Device> system-view

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

# 向安全域Untrust中添加接口GigabitEthernet1/0/2。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)     配置对象组

# 创建名为antivirus的IP地址对象组，并定义其子网地址为192.168.1.0/24。

[Device] object-group ip address antivirus

[Device-obj-grp-ip-antivirus] network subnet 192.168.1.0 24

[Device-obj-grp-ip-antivirus] quit

(4)     配置防病毒功能

# 创建一个名称为antivirus1的防病毒策略，并进入防病毒策略视图。

[Device] anti-virus policy antivirus1

# 将编号为2的预定义病毒特征设置为病毒例外。

[Device-anti-virus-policy-antivirus1] exception signature 2

# 将名称为139Email的应用设置为应用例外，并设置其动作为告警。

[Device-anti-virus-policy-antivirus1] exception application 139Email action alert

[Device-anti-virus-policy-antivirus1] quit

(5)     配置DPI应用profile

# 创建名为sec的DPI应用profile，并进入DPI应用profile视图。

[Device] app-profile sec

# 在DPI应用profile sec中应用防病毒策略antivirus1，并指定该防病毒策略的模式为protect。

[Device-app-profile-sec] anti-virus apply policy antivirus1 mode protect

[Device-app-profile-sec] quit

# 激活DPI各业务模块的策略和规则配置。

[Device] inspect activate

(6)     配置安全策略引用防病毒业务

# 进入IPv4安全策略视图

[Device] security-policy ip

# 创建名为antivirus的安全策略规则，过滤条件为：源安全域Trust、源IP地址对象组antivirus、目的安全域Untrust。动作为允许，且引用的DPI应用profile为sec。

[Device-security-policy-ip] rule name antivirus

[Device-security-policy-ip-10-antivirus] source-zone trust

[Device-security-policy-ip-10-antivirus] source-ip antivirus

[Device-security-policy-ip-10-antivirus] destination-zone untrust

[Device-security-policy-ip-10-antivirus] action pass

[Device-security-policy-ip-10-antivirus] profile sec

[Device-security-policy-ip-10-antivirus] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

4. 验证配置

以上配置生效后，在防病毒策略antivirus1中可看到以上有关防病毒策略的配置。

1.5.3  手动离线升级病毒特征库典型配置举例

1. 组网需求

如图1-5所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源，以及DMZ安全域的FTP服务器。FTP服务器根目录下保存了最新的病毒特征库文件anti-virus-1.0.8-encrypt.dat，FTP服务器的登录用户名和密码分别为anti-virus和123。现需要手动离线升级病毒特征库，加载最新的病毒特征。

2. 组网图

图1-5 手动离线升级病毒特征库配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置安全策略保证Device与DMZ安全域之间互通

# 向安全域DMZ中添加接口GigabitEthernet1/0/3。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/3

[Device-security-zone-DMZ] quit

# 进入IPv4安全策略视图

[Device] security-policy ip

# 创建名为update的安全策略规则，过滤条件为：源安全域Local和DMZ、目的安全域DMZ和Local，动作为允许。

[Device-security-policy-ip] rule name update

[Device-security-policy-ip-11-update] source-zone local

[Device-security-policy-ip-11-update] source-zone dmz

[Device-security-policy-ip-11-update] destination-zone dmz

[Device-security-policy-ip-11-update] destination-zone local

[Device-security-policy-ip-11-update] action pass

[Device-security-policy-ip-11-update] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(3)     手动升级防病毒特征库

# 采用FTP方式手动离线升级设备上的病毒特征库，被加载的病毒特征库文件名为anti-virus-1.0.8-encrypt.dat。

[Device] anti-virus signature update ftp:// anti-virus:123@192.168.2.4/anti-virus-1.0.8-encrypt.dat

4. 验证配置

病毒特征库升级后，可以通过display anti-virus signature information命令查看当前特征库的版本信息。

1.5.4  定时自动升级病毒特征库典型配置举例

1. 组网需求

如图1-6所示，位于Trust安全域的局域网用户通过Device可以访问Untrust安全域的Internet资源。现要求每周六上午九点前后半小时内，定期自动在线升级设备的病毒特征库。

2. 组网图

图1-6 定时自动升级病毒特征库配置组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置设备解析H3C官方网站对应IP地址的域名解析功能（略）

(3)     配置安全策略保证Trust安全域的局域网用户可以访问Untrust安全域的Internet资源（略）

(4)     配置定期自动在线升级病毒特征库

# 开启设备自动升级病毒特征库功能，并进入自动升级配置视图。

<Device> system-view

[Device] anti-virus signature auto-update

# 设置定时自动升级病毒特征库计划为：每周六上午9:00:00自动升级，抖动时间为60分钟。

[Device-anti-virus-autoupdate] update schedule weekly sat start-time 9:00:00 tingle 60

[Device-anti-virus-autoupdate] quit

4. 验证配置

设置的定期自动在线升级病毒特征库时间到达后，可以通过display anti-virus signature information命令查看当前特征库的版本信息