- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
04-应用层检测引擎配置
本章节下载： 04-应用层检测引擎配置 (367.02 KB)
应用层检测引擎服务于DPI业务模块，用于对报文的应用层信息（应用层协议以及应用行为）进行统一识别。DPI业务模块使用应用层检测引擎提供的识别结果，对报文进行相应的业务处理。
应用层检测引擎提供以下基本功能：
· 协议解析：识别并分析报文应用层字段，区分应用层协议，并对部分字段进行正规化和解压缩。
· 关键字匹配：根据检测规则对报文载荷内容进行关键字匹配，是应用层检测引擎的核心。
· 选项匹配：关键字匹配成功后，对其所属检测规则中的选项做进一步匹配。该过程与关键字匹配相比，匹配速度比较缓慢。
应用层检测引擎使用检测规则对报文进行匹配，检测规则由各DPI业务的规则或特征转换而成，包含关键字和选项两种匹配项。
· 关键字：标识报文特征的不少于3个字节的字符串，也称作“AC关键字”。
· 选项：非关键字的辅助匹配项，例如报文的端口号、协议类型等。
检测规则中可以同时包含关键字和选项，或者仅包含选项。如果检测规则中同时包含关键字和选项，则两者都被匹配上才算是与该检测规则匹配成功；如果检测规则中仅包含选项，则只要匹配选项就算与该检测规则匹配成功。
如图1-1所示，应用层检测引擎的具体工作机制如下：
应用层检测引擎的处理机制如下：
(1) 报文进入应用层检测引擎后，应用层检测引擎首先对报文进行协议解析，根据分析结果查找相应的检测规则。
(2) 应用层检测引擎判断检测规则中是否包含关键字，如果包含关键字，则首先进行关键字匹配，否则直接进行选项匹配。
(3) 如果报文匹配上关键字，则继续进行选项匹配（该选项是匹配上的关键字所属检测规则中的选项）；如果报文未匹配上关键字，则直接允许报文通过。
(4) 如果报文与选项匹配成功，则表示此报文与该检测规则匹配成功。
(5) 应用层检测引擎通知相应的DPI业务模块对此报文做进一步的处理；如果报文与选项匹配失败，则直接允许报文通过。
应用层检测引擎配置任务如下：
(1) 配置DPI应用Profile
(3) （可选）配置应用层检测引擎动作参数
(4) （可选）优化应用层检测引擎性能
(5) （可选）配置应用层检测引擎检测参数
(6) （可选）配置真实源IP地址提取功能
(7) （可选）关闭应用层检测引擎功能
DPI应用profile是DPI业务的配置模板，用于关联各DPI业务的策略（例如IPS业务）。DPI应用profile被安全策略规则引用后，各DPI业务策略才能生效。
(1) 进入系统视图。
system-view
(2) 创建DPI应用profile视图，并进入DPI应用profile视图。
app-profile profile-name
(3) 关联各DPI业务策略。
¡ 在DPI应用profile中引用IPS策略。
ips apply policy policy-name mode { protect | alert }
关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“IPS”。
¡ 在DPI应用profile中引用防病毒策略。
anti-virus apply policy policy-name mode { alert | protect }
关于该命令的详细介绍请参见“DPI深度安全命令参考”中的“防病毒”。
缺省情况下，未关联DPI业务策略。
当DPI业务模块（比如IPS业务）的策略和规则被创建、修改和删除后，有以下方式可以使得这些策略和规则的配置生效：
· 保存配置后重启设备
· 执行inspect activate命令
(1) 进入系统视图。
system-view
(2) 激活DPI业务模块的策略和规则配置。
inspect activate
缺省情况下，DPI业务模块的策略和规则被创建、修改和删除时不生效。
执行此命令会暂时中断DPI业务的处理，可能导致其他基于DPI功能的业务同时出现中断。例如，安全策略无法对应用进行访问控制等。
源阻断动作参数profile用来为DPI业务模块的源阻断动作提供动作参数，在此profile中可以配置报文被阻断的时长。
本功能仅在开启黑名单过滤功能后生效。如果设备上开启了黑名单过滤功能，则在源阻断动作参数profile中配置的阻断时长内，来自该源IP地址的报文将被直接丢弃，不再进入应用层检测引擎中检测。
有关黑名单过滤功能的详细介绍，请参见“安全配置指导”中的“攻击检测与防范”。
(1) 进入系统视图。
system-view
(2) 创建应用层检测引擎的源阻断动作参数profile，并进入该源阻断动作参数profile视图。
inspect block-source parameter-profile parameter-name
(3) 配置报文源IP地址被阻断的时长。
block-period period
缺省情况下，报文源IP地址被阻断的时长为1800秒。
捕获动作参数profile用来为DPI业务模块的捕获动作提供动作参数，在此profile中可以配置捕获报文的最大字节数、捕获报文的上传时间和URL地址参数。
捕获到的报文将被缓存到设备本地，并在以下任意条件满足的情况下被上传到指定的URL上：
· 缓存的报文字节数达到指定上限值时；
· 当天指定的上传时间到达时
上传到指定的URL之后，系统将清空本地缓存，然后重新开始捕获报文。
(1) 进入系统视图。
system-view
(2) 创建应用层检测引擎的捕获动作参数profile视图，并进入该捕获动作参数profile视图。
inspect capture parameter-profile parameter-name
(3) 配置捕获报文的最大字节数。
capture-limit kilobytes
缺省情况下，捕获报文的最大字节数为512千字节。
(4) 配置每天定时上传捕获报文的时间。
export repeating-at time
缺省情况下，每天凌晨1点定时上传捕获报文。
(5) 配置上传捕获报文的URL地址。
export url url-string
缺省情况下，未配置上传捕获报文的URL地址。
日志动作参数profile用来为DPI业务模块的日志动作提供动作参数，此profile中可以配置日志的输出方式和输出语言。
配置记录IPS日志使用的语言为中文后，仅IPS日志的威胁名称字段使用中文描述，其它日志信息仍然为英文。
(1) 进入系统视图。
system-view
(2) 创建应用层检测引擎的日志动作参数profile视图，并进入该日志动作参数profile视图。
inspect logging parameter-profile parameter-name
(3) 配置记录报文日志的方式。
log { email | syslog }
缺省情况下，报文日志被输出到信息中心。
(4) 配置记录IPS日志使用的语言为中文。
log language chinese
缺省情况下，记录IPS日志使用的语言为英文。
重定向动作参数profile用来为DPI业务模块的重定向动作提供动作参数，在此profile中可以配置重定向报文的URL。
(1) 进入系统视图。
system-view
(2) 创建应用层检测引擎的重定向动作参数profile，并进入重定向动作参数profile视图。
inspect redirect parameter-profile parameter-name
(3) 配置重定向URL。
redirect-url url-string
缺省情况下，未配置重定向URL。
(1) 进入系统视图。
system-view
(2) 开启TCP数据段重组功能。
inspect tcp-reassemble enable
缺省情况下，TCP数据段重组功能处于关闭状态。
(3) 配置TCP数据段重组缓存区可缓存的TCP数据段最大数目。
inspect tcp-reassemble max-segment max-number
缺省情况下，TCP数据段重组缓冲区可缓存的TCP数据段最大数目为10。
大量的SMB协议的乱序报文极有可能会造成应用层检测引擎对此协议报文检测失败。为了提高应用层检测引擎对SMB协议报文检测的准确率，可以在设备上开启SMB协议报文重组功能。
当设备接收到乱序的SMB报文时，会将此报文和来自于同一条数据流的后续报文暂时保存至缓冲区，进行报文重组，完成重组再送往后续流程处理。
(1) 进入系统视图。
system-view
(2) 开启SMB协议报文重组功能。
inspect smb-reassemble enable
缺省情况下，SMB协议报文重组功能处于关闭状态。
对经过压缩或编码等处理后的报文应用层信息进行识别时，需要应用层检测引擎先对此类报文进行解压缩或解码等相应处理后才能识别。通过开启应用层检测引擎性能优化功能或调高各项性能参数，可以提高应用层信息的识别能力和准确率，但同时也会消耗一定的系统资源。当系统资源紧张时，可能导致设备的吞吐量较差，不能满足基本的通信需求，此时可通过关闭相关优化调试功能释放部分系统资源，从而提高设备的性能。
(1) 进入系统视图。
system-view
(2) 关闭指定的应用层检测引擎的优化调试功能。
inspect optimization [ chunk | no-acsignature | raw | uncompress | url-normalization ] disable
缺省情况下，应用层检测引擎的所有优化调试功能的缺省情况与设备型号有关，请以设备实际情况为准。
为适应不同场景对设备性能和检测率的不同需求，应用层检测引擎支持如下几种模式供选择：
· balanced：适用于大多数场景，设备在性能和检测率之间可以达到平衡状态。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议报文的最大检测长度均为32千字节，对其他协议报文未作限制；MD5最大检测长度为2048千字节。
· large-coverage：适用于对检测率要求较高的场景，设备将提升检测率，但同时会对性能产生一定影响。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议报文的最大检测长度均为128千字节，对其他协议报文未作限制；MD5最大检测长度为5120千字节。
· high-performance：适用于对设备性能要求较高的场景，设备可在保证一定检测率的前提下，提升性能。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议报文的最大检测长度均为32千字节，对其他协议报文未作限制；MD5最大检测长度为32千字节。
· user-defined：适用于对检测率和性能有精确要求的场景。此模式下，可以自定义应用层检测引擎对报文的最大检测长度（通过inspect stream-fixed-length命令配置）和MD5最大检测长度（通过inspect md5-fixed-length命令配置）。
当检测率模式发生切换时，报文的最大检测长度和MD5最大检测长度将发生如下变化，用户可以此作为参考，调整各检测长度：
· 当检测率模式由其他模式切换为自定义模式时，报文的最大检测长度和MD5最大检测长度将保持切换前模式下的取值。
· 当检测率模式由自定义模式切换到其他模式时，MD5最大检测长度将恢复到其他模式下的缺省值，报文的最大检测长度的取值与报文的类型有关，详见如下说明。
¡ 对于FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议报文，报文的最大检测长度将恢复到其他模式下的缺省值。
¡ 对于其他协议，如果检测率模式从自定义模式切换到balanced模式，自定义模式下配置的报文的最大检测长度的取值将被清空，即不对报文的最大检测长度进行限制；如果检测率模式从自定义模式切换到large-coverage和high-performance模式，报文的最大检测长度将保持自定义模式下的取值。
(1) 进入系统视图。
system-view
(2) 配置应用层检测引擎检测率模式。
inspect coverage { balanced | large-coverage | high-performance | user-defined }
缺省情况下，应用层检测引擎检测率模式为平衡模式。
应用层检测引擎对报文的最大检测长度限制功能，是指应用层检测引擎只检测每条数据流首包后固定长度内的数据，不再检测超出固定长度后的数据。
(1) 进入系统视图。
system-view
(2) 配置应用层检测引擎对报文的最大检测长度。
inspect stream-fixed-length { dns | email I ftp | http | https | nfs | sip | smb | telnet | tftp } * length
缺省情况下，应用层检测引擎对FTP协议、HTTP协议、NFS协议、SMB协议和与E-mail相关协议（包括SMTP、POP3和IMAP协议）报文最大检测长度为32千字节；对DNS协议、HTTPS协议、Telnet协议和TFTP协议报文的检测长度不进行限制。
调高此参数后，设备的吞吐量性能会下降，但是应用层信息识别的成功率会提高；同理调低参数后，设备的吞吐量会增加，但是应用层信息识别的成功率会降低。
(3) （可选）关闭应用层检测引擎对报文的最大检测长度限制功能。
inspect stream-fixed-length disable
缺省情况下，应用层检测引擎对报文的最大检测长度限制功能处于开启状态。
当组网环境中对应用层信息识别的成功率要求较高时，可通过关闭应用层检测引擎对报文的最大检测长度限制功能，提升应用层信息识别的成功率。
本功能用于配置应用层检测引擎对每条数据流中传输文件的最大检测长度，超过长度的文件内容将不再进行检测。由于病毒特征一般都位于文件的前半部分，可配置文件的最大检测长度，对超过长度的文件内容不进行检测，从而提高设备的检测效率。
由于文件在数据流中传输，所以配置的文件最大检测长度必须小于等于报文的最大检测长度（通过inspect stream-fixed-length 命令配置）。
本功能仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。
(1) 进入系统视图。
system-view
(2) 开启应用层检测引擎对文件的最大检测长度限制功能。
inspect file-fixed-length enable
缺省情况下，应用层检测引擎对文件的最大检测长度限制功能处于关闭状态。
(3) 配置应用层检测引擎对文件的最大检测长度。
inspect file-fixed-length { email | ftp | http | nfs | smb } * length-value
缺省情况下，应用层检测引擎对基于FTP协议、HTTP协议、NFS协议、SMB协议和与E-mail相关协议传输的文件最大检测长度均为64千字节。
如果一条数据流中包含多个文件，则每个文件均仅检测配置的最大长度内的内容。
防病毒业务中，设备除了特征匹配之外，还可以通过对文件进行MD5哈希运算，并使用计算出的MD5值与特征库中的MD5规则匹配，来实现病毒检测。如果MD5值与MD5规则匹配成功，则表示该文件携带病毒。有关防病毒检测功能的详细介绍请参见“DPI深度安全配置指导”中的“防病毒”。
应用层检测引擎对报文的特征检测和文件MD5值检测会同时进行，当引擎检测的报文长度达到报文的最大检测长度（通过inspect stream-fixed-length 命令配置）后，将不再进行特征检测。此时，如果希望MD5值检测继续进行，则需要开启MD5固定检测长度功能，并配置检测长度大于报文的最大检测长度。引擎将继续进行MD5值检测，直到检测长度达到配置的最大检测长度后，仅计算检测范围内文件的MD5值，超出长度的文件内容不会计算在内。
调高MD5固定检测长度后，设备性能会下降，但是MD5检测的成功率会提高；调低MD5固定检测长度后，设备性能会提升，但是MD5检测的成功率会降低。
本功能仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。
(1) 进入系统视图。
system-view
(2) 开启应用层检测引擎MD5固定检测长度功能。
inspect md5-fixed-length enable
缺省情况下，应用层检测引擎MD5固定检测长度功能处于开启状态。
(3) 配置应用层检测引擎MD5固定检测长度。
inspect md5-fixed-length { email | ftp | http | nfs | smb } * length
缺省情况下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议数据流中文件的MD5固定检测长度均为2048千字节。
开启此功能后将对设备业务处理性能产生影响，请管理员根据设备实际情况进行配置。
(1) 配置步骤进入系统视图。
system-view
(2) 配置应用层检测引擎对所有文件进行MD5哈希运算。
inspect md5-verify all-files
缺省情况下，只对可执行文件、office文件和压缩文件等类型的文件进行MD5哈希运算。
当设备收到压缩文件时，应用层检测引擎会对文件进行解压缩，并对解压缩后的数据进行特征匹配等处理。管理员可根据实际需求，对引擎可解压缩的文件层数和单个文件中可解压缩的数据大小进行配置。
· 可解压缩数据上限：设备解压一个文件时可解压缩数据的最大值。到达上限后，该文件的剩余数据不再进行解压，直接按照压缩文件格式进行特征匹配等处理。
· 可解压缩文件层数上限：设备最多可解压缩的文件的层数。当超过配置的层数时，设备将不对超出层数上限的文件进行解压，直接按照压缩文件格式进行特征匹配等处理。
仅支持解压缩ZIP和GZIP格式的文件。
如果配置的解压缩参数过大，当设备频繁收到过大或压缩层数较多的压缩文件时，将一直解压缩一个文件，会影响后续文件的解压缩，并消耗大量的设备内存，影响设备的转发性能，但是对文件内容的识别率会有所提升；如果配置的解压缩参数过小，可能导致压缩文件中的原始文件内容无法正确识别，从而对DPI业务（例如防病毒和数据过滤业务）的检测结果产生影响，但是会降低对设备转发性能的影响。请管理员合理配置此参数。
(1) 进入系统视图。
system-view
(2) 配置应用层检测引擎可解压缩数据上限。
inspect file-uncompr-len max-size
缺省情况下，可解压缩数据上限为100MB。
(3) 配置应用层检测引擎可解压缩文件层数上限。
inspect file-uncompr-layer max-layer
缺省情况下，可解压缩文件层数上限为3。当此参数配置为0时，表示不对文件进行解压缩。
当客户端使用代理方式访问服务器时，源IP地址将会发生改变，设备无法获取客户端的真实IP地址，可能会造成一些攻击无法准确识别（例如基于源IP地址数量判定是否为攻击的场景）。开启真实源IP检测功能后，设备将从客户端请求报文的相关字段获取真正的源IP地址，避免上述问题。
(1) 进入系统视图。
system-view
(2) 开启真实源IP地址提取功能。
inspect real-ip enable
缺省情况下，真实源IP地址提取功能处于关闭状态。
开启真实源IP地址提取功能后，设备默认会通过检测报文的多个字段获取客户端的真实源IP地址。当检测出多个IP地址时，将使用优先级最高的字段中提取出的IP地址作为最终的真实源IP地址。
(1) 进入系统视图。
system-view
(2) 配置提取真实源IP地址的字段优先级。
inspect real-ip detect-field { cdn-src-ip | tcp-option | x-real-ip | xff } priority priority-value
缺省情况下，未配置提取真实源IP地址的字段优先级，各字段优先级均为0。设备使用默认的提取顺序，从高到底依次为xff、cdn-src-ip、x-real-ip、tcp-option。
在客户端通过HTTP代理连接到Web服务器的场景中，HTTP报文的首部可能会携带X-Forwarded-For字段。X-Forwarded-For字段中携带多个地址，标准的格式为X-Forwarded-For: <client>, <proxy1>, <proxy2>,…<proxyn>。如果一个报文通过多个代理，则会列出每个代理服务器的IP地址。即，最右边（tail）的proxyn是最新的代理服务器的IP地址，最左边（head）的client是原始客户端的IP地址。
(1) 进入系统视图。
system-view
(2) 配置X-Forwarded-For字段检测结果的提取位置。
inspect real-ip detect-field xff { head | tail }
缺省情况下，X-Forwarded-For字段的提取位置为最后一项。
当通过检测TCP Option字段获取真实源IP地址时，首先需要找到一个特定的标志，再基于此标志去获取源IP地址。
需要配置的检测参数如下：
· 标志内容（hex hex-vector）：TCP Option字段中，真实源IP地址位于一个“标志”的后面，只有检测到标志，设备才会继续向后检测真实源IP地址。如果没有检测到标志，则表示不存在真实源IP地址，设备会停止对TCP Option字段的检测。
· 标志内容的检测范围：包括偏移量（offset offset-value）和检测深度（depth depth-value）。偏移量确定了检测的起始位置（从TCP Option字段起始位置开始的偏移量），检测深度确定了检测的终止位置。
· 真实源IP地址与标志的偏移量（ip-offset ip-offset-value）：即检测真实源IP地址的起始位置。
开启真实源IP地址提取功能后，设备默认不从TCP Option字段提取真实源IP地址，仅在配置TCP Option检测参数后才开始检测TCP Option字段。
(1) 进入系统视图。
system-view
(2) 配置TCP Option字段的检测参数。
inspect real-ip detect-field tcp-option hex hex-vector [ offset offset-value ] [ depth depth-value ] [ ip-offset ip-offset-value ]
缺省情况下，未配置TCP Option字段的检测参数，设备不从TCP Option字段获取真实源IP地址。
应用层检测引擎对报文的检测是一个复杂且会占用一定系统资源的过程。开启应用层检测引擎功能后，如果出现系统CPU使用率过高等情况时，可通过关闭此功能来降低对设备转发性能的影响。
(1) 进入系统视图。
system-view
(2) 关闭应用层检测引擎功能。
inspect bypass
缺省情况下，应用层检测引擎功能处于开启状态。
关闭应用层检测引擎功能后，系统将不会对接收到的报文进行DPI深度安全处理。可能导致其他基于DPI功能的业务出现中断。例如，安全策略无法对应用进行访问控制等。
可在任意视图下执行以下命令：
· 显示应用层检测引擎的运行状态。
display inspect status
· 显示应用层检测引擎支持检测的文件分类信息。
display inspect file-category { all | name category-name }
· 显示应用层检测引擎支持检测的文件类型信息。
display inspect file-type { all | name file-type-name }
· 显示MD5哈希运算配置。
display inspect md5-verify configuration
· 显示SMB协议断点续传表的信息。
display inspect smb-breakpoint-resume table { ipv4 | ipv6 } [ slot slot-number ]
可在用户视图下执行以下命令：
· 清除SMB协议断点续传表的信息。
reset inspect smb-breakpoint-resume table { ipv4 | ipv6 } [ slot slot-number ]
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
