攻击防护（AD）介绍

网络中存在多种防不胜防的攻击，如侵入或破坏网络上的服务器、盗取服务器的敏感数据、破坏服务器对外提供的服务，或者直接破坏网络设备导致网络服务异常甚至中断。作为网络安全设备的安全网关，必须具备攻击防护功能来检测各种类型的网络攻击，从而采取相应的措施保护内部网络免受恶意攻击，以保证内部网络及系统正常运行。Hillstone 安全网关提供基于域的攻击防护功能。

常见网络攻击概述

本节介绍一些常见的网络攻击。Hillstone 安全网关能够对这些网络攻击进行合理处理从而保证用户网络系统的安全。

IP 地址欺骗（IP Spoofing）攻击
IP 地址欺骗攻击是一种获取对计算机未经许可的访问的技术，即攻击者通过伪IP 地址向计算机发送报文，并显示该报文来自于真实主机。对于基于IP 地址进行验证的应用，此攻击方法能够使未被授权的用户访问被攻击系统。即使响应报文不能到达攻击者，被攻击系统也会遭到破坏。

Land 攻击
在Land 攻击中，攻击者将一个特别打造的数据包的源地址和目标地址都设置成被攻击服务器地址。这样被攻击服务器向它自己的地址发送消息，结果这个地址又发回消息并创建一个空连接，每一个这样的连接都将保留直到超时。在这种Land 攻击下，许多服务器将崩溃。

Smurf 攻击
Smurf 攻击分简单和高级两种。简单Smurf 攻击用来攻击一个网络。方法是将ICMP 应答请求包的目标地址设置为被攻击网络的广播地址，这样该网络的所有主机都会对此ICMP 应答请求作出答复，从而导致网络阻塞。高级Smurf 攻击主要用来攻击目标主机。方法是将ICMP 应答请求包的源地址更改为被攻击主机的地址，最终导致被攻击主机崩溃。理论上讲，网络的主机越多，攻击的效果越明显。

Fraggle 攻击
Fraggle 攻击与Smurf 攻击为同种类型攻击。不同之处在于Fraggle 攻击使用UDP 包形成攻击。

WinNuke 攻击
WinNuke 攻击通常向装有Windows 系统的特定目标的NetBIOS 端口（139）发送OOB（out-of-band）数据包，引起一个NetBIOS 片断重叠，致使被攻击主机崩溃。还有一种是IGMP 分片报文。一般情况下，IGMP 报文是不会分片的，所以，不少系统对IGMP 分片报文的处理有问题。如果收到IGMP 分片报文，则基本可判定受到了攻击。

SYN Flood 攻击
由于资源的限制，服务器只能允许有限个TCP 连接。而SYN Flood 攻击正是利用这一点，它伪造一个SYN 报文，将其源地址设置成伪造的或者不存在的地址，然后向服务器发起连接。服务器在收到报文后用SYN-ACK 应答，而此应答发出去后，不会收到ACK 报文，从而造成半连接。如果攻击者发送大量这样的报文，会在被攻击主机上出现大量的半连接，直到半连接超时，从而消耗尽其资源，使正常的用户无法访问。在连接不受限制的环境里，SYN Flood 会消耗掉系统的内存等资源。

ICMP Flood 和UDP Flood 攻击
这种攻击在短时间内向被攻击目标发送大量的ICMP 消息（如ping）和UDP报文，请求回应，致使被攻击目标负担过重而不能完成正常的传输任务。

地址扫描与端口扫描攻击
这种攻击运用扫描工具探测目标地址和端口，对此作出响应的表示其存在，从而确定哪些目标系统确实存活着并且连接在目标网络上，这些主机使用哪些端口提供服务。

Ping of Death 攻击
Ping of Death 就是利用一些尺寸超大的ICMP 报文对系统进行的一种攻击。IP报文的字段长度为16 位，这表明一个IP 报文的最大长度为65535 字节。对于ICMP回应请求报文，如果数据长度大于65507 字节，就会使ICMP 数据、IP 头长度（20字节）和ICMP 头长度（8 字节）的总合大于65535 字节。一些路由器或系统在接收到这样一个报文后会由于处理不当，造成系统崩溃、死机或重启。

配置攻击防护功能

SA 系列安全网关的攻击防护功能在默认情况下，只有部分功能在Untrust 安全域是开启的，包括IP 地址欺骗攻击防护、IP 扫描攻击防护、端口扫描攻击防护、ICMP Flood 攻击防护、SYN Flood 攻击防护、UDP Flood 攻击防护、WinNuke 攻击防护、Ping of Death 攻击防护、Teardrop 攻击防护和Land 攻击防护。开启安全域的所有攻击防护功能，在安全域配置模式下，使用以下命令：

ad all

在安全域配置模式下使用no ad all 命令关闭安全域的所有攻击防护功能。

用户可以对各种攻击防护功能的具体参数根据需求进行配置。SA 系列安全网关的攻击防护配置包括：

♦ 配置IP 地址扫描攻击防护功能
♦ 配置端口扫描攻击防护功能
♦ 配置IP 地址欺骗攻击防护功能
♦ 配置SYN Flood 攻击防护功能
♦ 配置SYN-Proxy 功能
♦ 配置ICMP Flood 攻击防护功能
♦ 配置UDP Flood 攻击防护功能
♦ 配置Huge ICMP 包攻击防护功能
♦ 配置WinNuke 攻击防护功能
♦ 配置Ping of Death 攻击防护功能
♦ 配置Teardrop 攻击防护功能
♦ 配置IP Option 攻击防护功能
♦ 配置TCP 异常攻击防护功能
♦ 配置Land 攻击防护功能
♦ 配置IP 碎片攻击防护功能
♦ 配置Smurf 和Fraggle 攻击防护功能
♦ 配置ARP 欺骗防护功能
♦ 限制IP 地址连接数
♦ 显示安全域的攻击防护配置和统计信息

WebUI：请按照以下步骤通过WebUI 配置攻击防护功能：
1. 访问页面“安全􀁨攻击防护”。
2. 从<安全域>下拉菜单中选择要配置攻击防护功能的安全域的名称。
3. 如果开启安全域的所有攻击防护功能，选中<启用所有>复选框，并从<行为>下拉菜单选择处理行为。如果单独控制各安全防护功能的开启与关闭，分别选中功能前的单选按钮。
4. 配置各功能的参数。
5. 点击『确定』按钮保存所做配置。

转载请注明：

本文转自：http://www.liusuping.com/hillstone/hillstone-ad-config.html