【背景介绍】
某医院网络专线连接至所属集团总部,由集团总部信息中心建设DNS服务器,医院内PC需访问DNS服务器进行域名解析,集团有流量分析设备告警医院的访问流量有僵尸网络、恶意域名访问、漏洞攻击等行为,下发通报至该医院。
【网络拓扑】
【基本分析】 集团接收到医院侧恶意的访问流量,说明办公网络的PC有感染病毒、木马的情况,故需要进行相关处置,达到以下几个目标: 1. 需要找感染的PC的IP地址进行杀毒处置 2. 对恶意的域名的访问进行阻断 3. 因医院也没有必须访问集团DNS服务器的需求,但终端的IP及DNS设置都是手动的,如何进行修改而 无需修改终端DNS设置
【处置步骤】 1.登录防火墙查看安全事件 可以看到攻击行为及失陷的主机较多,但安全事件这边不全面,故需要查询日志
2.进入内置数据中心,获取1个月的安全日志并按照IP进行统计 统计完成后点击右上角导出表格,交由甲方人员按照IP地址对问题终端进行杀毒处置
3.对失陷主机进行推送杀毒通知 此时达成目标一。
4.对恶意的行为进行联动封锁,进入安全策略配置并修改联动封锁并修改封锁时间
5.对僵尸网络配置为拒绝并配置恶意域名重定向 此时达成目标二。
5.通过设置DNS透明代理即可在不修改PC的DNS配置的情况将实际的DNS解析服务落在防火墙上,具体在本案例中,AF部署模式为透明模式,需要注意的是DNS透明代理功能无法在二层环境部署,与客户沟通后,后续将由AF取代路由器的功能,届时可开启此项功能。
【销售机会引导】 客户环境终端没有杀毒软件,无法使用下发定时杀毒任务,故对客户推荐深信服EDR,讲述EDR的功能优势及与防火墙联动的便利性;客户大为意动,同意后续进行测试。
以上。 |