提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

二、基础排查:检查网络环境与僵尸网络配置

|

问题描述

AF的僵尸网络功能识别到恶意域名,需要确认是否误报

告警信息

可能原因如下:
1、内网存在DNS代理环境且AF未开恶意域名重定向——了解拓扑环境,内网是否存在DNS代理环境
2、内网存在源地址转换导致源IP不可见——解拓扑环境,内网是否存在源地址转换环境
3、僵尸网络策略配置错误——检测僵尸网络策略配置,确认源目的区域、网络对象、动作等是否正确
4、防火墙规则库非最新——检查AF规则库是否是最新版本
5、情报网站查询域名域名非恶意——在情报网站查询域名相关信息确认域名是否恶意
详细操作方法可以参考下列有效排查步骤说明

解决方案

1、检查AF的部署环境与网络拓扑,理清对应源IP经过AF时的数据流:
AF内网方向是否有DNS服务器:如僵尸网络日志的源主机是DNS的IP,则可能是内网电脑访问僵尸网络,DNS代理解析引起的;
DNS是否给外网访问:如僵尸网络日志源主机是DNS得IP,则可能是外网利用内网DNS服务器解析恶意域名引起的;
内网是否有代理设备:内网有HTTP代理设备或有设备做了SNAT,则防火墙看到的源IP会是内网代理设备;
邮件服务器:邮件服务器会代理客户端来发送与接收恶意邮件;

2、检查僵尸网络配置
新增策略及区域选择,终端防护的方向选择需要注意,源是内网区域,目标为外网区域;

备注:如内网有DNS服务器,且内网主机通过内网DNS进行域名解析,则必须开启“DNS蜜罐”技术,对恶意DNS请求进行重定向,设置如下图:
3、检查僵尸网络规则库日期,如规则库日期没有更新到最新则有可能存在误判;

4、检查是否开启云鉴功能,云鉴能触发未知威胁规则库更新
云脑-云智:对应AF8.0.8之前的高级威胁对抗,就是常规的规则库更新
云脑-云鉴:对应AF8.0.8之前的未知威胁防御,上报云端检查并触发未知威胁规则库更新

5、在深信服威胁情报中心及微步上检测对应域名是否是恶意的
ti.sangfor.com.cn ——深信服威胁情报中心网址

建议与总结

以上步骤未解决您的问题,可收集以下信息问题流转L2:
1、误判的域名信息:
2、网络拓扑:
3、设备版本信息及规则库版本信息:

我要分享
文档编号: 217027
作者: admin
更新时间: 2023-01-05 17:29
适用版本: