1、检查AF的部署环境与网络拓扑,理清对应源IP经过AF时的数据流:
AF内网方向是否有DNS服务器:如僵尸网络日志的源主机是DNS的IP,则可能是内网电脑访问僵尸网络,DNS代理解析引起的;
DNS是否给外网访问:如僵尸网络日志源主机是DNS得IP,则可能是外网利用内网DNS服务器解析恶意域名引起的;
内网是否有代理设备:内网有HTTP代理设备或有设备做了SNAT,则防火墙看到的源IP会是内网代理设备;
邮件服务器:邮件服务器会代理客户端来发送与接收恶意邮件;
2、检查僵尸网络配置
新增策略及区域选择,终端防护的方向选择需要注意,源是内网区域,目标为外网区域;
备注:如内网有DNS服务器,且内网主机通过内网DNS进行域名解析,则必须开启“DNS蜜罐”技术,对恶意DNS请求进行重定向,设置如下图:
3、检查僵尸网络规则库日期,如规则库日期没有更新到最新则有可能存在误判;
4、检查是否开启云鉴功能,云鉴能触发未知威胁规则库更新
云脑-云智:对应AF8.0.8之前的高级威胁对抗,就是常规的规则库更新
云脑-云鉴:对应AF8.0.8之前的未知威胁防御,上报云端检查并触发未知威胁规则库更新
5、在深信服威胁情报中心及微步上检测对应域名是否是恶意的
ti.sangfor.com.cn ——深信服威胁情报中心网址