关于AF联动封锁相关知识点分享:
一、AF设备的联动封锁功能匹配上对应封锁规则之后,会将对应的源IP、目的IP、目的端口加入【封锁者名单】,在封锁时间内攻击者IP的所有访问后续数据包直接进行拦截
二、AF如下模块会触发联动封锁:
1、开启【高危行为联动封锁】暂时只有如下模块在拦截动作为拒绝时支持联动封锁,其他模块皆不支持
IPS漏洞防护策略的部分高危漏洞、WEB应用防护策略的部分高危攻击(CSRF防护、webshell、url防护、CC攻击)、DOS防护 【本次是匹配CC攻击,业务防护策略-WEB应用防护策略,默认模板策略】
2、开启【任意攻击行为联动封锁】,会对所有模块拦截动作为拒绝的攻击行为进行联动封锁
没开启联动封锁但是会自动触发联动封锁的功能:
1、AF的IPS与WAF策略动作拒绝、没开联动封锁,IPS策略中口令暴力破解、WAF策略中的CC攻击,匹配上后会自动进行联动封锁
2、DOS策略拒绝,对应策略的端口扫描、IP扫描以及洪水攻击防护匹配上,也会进行相应的封锁
三、可在【安全运营】---【黑白名单】--【黑名单】--【临时封锁名单】查看封锁IP,点击查看日志,中查看对应IP触发策略详情;
四、解除联动封锁配置:在【安全运营】-【黑白名单】-【黑名单】-【临时封锁名单】 选择被封锁的IP,点击删除,解除封锁IP
五、清除所有封锁地址,这个是会把列表中所有封锁地址清理,解除封锁
|