产品动态
引擎更新动态
产品公告
管理防御操作
本文档将指导您通过入侵防御功能，识别访问控制规则以外的未知风险，并对公网 IP 的南北向流量进行入侵防御规则检测，同时避免云服务器中的漏洞暴露在互联网中。
选择防护模式
1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。
2. 在入侵防御页面，找到“防护模式”模块，进行防护模式设置，防护模式共分为观察模式、拦截模式及严格模式三种。
说明：
系统默认选择的防护模式是观察模式。
选择“观察模式”，威胁情报、基础防御、虚拟补丁均为检测模式，针对发现的恶意访问或网络攻击行为，只告警，不自动阻断连接。
选择“拦截模式”，自动拦截高置信度的网络攻击或恶意访问，威胁情报支持自动拦截出站恶意访问，基础防御支持自动拦截高置信度规则告警，虚拟补丁支持自动拦截所有被检测为漏洞利用的流量。
选择“严格模式”，威胁情报（出站域名威胁情报检测除外）、基础防御、虚拟补丁均为全局拦截模式，针对任何检测到的告警，自动阻断连接，可能产生误报，适用于重保或攻防场景。
3. 在防护模式右侧，单击高级设置，将进入高级设置弹窗。
4. 在高级设置弹窗中，用户在互联网边界、NAT 边界、VPC 间防火墙选择单个资产进行模式的更改，例如：部分资产可以设置为观察模式，部分资产为拦截模式，部分资产为严格模式。
功能动态
1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。
2. 在入侵防御页面右侧功能动态模块中，通过滑动鼠标滚轮可倒序查看规则动态与漏洞动态记录。
3. 单击更新历史，可查看详细的规则动态与漏洞动态记录。
支持通过动态类型、攻击类型、风险等级进行筛选，快速定位目标记录。
单击查看详情，将呼出规则详情弹窗或跳转至对应的漏洞查询页面。
管理列表
1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。
2. 在入侵防御页面下方可查看“封禁列表”、“白名单策略”和“隔离列表”。
封禁列表
查看封禁列表
1. 单击封禁列表，进入封禁列表页面。
2. 在封禁列表下，可以查看在 告警中心 > 攻击告警事件中，处置为“封禁”的IP及其相关信息，或者可以手动将IP添加进封禁列表。
停用封禁列表
1. 当遇到紧急情况时，可单击
2. 在定位并修复故障原因后，可单击
管理封禁列表的生效时间
在封禁列表内，当某一个 IP 的生效时间到期后，列表会自动删除该 IP，此时该 IP 后续的流量访问将不会被防火墙封禁。因此，为了避免黑名单自动移除存在安全隐患的 IP，可以在列表右侧操作栏，单击编辑，对需要操作的 IP 的失效时间进行修改。
说明
管理封禁列表规格信息
1. 单击规格信息，即可查看当前提供的总列表配额以及剩余配额信息。
2. 当剩余配额不足时，可单击升级扩容，购买封禁列表配额。
白名单策略
查看白名单策略
1. 在入侵防御页面，单击白名单策略，进入白名单管理页面。
2. 在白名单策略页签中，可以看到在 告警中心 > 攻击告警事件中，处置状态为“已加白”的 IP 及其相关信息，或者可以手动添加地址到白名单列表。
新增白名单策略
1. 在白名单策略页面，单击添加策略，进入配置策略界面，配置相关参数。
字段说明：
策略名称：支持自定义策略名称，最长50个字符。
生效范围：勾选当前策略的生效范围，至少选择一个生效范围，默认全选。
匹配条件：当前策略的匹配条件。多个条件之间为 “且” 逻辑关系。所选生效范围将决定支持的匹配条件范围，具体对应关系请参见下表：
匹配条件 | 互联网边界防火墙 | NAT 边界防火墙 | VPC 边界防火墙 | 全流量检测与响应 |
源 IP | 支持 | 支持 | 支持 | 支持 |
源 IP + 目的 IP | | | | |
源 IP + 目的 IP + 目的端口 | | | | |
源 IP + 目的 CIDR | | | | |
源 IP + 目的 CIDR + 目的端口 | | | | |
源 CIDR | 支持 | 支持 | 支持 | 支持 |
源 CIDR + 目的 IP | | | | |
源 CIDR + 目的 IP + 目的端口 | | | | |
源 CIDR + 目的 CIDR | | | | |
源 CIDR + 目的 CIDR + 目的端口 | | | | |
目的 IP | 支持 | 支持 | 支持 | 支持 |
目的 IP + 目的端口 | | | | |
目的 CIDR | | | | |
目的 CIDR + 目的端口 | | | | |
域名 | 支持 | 支持 | 支持 | 支持 |
威胁情报 IP + 威胁情报域名 | 不支持 | 不支持 | 不支持 | 不涉及 |
资产实例 | 不支持 | 不支持 | 支持 | 支持 |
源 IP + 目的 IP + 入侵防御规则 | 支持 | 支持 | 支持 | 支持 |
源 IP + 目的 IP: 端口 + User-Agent + URL + XFF + Hostname + 文件名 + 文件 MD5 | 不支持 | 不支持 | 不支持 | 支持 |
| | | | |
| | | | |
| | | | |
不支持 | | | | |
| | | | |
生效时间：选择永久生效或自行设定策略的生效截止日期。
备注：支持自定义备注，最长200个字符。
冲突处理：勾选“删除封禁列表冲突地址并继续添加”后，在执行添加操作遇到与封禁列表中存在冲突的地址时，系统会自动移除封禁列表中的冲突地址，并继续完成后续的添加任务。
2. 单击下一步，进入规则预览页面。您可在此页面查看您的"剩余规则数" 和"本次预计新增"，并预览您刚才编辑的白名单策略，确认无误后单击确定完成策略添加。
说明：
在条件内容中填写多个 IP、XFF、MD5、URL、域名、hostname、文件名等时，系统将按实际条目数拆分计算规则条数。例如：当条件类型选择”源IP“并填写3个独立IP 地址时，保存后将自动拆分为3条独立白名单策略，占3个规则条数。
单次拆分生成的总规则条数不得超过 100条 ，超出限制时将提示：”规则过于复杂，解析后超过100规格数，请拆开创建多条白名单“。
当 "本次预计新增" + 此次新增规则条数 > "剩余规则数" 时，系统将提示：“可用规则数量不足，请购买通用规则拓展额度”，您可单击升级扩容进行扩容操作。
隔离列表
查看隔离列表
1. 单击隔离列表，进入隔离列表页面。
2. 在隔离列表中，可以看到在 告警中心 > 攻击告警事件 > 主机失陷事件中，处置状态为“已隔离”的 IP 及其相关信息。
查看规则
失陷主机 IP 的隔离是通过安全组来实现的，单击查看规则，可以跳转到企业安全组页面，查看详细的规则信息。
管理隔离列表的生效时间
在隔离列表内，当某一个 IP 的生效时间到期后，列表会自动删除该 IP，此时该 IP 的安全组规则也会被删除。因此，为了避免已失陷的 IP 被自动移出隔离名单，可以在列表右侧操作栏，单击编辑，对需要操作的 IP 的终止时间和日期进行修改。
策略备份与回滚
单击规则备份，即可将现有的封禁列表和白名单策略规则进行备份，同时当规则发生了很大的变化之后，单击备份文件右侧的回滚，即可将规则进行复原。
1. 在策略备份与回滚页面，单击新增备份，在旁边的下拉框选择封禁列表或者是白名单策略，输入描述，单击确定，完成规则备份。
2. 规则回滚，单击备份列表最右侧的回滚，将规则进行还原。
相关信息
文档反馈