云防火墙 管理防御操作

一、选择防护模式

1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。

2. 在入侵防御页面，找到“防护模式”模块，进行防护模式设置，防护模式共分为观察模式、拦截模式及严格模式三种。

注意：说明：

注意：系统默认选择的防护模式是观察模式。

·选择“观察模式”，威胁情报、基础防御、虚拟补丁均为检测模式，针对发现的恶意访问或网络攻击行为，只告警，不自动阻断连接。

·选择“拦截模式”，自动拦截高置信度的网络攻击或恶意访问，威胁情报支持自动拦截出站恶意访问，基础防御支持自动拦截高置信度规则告警，虚拟补丁支持自动拦截命中补丁规则的漏洞利用流量。

·选择“严格模式”，威胁情报、基础防御、虚拟补丁均为全局拦截模式，对检测到的告警自动阻断连接，可能产生误报，适用于重保或攻防场景。

3. 在防护模式右侧，单击高级设置，将进入高级设置弹窗。

4. 在高级设置弹窗中，用户在互联网边界、NAT 边界、VPC 边界防火墙选择单个资产进行模式的更改，例如：部分资产可以设置为观察模式，部分资产为拦截模式，部分资产为严格模式。

二、功能动态

1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。

2. 在入侵防御页面右侧功能动态模块中，通过滑动鼠标滚轮可倒序查看规则动态与漏洞动态记录。

3. 单击更新历史，可查看详细的规则动态与漏洞动态记录。

·支持通过动态类型、攻击类型、风险等级进行筛选，快速定位目标记录。

·单击查看详情，将呼出规则详情弹窗或跳转至对应的漏洞查询页面。

三、管理列表

1. 登录 云防火墙控制台，在左侧导航栏中，单击入侵防御。

2. 在入侵防御页面下方可查看“封禁列表”、“白名单策略”和“隔离列表”。

四、查看封禁列表

1. 单击封禁列表，进入封禁列表页面。

2. 在封禁列表下，可以查看在 告警中心 > 攻击告警事件中，处置状态为“已封禁”的 IP 及其相关信息，或者可以手动将 IP 添加进封禁列表。

五、停用封禁列表

1. 当遇到紧急情况时，可单击关闭“启用封禁列表”，将封禁列表停用，并进入 告警中心 > 攻击告警事件查看所有封禁统计，排查定位封禁来源。

2. 在定位并修复故障原因后，可单击打开“启用封禁列表”开关，将该功能重新开启。

六、管理封禁列表的生效时间

在封禁列表内，当某一个 IP 的生效时间到期后，列表会自动删除该 IP，此时该 IP 后续的流量访问将不会被防火墙封禁。因此，为了避免黑名单自动移除存在安全隐患的 IP，可以在列表右侧操作栏，单击编辑，对需要操作的 IP 的失效时间进行修改。

注意：说明：

注意：位于封禁列表内的 IP 地址，会按照出站或入站方向阻断所有经过云防火墙的流量，并记录在日志审计 > 入侵防御日志内。

七、管理封禁列表规格信息

1. 单击规格信息，即可查看当前提供的总列表配额以及剩余配额信息。

2. 当剩余配额不足时，可单击升级扩容，购买封禁列表配额。

八、查看白名单策略

1. 在入侵防御页面，单击白名单策略，进入白名单管理页面。

2. 在白名单策略页签中，可以看到在 告警中心 > 攻击告警事件中，处置状态为“已加白”的 IP 及其相关信息，或者可以手动添加地址到白名单列表。

九、新增白名单策略

1. 在白名单策略页面，单击添加策略，进入配置策略界面，配置相关参数。

字段说明：

·策略名称：支持自定义策略名称，最长50个字符。

·生效范围：勾选当前策略的生效范围，至少选择一个生效范围，默认全选。

·匹配条件：当前策略的匹配条件。多个条件之间为 “且” 逻辑关系。所选生效范围将决定支持的匹配条件范围，具体对应关系请参见下表：

·生效时间：选择永久生效或自行设定策略的生效截止日期。

·备注：支持自定义备注，最长200个字符。

·冲突处理：勾选“删除封禁列表冲突地址并继续添加”后，在执行添加操作遇到与封禁列表中存在冲突的地址时，系统会自动移除封禁列表中的冲突地址，并继续完成后续的添加任务。

1. 单击下一步，进入规则预览页面。你可在此页面查看你的"剩余规则数" 和"本次预计新增"，并预览你刚才编辑的白名单策略，确认无误后单击确定完成策略添加。

注意：说明：

十、查看隔离列表

1. 单击隔离列表，进入隔离列表页面。

2. 在隔离列表中，可以看到在 告警中心 > 攻击告警事件 > 主机失陷事件中，处置状态为“已隔离”的 IP 及其相关信息。

十一、查看规则

失陷主机 IP 的隔离是通过安全组来实现的，单击查看规则，可以跳转到企业安全组页面，查看详细的规则信息。

十二、管理隔离列表的生效时间

在隔离列表内，当某一个 IP 的生效时间到期后，列表会自动删除该 IP，此时该 IP 的安全组规则也会被删除。因此，为了避免已失陷的 IP 被自动移出隔离名单，可以在列表右侧操作栏，单击编辑，对需要操作的 IP 的终止时间和日期进行修改。


十三、策略备份与回滚

单击规则备份，即可将现有的封禁列表和白名单策略规则进行备份，同时当规则发生了很大的变化之后，单击备份文件右侧的回滚，即可将规则进行复原。

1. 在策略备份与回滚页面，单击新增备份，在旁边的下拉框选择封禁列表或者是白名单策略，输入描述，单击确定，完成规则备份。

2. 规则回滚，单击备份列表最右侧的回滚，将规则进行还原。

十四、相关信息

如遇到入侵防御相关问题，可参见 入侵防御 文档。