新时期新用法 探索UTM安全网关

　　使用笔者经过dns解析出来的IP地址访问开心网将不会出现任何问题，所有页面顺利浏览。(如图8)

　　图8

　　那么我们该如何针对IP地址进行过滤呢?唯一的办法就是通过访问控制列表ACL来实现了，不过这需要用户及时更新开心网的最新IP地址信息，毕竟他的IP地址可能会有所变动。在UTM设备上针对IP地址进行过滤具体步骤如下。

　　第一步：进入UTM管理界面然后选择“策略管理”->“ACL”，然后“新建”一个规则，这里会让我们选择ACL类别，由于我们是针对某IP做限制，所以选择基本型或高级型访问控制列表都是可以的。笔者选择“基本型”。(如图9)

　　图9

　　第二步：接下来设置“访问控制列表ID”信息，只要不与之前设置的列表数重复即可，确定后该策略生成。(如图10)

　　图10

　　第三步：默认情况下访问控制列表是空的，我们需要为其添加规则。点“新建”按钮添加过滤条目。(如图11)

　　图11

　　第四步：我们设置“规则ID”信息，同时将操作选择为“禁止”，针对IP地址过滤的目的IP地址进行添加，这个目的IP地址就是我们通过nslookup解析出来的IP地址，由于“开心网”地址不是连续的，所以我们需要为每个解析出来的IP地址单独设置过滤条目。协议处选择IP将阻止所有TCP/IP协议。确定后该条目生效。(如图12)

　　图12

　　第五步：我们依次添加过滤条目，直到所有与开心网有关的IP地址都被过滤。最后添加默认ACL规则容许所有IP通过。设置完毕后保存即可。这样该ACL访问控制列表将只针对与开心网有关的IP地址进行过滤，而不会对其他协议其他IP的数据包进行丢弃。(如图13)

　　图13

　　四，总结：

　　通过IP地址过滤法我们彻底解决了内网用户访问“开心网”的目的，不过当“开心网”IP地址变换时我们还需要再次添加更新后的过滤条目，因此这个过滤是动态的不是一成不变的，需要网络管理员随时关注IP地址的变化。不过就笔者个人经验来说任何技术上的限制手段都远远没有行政规章制度有效，即使我们封锁了IP地址，封锁了URL地址，用户通过代理服务器，URL转向等方法依然可以突破上述限制。所以说技术永远是双刃剑，在你用他解决问题的同时，问题的发生也可能由技术造成。只有企业内部推出严格且与奖金效益挂钩的规章制度才能够起到“治本”的作用

　　UTM安全网关中小企业IPS应用经验谈

　　对于中小企业来说拥有一部内网安全网关能够很好的解决网络安全问题，诸如黑客入侵，病毒传播等行为都可以通过UTM安全网关的相关防护功能有效解决。不过很多企业在使用UTM相关的IPS与防AV功能时存在着使用上的误区，轻者造成设备负载的增加，相关功能性能的降低;重者直接造成设备死机或防护功能名存实亡。今天笔者就从应用角度出发为各位读者介绍如何在中小企业内网中部署UTM安全网关相关的IPS入侵检测功能以及防AV防病毒功能，希望本文可以帮助各位读者更好更高效的使用UTM设备。

　　一，IPS与防AV——UTM不可缺少的功能：

　　相信不少企业网络管理员都接触过UTM产品，很多企业也都购买过相关安全设备。提起UTM这个安全网关产品，他必须具备的功能就是IPS入侵检测系统以及防AV防病毒功能，可以丝毫不夸张的说如果在你的安全网关产品管理功能中没有IPS或防AV的设置选项，那么你很可能被销售所欺骗，购买的并不是一个真正的UTM产品。(如图1)

　　图1

　　二，一劳永逸——UTM应用的最大误区：

　　以往我们在使用路由器，交换机，防火墙时基本上配置完毕后就很少再做改动，即使是对设备的升级也是免费的，通过网络下载IOS或相关BIN文件，再利用TFTP，FTP，HTTP等方式升级即可。

　　然而UTM则大大不同，由于UTM自身具备入侵检测IPS，防病毒AV等功能，而这些功能的高效是与不断升级特征代码相关的。我们平时使用杀毒软件时如果不及时更新病毒库，恐怕过不了几天即使杀毒软件正常工作，自己的操作系统还是会感染病毒的。UTM也是如此，要想保证设备的顺利有效运行，我们也必须保证UTM设备能够在第一时间更新特征代码到最新。因此对于UTM产品来说他的配置并不是一劳永逸的，我们需要在部署完UTM后设置“自动升级”参数。对于笔者手中的U200-CA UTM产品来说我们可以到UTM界面的“更新特征码”选项中针对“自动升级”参数进行设置，一般来说IPS特征库以及AV特征库这两个信息是需要随时保持最新状态的，我们选择“开启”，同时设置第一次升级的时间和日期，记住这里设置的时间一定要在当前时间之后，否则升级无效，同时我们还可以根据实际设置“自动升级”的频率，默认是IPS 7天一周期，AV防病毒3天一周期，设置完毕后“确定”即可。这样我们的UTM自身的IPS与防AV病毒功能才能最大限度的发挥威力，保证设备可以应对最新攻击以及最新病毒。(如图2)

　　图2

　　三，快捷应用——UTM IPS功能最好的助手：

　　刚开始接触UTM时我们都会被其众多功能对应的繁多设置而迷茫，特别是IPS与防AV功能对应的选项实在太多，到底哪个漏洞应该过滤掉，哪个缺陷需要关注呢?相信再高深的专家都无法自己在众多规则中一一设置。

　　不过UTM一般为我们提供了一个“快捷应用”功能，笔者使用的U200-CA就是如此。在企业网络实施UTM时我们完全可以通过此“快捷应用”功能在几秒钟内完成上千条IPS，防AV过滤规则的设置。

　　我们选择“ips”->“快捷应用”，然后针对新的策略设置一个名称，这时我们会在下方“规则明细”处看到针对不同级别IPS攻击入侵的分类，包括病毒，蠕虫，高危险级，后门，间谍程序，钓鱼攻击，非法入侵，DDoS等等。我们只需要把这些分类对应的状态与动作集全部设置为“推荐”即可。这样所有操作都将根据设备自身默认的建议方式进行分配，从而在性能与功能两方面之间进行了均衡。在设置过滤方向时尽量选择“双向”即可，最后“确定激活”使设置生效。(如图3)

　　图3

　　四，动作集——IPS生效的关键：

　　当我们通过UTM设置IPS入侵防御参数时有一个是非常重要的，这就是“动作集”。众所周知IPS的核心功能就是可以针对符合特征代码的攻击进行过滤与追踪，我们都希望能够通过IPS阻止攻击。这就需要“动作集”的配置。我们通过UTM的ips下的规则管理可以看到一条条过滤条目的设置信息。(如图4)

　　图4

　　在这里我们可以看到每个攻击特征类别后面都会跟着一个“动作集”，该动作集是针对UTM发现符合特征代码时对数据包的操作，动作集中有多个选项提供给我们，例如permit容许通过,notify通知用户,tracert追踪数据包,block阻止数据通过等。(如图5)

　　图5

　　那么为什么说“动作集”是IPS生效的关键呢?因为当IPS发现有类似攻击特征代码的数据包时他会根据“动作集”中的设置进行操作，这里就会产生一个非常大的问题，即“动作集”一旦设置为permit或nofity或tracert这三项，那么UTM将不会对数据包进行隔离和丢弃操作，相关攻击数据包可以堂而惶之的进入到内网中。一定要注意的是只有设置为block动作后该攻击才会取消，数据才会被丢弃。所以我们在配置UTM的IPS功能时一定要减少permit或nofity或tracert这三项的出现，增加block动作才是实施IPS防范入侵的关键。(如图6)

　　图6

　　五，提高效率批量开启IPS过滤规则：

　　IPS防护的规则是多种多样的，平时我们需要一条条的添加非常麻烦，实际上通过UTM的批量设置功能我们可以通过一次操作将多条IPS条目启用。

　　在我们进入IPS设置的规则管理界面后，我们可以通过统一设置来一次开启多个条目，具体方法是搜索到相应规则后点最下方的“修改搜索出的所有规则”，然后通过下面的动作集下拉菜单统一修改，最后“使能规则”并“激活”后完成批量设置的操作。(如图7)

　　图7

　　总之要想实现提高效率批量开启IPS过滤规则，我们就需要灵活使用IPS设置界面下的三个按钮——“修改动作集”，“使能规则”以及“激活”按钮。(如图8)

　　图8

　　六，性能与功能如何均衡：

　　以前我听说在使用UTM时不要开启过多的过滤规则，因为每增加一条规则对于UTM设备自身的CPU以及内存占用都会增加。在技术工程师做集成时也再三叮嘱我只要开启“严重级”的特征条目即可。

　　不过本着实测的目的，笔者抱着“明知山有虎，偏向虎上行”的态度开启了所有IPS过滤规则的监控。

　　在开启前我们只针对“严重级”的特征条目进行监控，进入UTM中通过dis cpu以及dis memery依次查询设备硬件CPU以及内存的占用。经过查询CPU使用率在2%左右，而内存的占用是29%。(如图9)(如图10)

　　图9

　　图10

　　接下来我们通过“修改动作集”，“使能规则”以及“激活”按钮将所有IPS中涉及到的过滤条目全部开启，结果笔者发现访问UTM管理界面的速度马上降低，甚至出现无法打开该页面的问题。看来开启多个条目对设备资源的占用还是不小的。(如图11)

　　图11

　　不过再次查询CPU与内存的占用并没有发生太大的变化，内存占用还是29%，而CPU的占用只不过升到了15%而已。(如图12)

　　图12

　　将设备重新启动恢复配置后我们又可以顺利的访问UTM管理界面了，配置速度也有所保证，看来开启多个条目确实对设备的性能与访问速度有着不小的影响。(如图13)

　　图13

　　七，总结：

　　本文从笔者多日使用UTM的感受与经验出发为各位读者介绍在设置UTM，特别是IPS与防AV功能上的技巧以及使用上误区。实际上IPS与防AV功能在配置和应用上基本类似，由于篇幅关系笔者就不详细介绍关于防AV病毒相关的内容了，感兴趣的读者可以自行参考。最后希望各位读者能够通过本文有所收获，以便日后更加高效科学的使用UTM安全网关设备。