简介由深信服官方发布的NGAF v6.8设备IPS入侵防御系统配置指导资料主要面向企业网络、教育网、政府及金融网络的运维工程师与安全管理人员帮助其正确配置IPS系统实时检测并防御病毒、木马、拒绝服务等各类网络攻击。文档共9页目录完整覆盖介绍、功能简介、应用场景、必要条件说明、配置思路、配置方式及截图等八大模块并重点演示了授权确认、IPS策略创建、编辑与激活等完整配置环节同时附有漏洞利用与口令暴力破解两类功能测试方法及操作截图便于读者对照验证策略是否真正生效。资源包为单个PDF文件体积仅633KB结构清晰、便于随身查阅既适合负责安全设备调试的一线工程师按文档步骤操作也能帮助初次接触深信服NGAF IPS功能的运维新手快速建立配置认知。目前已有144人学习下载。1. SANGFOR NGAF v6.8 的 IPS 到底在防什么先说清模块定位如果你管过一台放在内网出口的 SANGFOR NGAF v6.8大概率见过「入侵防御」这个模块但真正动过它的人不多。IPS 通俗地讲是挂在流量路径上的检测门岗服务器区被爆破、办公终端中蠕虫、外网扫内网端口都是它先看到。它和普通防火墙的区别在于防火墙只知道「谁到谁、通不通」IPS 还会去看流量里装的是不是攻击。这篇配置指导要解决的是「拿到一台 v6.8 设备怎么把 IPS 从『开着』调到『真能挡』」。sangfor 这条产品线指的是一台网关设备不是电脑上那个可以随手卸载的客户端软件管理端另外装的控制台组件是另一回事。适合两类人有设备管理权但没配过 IPS 的运维以及想降低误报、把策略调精细的安全工程师。下面按真实上机顺序推进确认授权和部署模式、建策略、绑区域、调级别最后用日志验证效果。2. 上设备前要做的三件事授权确认、规则库与部署模式IPS 配置失败大多数情况不是策略本身写错了而是前置条件没确认。我在现场排查过不少「IPS 没效果」的问题最后发现授权过期、规则库太老、部署在旁路三个原因占了七八成。所以这一章先不碰策略页面把这三件事确认完后面配置才有意义。2.1 特征检测、协议解码与行为分析v6.8 的 IPS 靠什么识别攻击NGAF v6.8 的 IPS 识别攻击实际上由三套机制叠加完成。第一套是特征匹配基于规则库里的漏洞利用签名流量里出现某一个特征串或载荷结构直接命中。这套机制精度最高、误报最少缺点是只能查已知攻击规则库跟不上时新攻击会穿过去。第二套是协议解码。设备会把 HTTP、FTP、SMB 这些常见协议做报文还原检查交互过程中的异常。比如 HTTP 请求头字段超出规范、FTP 命令序列不符合正常流程都会触发告警。它能覆盖一部分特征库没收录的变种代价是协议解析需要额外性能也存在误报空间。第三套是行为分析观察会话层面的规律内网主机频繁外联可疑域名、短时间内大量失败连接这些行为可能指示僵尸网络或暴力破解。行为分析的误报率在三套机制里最高因为正常业务的流量也可能出现类似的统计特征。理解这三套机制是为了后面调策略时有依据。检测等级本质上决定启用哪些规则集合动作决定命中后是记录还是阻断。如果把 IPS 当成一个简单的「规则开关」出问题时根本不知道去哪调。这三套机制的检测结果最终统一收敛到「告警」和「阻断」两个动作上这也是后续配置页面上唯一需要决策的点。实际配置时建议先看规则库里启用了哪些类型的规则再决定开多高的等级而不是闭着眼选一个「高」。2.2 部署前先确认三件事授权状态、规则库版本与部署模式打开策略配置页之前先花五分钟做一次状态自检这三项不满足后面所有配置都白搭。我见过一个现场策略配得完全正确但就是一条告警都不出最后查出来 IPS 授权早在半年前就过期了界面没报错只是保存时静默失败。第一是授权。v6.8 的 IPS 模块受许可证控制授权过期或未导入时策略页面往往能打开但保存不了或者整个模块置灰。常见路径是在控制台右上角或「系统 → 系统信息」里看模块授权状态和到期时间。第二是规则库版本。IPS 的检测能力完全取决于规则库版本越新能识别的攻击越多。上设备后第一时间看规则库更新日期如果超过一个月没更新先升级再配置。内网隔离环境通过离线升级包导入外网环境可以在线更新。第三是部署模式。NGAF 常见有路由、透明、旁路三种部署旁路模式下设备只接收镜像流量能看见攻击但拦不住阻断动作根本没机会执行。要在线拦截流量必须真实经过设备。三个检查项的核对路径和期望状态如下表照着查就行整个过程不超过五分钟。检查项常见查看路径期望状态不满足时IPS 授权系统 → 系统信息 → 授权有效且未过期联系渠道补授权规则库版本系统 → 系统信息 → 规则库近一个月内有更新先升级再配置部署模式网络 → 部署模式路由或透明旁路需改造链路提示授权过期时页面通常还能打开但配置无法保存。看到保存失败先查授权别先怀疑浏览器。2.3 默认策略为什么不能直接用先理解检测级别与动作新设备导入后IPS 通常会有一个默认策略一般是中等检测级别配合告警动作。直接用它有两个极端问题如果默认动作是告警那等于没防护攻击流量一条不落全放过去只是事后在日志里留个痕迹如果把动作改成全面阻断正常业务流量可能被误伤尤其是有 ERP、OA 这类复杂协议的应用环境。默认策略的意义是让你「先跑起来」不是让你「直接用到生产」。所以 IPS 上线不能一把梭最稳妥的路径是分阶段收紧。第一天先开低级或中级全部动作设为告警目的是摸清当前网络里的真实攻击流量和误报底数跑一周后根据日志统计把确定的高危规则转成阻断同时把误报规则加进例外之后再逐步提高检测级别。这个「先告警、后阻断、分段收紧」的节奏是整个 IPS 配置里最重要的一条经验后面所有调优都围绕它展开。检测级别和动作是两个独立的维度。级别决定「查什么」动作决定「查到怎么办」。理解这一点就不会在高误报时去调级别而不是调动作该改的是例外和动作而不是把整个检测关掉。业务方不会因为你「拦得准」而感谢你但一定会因为你「拦错了」而投诉你级别和动作分开控制就是为了在两者之间找平衡。下面这张节奏表可以贴在本子上按周执行。阶段检测级别动作策略目标第 1 周低或中全部告警摸清底数、收集误报第 2 周中高危阻断、其余告警开始拦截高危攻击第 34 周中或高按日志逐类放开收紧例外、提升覆盖3. 在 v6.8 上把 IPS 策略跑起来从登录到生效的完整配置路径前置条件确认完下面进入正式配置。这一章按一台全新 v6.8 设备的完整路径走一遍从登录控制台到策略生效每一步都给出操作位置和常见错误。遵循一个原则先定义对象再建策略最后绑定区域顺序反了会来回改。3.1 登录控制台与授权自检三步确认设备状态先通过浏览器访问设备管理 IP用管理员账号登录首次登录会强制修改默认密码。登录后第一步是到「系统 → 系统信息」确认软件版本确实是 v6.8 系列并且 IPS 模块授权状态正常。第二步看规则库版本和更新日期如果刚才没看现在补上。第三步确认管理口之外的其他接口链路状态尤其是后续要绑定的业务口接口没起来策略绑了也白绑。这三步看起来基础但能省掉后面大量排障时间。我见过有人花了两个小时调策略最后发现流量根本没从设备经过问题不在策略而在链路。登录后顺手把设备名称、管理 IP、规则库版本记下来后面做策略变更记录时用得上。如果控制台打不开先查管理电脑和设置管理口的 IP 是否同网段再用另一台电脑交叉验证别急着怀疑设备坏了。检查动作位置确认内容软件版本系统 → 系统信息是否为 v6.8 系列模块授权系统 → 系统信息IPS 授权未过期规则库日期系统 → 系统信息更新时间在近一个月内接口状态网络 → 接口业务口 Up无报错3.2 新建 IPS 策略模板选择与六个落地步骤策略配置的正确顺序是先定义防护对象再建策略最后绑定区域。反过来操作容易在引用时找不到对对象来回切换页面。下面六个步骤是完整路径每一步做完再下一步不要跳。第一步先到「对象 → 地址」新建地址组把要保护的服务器 IP 或 IP 段整理进去。比如数据库服务器、Web 服务器各建一个组命名用「区域-用途」的格式如 DMZ-Web、DMZ-DB。地址组建好以后策略里直接引用不用每次手填 IP。第二步进入「策略 → 入侵防御 → IPS 策略」点击新建。第三步选择策略模板。模板按场景预置了不同的规则集合保护服务器和办公终端的侧重点不一样先选一个最贴近业务的模板后续再按需增删规则。选错模板不用慌策略建好后可以手动调整规则集合。第四步设置检测等级和动作。初始建议选「中」级高危规则设阻断、中低危规则设告警同时务必打开日志记录开关。很多人忽略日志开关结果策略跑了一个月想复盘时发现什么都没记下来等于白配。第五步配置例外规则把备份系统、网管系统、监控系统这些已知正常流量先加进去避免上线第一天就被误报淹没。第六步保存策略并绑定到防护对象和区域这一步在下一节单独讲它是「策略生效」的关键。关键参数按下面这个表设置作为初始值跑一周再根据日志调整。参数推荐初始值说明策略名称IPS-区域-级别例如 IPS-DMZ-中便于识别检测等级中先观察再收紧高危动作阻断高危特征置信度较高中低危动作告警避免误伤业务日志开关开启不记日志无法分析例外规则备份/网管/监控上线前先排白流量3.3 把策略绑定到接口与区域少这一步等于白配策略建好后在列表里但此时它还没有真正干活这是 IPS 配置里最容易忽略的一步。v6.8 的区域概念在部署时定义LAN、DMZ、WAN 分别对应不同安全区域IPS 策略必须绑定到「源区域 → 目的区域」的方向上才生效。只建策略不绑区域策略就一直躺在列表里当摆设。常见绑定方式是建两条策略。一条保护服务器区方向是「任意 → DMZ」或「WAN → DMZ」重点检测来自外部的攻击另一条保护办公终端方向是「LAN → 任意」重点检测终端访问外网时下载的恶意代码和僵尸网络外联。两条策略的动作和例外可以独立设置办公终端策略的例外通常比服务器区多因为办公业务流量更杂误报源头也更多。绑定后回到策略列表看这一条策略的命中计数。策略列表上的命中数从 0 变成非 0说明策略真的在检测流量。如果上线一天命中数还是 0按三个方向排查一是流量路径确认业务流量确实经过设备二是绑定方向检查源和目的区域是不是配反了三是协议覆盖确认防护对象的流量协议在检测范围内。这三个方向基本覆盖了「不命中」的大部分原因。提示策略命中计数是判断 IPS 有没有在干活的最快指标。上线后先记下初始值第二天对比一次。4. 调优检测级别与例外规则把误报率降下去的三个关键设置策略跑起来只是开始真正花时间的是调优。目标只有一个在保证检测覆盖率的前提下把误报率压到业务方可以忽略的程度。这里最常动的三个设置是检测级别、例外规则和模块联动顺序顺序不要乱一层一层来。4.1 检测级别四档怎么选低、中、高与自定义的取舍检测级别在新建策略时选一次后续要根据业务反馈反复调整。四档的实际差异是启用规则集合的规模级别越高纳入检测的规则越多覆盖面越宽误报概率也越大。界面上的差距不只是「严一点松一点」而可能是数量级的规则数量差异。级别典型动作适合阶段风险低全部告警首次上线、摸流量底不阻断防护为零中高危阻断、中低危告警混合业务区误报与覆盖较平衡高全部阻断服务器区误报影响大自定义按规则集逐一控制有经验之后的精细化需要熟悉规则集有真实业务在跑的环境不要从低级直接跳到高级中间至少留一周观察。级别跳升后一批新启用的规则会立刻开始产生告警很可能包含之前被忽略的误报。先看一周日志再把确定没问题的规则放开是代价最小的路径。服务器区可以用高级别因为服务器流量特征相对固定规则命中更可信。办公终端区建议长期保持中级办公业务的长尾流量太多高阻断的误伤成本远大于收益。4.2 例外规则与误报处置先放通再分析的标准流程误报处理最容易踩的坑是「为了恢复业务把例外写宽了」。标准流程应该是五步第一步在日志中心看到命中后点开事件详情看命中规则和报文摘要判断是真攻击还是误报。第二步如果判定误报加一条例外目的是快速恢复业务这一步动作要快。第三步例外规则立刻收窄尽量指定到源 IP、目的 IP、端口和协议不要把整个网段放通。第四步通过业务验证确认问题消失再回到策略列表检查这条例外的影响范围。第五步把误报信息反馈给规则库维护渠道等规则修正后移除例外。这里要特别强调例外规则的写法。正确做法是放通「某台备份服务器到某台数据库服务器的 5432 端口流量」而不是放通「数据库网段」。例外的优先级高于检测规则一旦加进去匹配范围内的流量就不再走深度检测。范围写得越宽防护空窗就越大。我见过一个案例为了放通备份流量把整个数据库网段写进例外结果这个网段半年内没有任何 IPS 事件等于裸奔了半年。提示例外规则优先级高于检测规则。加例外的瞬间这个方向上的深度检测就停了所以例外必须是临时方案不是终态。4.3 与实时漏洞防护等模块的联动顺序先基础后行为NGAF v6.8 的安全能力不止 IPS 一个模块旁边还有实时漏洞防护、僵木蠕虫检测等功能上有重叠但定位不一样。IPS 侧重已知攻击的特征匹配漏洞防护侧重针对系统漏洞的利用行为僵木蠕虫这类模块侧重行为分析。刚上手时不要把这些模块一次性全开否则一次误报叠加后面根本定位不到是哪个模块拦的。联动顺序建议是先基础后行为。先开 IPS 基础检测跑日志稳定后再开实时漏洞防护观察一周最后再开行为分析类的检测项。每开一层都要留观察窗口因为行为分析类模块误报率最高一次性全开放某一层误报可能直接导致业务方对整个安全体系失去信任后面再准确的结果也听不进去了。这个信任一旦丢了运维工作会变得非常被动。多个模块同时开启时同一条流量可能产生多条事件。排查时按时间、源 IP、目的 IP、端口把事件关联起来优先处理 IPS 的阻断事件行为分析类告警作为线索参考不要一上来就全部处理。日志量大的环境建议把事件导出到日志平台做关联分析只靠设备本地的页面翻起来效率太低也容易漏掉关键线索。5. IPS 上线后常踩的五个坑现象、原因与处置记录策略上线后真正头疼的不是配置时不会填而是某一天业务突然报障。下面五条是我在 v6.8 现场见过最多的坑按「现象 → 原因 → 解决」的顺序写方便对号入座。这些坑有一个共同特征问题都不是出在「策略写错」这个层面而是出在运维习惯和部署细节上。5.1 规则库半年没更新设备成了「好看的摆设」现象内网一台服务器被上传了恶意脚本事后翻 IPS 日志整月一条高危事件都没有。设备运行正常策略也都在但就是什么都没拦住。不是设备没工作是规则库里根本没有对应特征。原因规则库停留在几个月前的版本新出现的漏洞利用方式不在特征列表里。特征匹配型检测对未知攻击天然无感规则库不更新门岗的眼睛相当于被蒙上了。这个问题最隐蔽的地方在于平时完全看不出来设备稳定、日志正常只有出事以后回头看才发现规则库已经过期很久。解决把规则库升级纳入月度运维计划。外网环境在设备上直接在线更新内网隔离环境通过离线升级包手动导入。升完以后回到系统信息里确认版本日期真的变了再主动触发一次攻击测试确认能命中。规则库升级这件事本身不难难在坚持按月做建议在日历上设一个重复提醒每月的第一天检查。5.2 旁路部署只能告警攻击流量照样进了业务现象IPS 日志里每天几十条高危告警但服务器照样被拿下了业务方质疑设备到底有没有用。这种质疑很难解释因为从日志看设备「明明发现了攻击」但结果还是出了问题。原因设备部署在旁路拿到的是镜像流量只能看不能拦。IPS 的告警和阻断是两回事链路不经过设备阻断动作根本没有执行的机会。挂在交换机镜像口上时IPS 能看到流量是正常的但你以为它在防护就是误会了它更像一个高级抓包工具。解决先把网络拓扑确认清楚流量路径必须经过 NGAF 才能在线阻断。暂时不能改拓扑时把 IPS 告警接到日志平台配合网络设备做封堵联动算是过渡方案响应速度取决于联动配置的完善程度。长期来看要真正阻断攻击还是要做链路改造把设备串进流量路径这一步越早做越好。5.3 例外规则写得太宽整个网段直接失去检测现象某天开始一个网段经过设备的所有流量都不再触发任何 IPS 事件包括之前一直有命中的已知扫描行为。业务一切正常但安全视角看这个方向已经失明。原因为了处理一次误报在例外规则里只填了目的地址段没写源、端口和协议。例外优先级高于检测规则范围被放大到整个段等于这个方向的检测全部停了。例外里填单个 IP 和填网段界面上看上去差不多实际影响范围差好几个数量级。解决例外规则必须精确到源 IP、目的 IP、端口和协议能用五元组就不用两元组。处理误报时先快速放通恢复业务随后立刻把范围收窄并记一条待办去反馈规则库团队。每个季度检查一遍例外列表原则是越短命越好凡是超过一个季度还在的例外都要重新评估是不是真的还需要。5.4 管理组件残留控制台打不开还删不干净现象换了管理电脑之后控制台要么白屏要么提示组件异常。想要清理旧版本组件还会遇到相关文件夹删不掉的情况网上搜一圈发现「sangfor 能不能卸载」也是很多人问过的问题。这个问题和设备的 IPS 策略无关但几乎每个用 NGAF 的管理员都会遇到一次。原因管理端需要安装控制台组件来配合 Web 页面工作非标准卸载会留下文件和注册表残留。换了版本后旧组件和新控制台冲突表现就是打不开、删不掉。有些旧组件还带后台服务进程不结束文件夹就一直处于占用状态。解决先导出设备上已经生效的配置做备份再从控制面板走标准卸载流程卸载后重启电脑再清理残留目录。最后安装与 v6.8 匹配的管理组件版本。不要手动去删系统目录删不干净反而把系统搞乱还可能影响到其他依赖组件。如果清理完仍然异常可以联系技术支持拿专门的清理工具比自己折腾快得多。5.5 主备同步把测试策略推到了生产现象业务突然大面积被拦控制台里多了一条从没见过的策略命中量巨大看时间是刚刚同步过来的。业务方第一时间找到你而你甚至不知道这条策略是谁建的。原因主备设备做配置同步时测试环境里调试用的 IPS 策略被当成最新配置覆盖到了生产设备而测试策略动作是高阻断。主备环境的变更流程必须比单机更严格因为配置错误会被自动复制到所有节点影响面翻倍。解决同步前先对比两台设备的策略列表和版本号测试环境策略统一加 TEST 前缀方便一眼认出。同步完成后第一时间看策略变更日志发现问题直接手动回滚配置不要等下次同步覆盖。回滚后还要检查业务恢复情况并在变更记录里标注这次事故的原因避免同样的事再发生一次。6. 用日志中心和内置抓包验证 IPS 是否真在干活策略上线后不能只看「配置已保存」。IPS 对很多人来说是个黑匣子加了策略不看日志效果好坏全靠猜。v6.8 的日志中心里能看到 IPS 事件的告警量和阻断量上线后第一周每天固定看一眼。如果告警有量、阻断为零先查策略动作是不是忘了从「告警」切到「阻断」如果事件总数也是零按链路、绑定、部署模式三个方向查。6.1 用日志中心验证检测效果日志中心里按天看命中趋势正常情况是一条缓慢波动的曲线。数量突然归零或翻倍背后一定有原因不要用「玄学」来解释。另一个主动验证的方式是在有授权的测试环境里用扫描工具对着防护对象做一次轻量扫描然后看日志里是否能产生对应事件。能命中说明链路和策略都通了没命中就顺着链路逐段排查这个办法比反复看配置页面有效得多也更能让业务方信服。6.2 上线后我保留的三个运维习惯第一个习惯每次改策略前先导出配置v6.8 支持把当前配置打包导出文件名带上日期。改出问题能一键回滚这是最便宜的后悔药。第二个习惯每两周看一次规则库更新日期内网环境手动导入离线包。第三个习惯策略上线 24 小时内把当天 IPS 日志按规则名排序过一遍不只看数量而是看命中的规则类型是否符合预期。我自己翻过一次车。有台设备 IPS 上线后一周告警为零我当时以为是内部网络干净后来顺着链路查才发现策略根本没绑到区域上。打那以后我改完任何安全策略都会先跑一次业务巡检再主动触发一次测试流量确认日志里有事件、没有误报才关控制台。希望帮到你。本文还有配套的精品资源点击获取
