华为安全 HCIP722笔记_filewall ddos bgp

1、USG6000V软件逻辑架构分为三个平面：管理、控制、数据转发。

 USG6000的反病毒库的升级方式：本地升级、在线升级。

在线升级分为：定时升级、立即升级。

USG6000的主要攻击防范技术：首包丢弃、阻断和限流、过滤器、黑白名单。

限流技术可以防范DNS Flood。

以下关于反病毒特征库在线升级的描述，错误的是哪—项?

2、DNS Request Flood 攻击。源认证过程中防火墙会触发客户端以TCP报文发送DNS请求，用以验证源IP的合法性，但是在一定程度上会消耗DNS缓存服务器的TCP连接资源。

（填空题）DNS Request Flood攻击是 直接或间接向DNS缓存服务器发送大量不存在的域名解析请求，导致DNS缓存服务器不停向授权服务器发送解析请求，最终导致DNS缓存服务器超载，影响正常业务的攻击。

3、DDos攻击属于流量型攻击。

4、匹配方式：前缀匹配、后缀匹配、关键字匹配、精确匹配。

关键字的匹配模式：文本、正则表达式。

关键字的响应动作：告警、阻断、按权重操作。

在按权重操作中，如果权重值大于等于告警阈值，小于阻断阈值，则执行告警操作，且告警动作只执行一次。

关键字最短3个字节。

不同的匹配方式存在优先级顺序，由高至低为：精确匹配> 后缀匹配> 前缀匹配> 关键字匹配

5、UDP flood 的三种防御方式：指纹学习、关联防御、限流。

6、文件过滤技术：根据文件特征进行文件过滤，FW能够识别出承载文件的应用、文件传输方向、文件类型和文件扩展名。

错误的：如果文件的所有参数都能够匹配所有（应该改为一个）文件过滤规则，那么模块将执行此文件过滤规则的动作。

文件过滤的步骤：安全策略应用为permit、应用识别、协议解码、文件类型识别、文件过滤

承载文件的应用：文件是承载在应用协议上传输的，例如HTTP、FTP、SMTP、POP3、NFS、SMB、IMAP。

文件传输方向：包括上传和下载。

文件过滤：若文件解压失败，不会再进行文件过滤。

文件类型识别结果有三种异常情况：

（1）文件扩展名不匹配：文件类型与文件扩展名不一致。

（2）文件类型无法识别：无法识别文件类型，且没有文件扩展名

（3）文件损坏：由于文件被破坏而无法进行文件类型识别。

（1）安全策略应用为permit

（2）应用识别

（3）协议解码

（4）文件类型识别

（5）文件过滤

8、USG6000文件过滤技术：不会对文件进行宣告。

USG6000支持对以下协议进行病毒扫描和处理。

宣告和删除附件动作仅对SMTP协议和POP3协议生效。

9、流扫描与代理扫描

代理扫描方式：将所有经过防火墙的需要进行病毒检测的数据报文透明的转交给防火墙自身的协议栈，通过防火墙自身的协议栈将文件全部缓存下来后，再送入病毒检测引擎进行病毒检测。

流扫描方式：依赖于状态检测技术以及协议解析技术，提取文件的特征与本地签名库进行匹配。

基于代理的反病毒网关可以进行更多如解压，脱壳等高级操作，检测率高，但是由于进行了文件全缓存，其性能、系统开销将会比较大。

基于流扫描的反病毒网关性能高，开销小，但该方式检测率有限，检测率低于代理扫描。

10、应答码：（通常是一个IP地址，可以是一个保留IP段的地址，没有统一规定）

FW根据应答码判断来自该SMTP Server的邮件是否为垃圾邮件。

如果从RBL服务器获得的应答码与FW上配置的应答码一致，该SMTP邮件将被视为垃圾邮件。

 如果从RBL服务器获得的应答码与FW上配置的应答码不一致，该SMTP邮件将被放行。

RBL:实时黑名单列表(Realtime Blackhole List)，即实时黑名单技术，简称RBL。

11、IPS可以旁路或者直路部署。(不能检测垃圾邮件)

旁路部署方式：   

SPAN：也叫做端口镜像或者端口监控，是通过交换机配置将某个端口或某组端口的流量复制到另外的端口实现的。

Tap：接在交换机与路由器中间，旁路安装，拷贝一份数据到IPS中；

直路部署方式：

Inline：接在交换机与路由器中间，在线安装，在线阻断攻击。

12、异常流量清洗方案系统主要包括三个组成部分：管理中心ATIC、检测中心、清洗中心

检测中心（配置端口镜像）

对镜像或者分光过来的流量进行DDoS攻击流量的检测和分析，将分析数据提供给管理中心进行判断。

管理中心:设备管理、策略管理、报表呈现。（在管理中心上添加防护对象）

由服务器系统组成，也称之为ATIC管理系统。主要完成对攻击事件的处理、控制清洗中心的引流策略和清洗策略，并对各种攻击事件和攻击流量分类查看，产生报表。

管理中心设备分为两个组件：

数据采集器：一台清洗设备对应一台数据采集器，数据采集器负责异常流量清洗业务数据采集、解析、汇总、入库并负责将汇总后的流量上报管理服务器用以报表呈现；

管理服务器：负责异常流量清洗方案设备集中管理配置及业务报表呈现。

支持分布式部署集中管理：数据采集器和管理服务器支持分布式部署和集中式部署两种部署模式；分布式部署模式下具备很好的可扩展性，管理服务器可同时管理50台DDoS防御设备。

清洗中心（配置引流和回注）

由执行清洗任务的硬件系统组成，主要是根据安全管理中心的控制策略进行攻击流量牵引并清洗，把清洗后的正常流量注回到客户网络，发送到真正的目的地。

单 CPU 的 Anti-DDos 盒式设备，可以部分接口工作在检测模式，部分接口工作在清洗模式。

引流方式有两种：

策略路由静态引流：核心设备上通过配置静态路由或者策略路由方式将流量引到清洗设备上；

BGP动态引流：通过BGP实现动态引流。清洗中心通过与核心设备建立BGP邻居，通告一条到目的地址的主机路由，将流量“骗”过来，清洗后再回注回去。这条主机路由是管理中心动态下发的一条静态路由，并且已经引入了BGP。

回注方式：

策略路由回注：通过策略路由将清洗后流量回注；

路由回注：通过默认路由或者动态路由方式回注；

VPN回注：通过GRE VPN或者MPLS VPN方式回注；

二层回注：如果上下行在一个网段，通过子接口或Vlanif接口方式回注。

使用BGP引流，推荐使用策略路由回注、GRE VPN、MPLS VPN方式回注。

逐流检测过程排序：对于 AntiDDos 进行逐流检测的过程排序 

1)Netflow 分析设备对现网流量进行采样。

2)向清洗中心发送引流命令。

3)发现 DDos 攻击流量。

4)Netflow 分析设备发送告警给 ATIC 管理中心。

5)异常流量被引流到清洗中心进一步检查和清洗。

6)清洗中心发送受攻击对象 IP 地址服务器的主机路由给路由器，实现引流。

13、当文件的压缩层数大于所配置的“最大解压层数”时，防火墙无法过滤该文件。

病毒检测系统可以直接检测压缩过的文件。

14、DDos攻击防范配置流程：流量统计、流量超过阈值、启动攻击防范、执行防范动作。

15、基于网络的入侵检测系统（NIDS）有如下特点：

监测速度快：能在微秒或秒级发现问题，基于主机的IDS要依靠对最近几分钟内的审计记录的分析；

隐蔽性好：基于网络的监视器不运行其他的应用程序，不提供网络服务，可以不响应其他计算机，因此不易受到攻击；

视野更宽、较少的监测器、攻击者不易转移证据、操作系统无关性。

入侵检测只能检测到源地址和目的地址，不能识别地址是否违造，所以难以定位真正的入侵者。

基于网络的入侵检测系统主要用于实时监控网络关键路径的信息，侦听网络上的所有分组，采集数据，分析可疑对象；

使用原始网络包作为数据源；

通过网络适配器来实时监视，并分析通过网络的所有通信业务，也可能采用其他特殊硬件获得原始网络包；

 16、云沙箱远程检测服务过程：

上报可疑文件、云端沙箱进行检测、防火墙联动防御、回溯攻击事件。

沙箱不能代替IPS等设备。

沙箱可以对：WWW文件、PE文件和图片文件进行检测。

沙箱可以检测：加壳文件、压缩文件、WEB网页、办公文档、图片文件。

17、签名集是预定义签名的集合。签名集的动作优先级高于签名默认动作。

覆盖签名（应该也叫例外签名）优先级高于签名集。例外签名的动作优先级高于签名过滤器的。如果一个签名同时命中例外签名和签名过滤器，则以例外签名的动作为准。

例外（覆盖）签名>签名集>签名。

签名：入侵防御签名用来描述网络中存在的攻击行为的特征，通过将数据流和入侵防御签名进行比较来检测和防范攻击。如果某个数据流匹配了某个签名中的特征项时，设备会按照签名的动作来处理数据流。

入侵防御签名分为预定义和自定义签名。

签名属性：ID/协议/方向。

签名过滤器：签名满足所有过滤条件，才能加入签名过滤器。签名过滤器的过滤条件包括：签名的类别、对象、协议、严重性、操作系统等。

由于设备升级签名库后会存在大量签名，而这些签名是没有进行分类的，且有些签名所包含的特征本网络中不存在，需要设置签名过滤器对其进行管理，并过滤掉。

签名过滤器的动作：阻断、告警、签名的缺省动作。

例外签名的动作：阻断、告警、放行、添加黑名单。

 签名过滤器的动作优先级高于签名缺省动作，当签名过滤器动作不采用缺省动作时，以签名过滤器中的动作为准。

入侵防御文件只能包含一个签名过滤器和多个例外签名。

18、入侵防御系统构成：事件提取、入侵分析、入侵响应、远程管理。

19、SQL注入攻击的步骤：

判断网页是否存在漏洞、判断数据库类型、获取数据库中的数据、提权。

SQL注入会携带在HTTP post和HTTP get报文中。

20、特殊报文攻击不具备直接破坏性

21、APT攻击，即高级可持续威胁攻击,也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。

APT攻击利用的是0day漏洞。零日漏洞，是指还没有补丁的安全漏洞。

攻击者向感染主机发送 C&C 攻击或其它远程指令，使攻击在内网横向扩散。

APT攻击的四个阶段：1.搜集信息&入侵、4.远程控制与渗透、2.长期潜伏&挖掘、3.数据泄露。

IPS设备不能直接检测到APT类型的攻击。

22、URL过滤配置文件，若网站属于两个类别的网站，有一个类别为阻断，则用户无法访问。

23、华为 WAF 产品主要由执行前端、后端中心系统及数据库组成。其中数据库主要存储前端的检测规则及黑白名单等配置文件。

白名单优先级高于黑名单。

WAF防篡改步骤：

WAF防篡改基于缓存模块，1、首先启动学习模式对用户访问网站的页面内容进行学习，2、学习完成后将页面内容存储在缓存中，3、当服务器页面发生篡改并有用户访问该页面时，4、WAF首先会获取服务器的页面内容，并和缓存中的页面内容进行水印比对，5、当发现页面篡改时WAF则使用缓存中的页面返回给客户端，达到视觉防篡改。

24、误用检测与异常检测：

异常检测模型：首先总结系统主体的（单个用户、一组用户、主机、系统中的某个关键的程序和文件等）正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为时入侵。

误用检测（特征检测）模型：收集非正常操作的行为特征，建立相关的特征库，当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为时入侵。

异常检测可发现未知的攻击方法，体现了强健的保护机制，但对于给定的度量集能否完备到表示所有的异常行为仍需要深入研究

异常检测与误用检测的优缺点对比:

25、NIP6000在出厂配置启动后，默认接口是二层接口且自动成对，无需设置IP地址。

26、未授权的访问会对信息安全会造成完整性和机密性。

信息安全是对信息和信息系统进行保护，防止未授权的访问、使用、泄露、中断、修改、破坏并以此提供保密性、完整性和可用性。

27、

网络攻击分类（两大类）：

流量型攻击：网络层攻击、应用层攻击。

单包攻击：畸形报文攻击、特殊报文攻击、扫描窥探攻击。

特殊报文攻击：ICMP/Tracert/带时间的ip。（ICMP/UDP/IP）

特殊报文攻击，是指攻击者利用一些合法的报文对网络进行侦察或者数据检测，这些报文都是合法的应用类型，只是正常网络很少用到。特殊控制报文攻击也是一种潜在的攻击行为，不具备直接的破坏行为，攻击者通过发送特殊控制报文探测网络结构，为后续发动真正的攻击做准备。

畸形报文攻击：Ping of Death，IP分片报文攻击,Land攻击属于单包攻击。

IP Fragment攻击，分片攻击

DF（不支持分片）=1,而MF（最后一个分片）=1或者 Fragment Offset（分片偏移量）不为0.(110)

DF=0，Fragment Offset+length>65535 （DF=0表示可以分片，length分片长度。）(0>)

扫描窥探攻击：地址扫描和端口扫描攻击。

扫描类攻击：是一种潜在的攻击行为，并不具备直接的破坏行为，通常是攻击者发动真正攻击前的网络探测行为。分为地址扫描和端口扫描。扫描类攻击的源地址是真实的，因此可以采用直接加入黑名单的方法进行防御。扫描类攻击的扫描速度决定了攻击防范的有效性。蠕虫病毒爆发的时候，伴随着一般就是地址扫描攻击。

 流量型攻击：流量型攻击最通常的形式是Flood方式，这种攻击把大量看似合法的TCP、UDP、ICMP包发送至目标主机。DNS,HTTP,FIN/RST.

ICMP flood攻击

Fraggle和Smurf都会产生大量无用的应答报文，占用网络带宽，消耗设备资源。

28、Web攻击的来源：（三个方面的攻击：客户端、服务器、通信通道）

客户端：网站木马、钓鱼欺骗、活动内容攻击

服务器：Web服务器的漏洞，授权、认证攻击、跨站脚本攻击、SQL注入

通信通道：Dos、CC攻击、窃听、SSL重定向。

Web基于客户端（Client）/服务器架构(Server)架构来实现。

29、云时代的事前、事中、事后。

事前：白帽众测、漏洞情报。

事中：纵深防御、攻防态势

事后：反击黑客 

 

30、NIP组网的可靠性保障：双机热备、Link-group。

31、bypass:就是可以通过特定的触发状态（断电或死机）让两个网络不通过网络安全设备的系统，而直接物理上导通，所以有了Bypass后，当网络安全设备故障以后，还可以让连接在这台设备上的网络相互导通，当然这个时候这台网络设备也就不会再对网络中的封包做处理了。

32、应用行为控制配置文件引用后即时生效，无需配置提交。p86

WEB信誉配置无需提交。

对 IPS 策略的修改不会立即生效，需要提交编译来更新 IPS 策略的配置

内容安全过滤需要提交。防火墙要提交。安全配置文件后，配置内容不会立即生效:需要单击界面右上角的“提交”来激活。

应用行为控制管控的行为是：HTTP、FTP、IM(及时通讯)

FTP过滤策略可以执行阻断和告警。

HTTP行为控制支持：允许、禁止、告警。

禁止HTTP访问某些页面：检测 HTTP connect.

33、内容过滤技术：文件内容过滤、应用内容过滤、邮件过滤技术、应用行为控制。
内容过滤技术可以对：关键字进行过滤。

基于IP的邮件过滤技术：本地黑名单、RBL 远程查询、本地白名单。

53、Anti-DDos防御系统：

七层防御可以从基于接口的防御、基于全局的防御和基于防护对象的防御维度来工作的。

54、大数据智能安全分析平台

数据处理：数据预处理、分布式存储、分布式索引。

大数据特性：数据量巨大、数据种类繁多、价值密度低。

 55、fraggle攻击是UDP攻击。land攻击是TCP。(FU、IT)

56、内容安全过滤技术的实现需要内容安全组合License 的支持。

反病毒功能需要License支持，在进行反病毒功能配置前，需要申请并激活反病毒特性的license。

57、反向代理模式是指WAF在旁路模式部署可实现防护功能，部署时只需将网站的域名或抢占服务器IP方式，访问时先访问到WAF，WAF检测后再将流量转发给服务器。

58、入侵检测系统的特点：无法检测来自内部人员地恶意操作或者误操作。

59、存储型XSS地攻击步骤：

③用户登录

②攻击者提交包含已知 JavaScript 的问题

④用户请求攻击者的问题 

⑤服务器对攻击者的 JavaScript 做出响应

⑦攻击者的 JavaScript 在用户的浏览器中执行

⑥用户的浏览器向攻击者发送会话令牌

①攻击者劫持用户会话

60、安全中心平台网址：sec.huawei.com

61、IPS支持阻断、告警、放行三种响应方式。

IPS，IPS会实时阻断入侵行为，是一种侧重于风险控制的安全机制。（保护--控制）

IDS，主要作用是监控网络状况，发现入侵行为并记录事件，但是不会对入侵行为采取动作，是一种侧重于风险管理的安全机制。

62、HTTP行为控制项：POST操作、浏览网页、代理上网、文件上传/下载。

63、查看AV引擎以及病毒库版本的命令行：display version av-sdo

64、PDRR模型：Protection(防护)、Detection(检测)、Response(响应)、Recovery(恢复)。

65、profile:简介。application：应用。

66、HTTP协议的请求方法有GET、POST、HEAD、PUT、DELETE、OPTIONS、TRACE、

67、（填空题）

为防范Slow-Post类型的CC攻击，WAF会检测HTTP头部种的Content-Type字段是否异常。

Http slow post 属于流量型Dos攻击。

68、（填空题）若想调用IPS配置文件，在IPS的安全策略中应将策略的动作设置为permit。

69、ICMP Flood攻击：让目标服务器CPU一直繁忙从而实现瘫痪目标服务器。

70、Anti-DDoS方案按检测方式分：逐包检测和Netflow检测2种，清洗方案相同。

逐包检测:

NETflow(精确)检测:

73、cookie 

可以通过cookie携带服务器给终端用户分配的Session值。

74、WAF的应用层访问控制功能：

应用层访问控制优于规则检查

在应用层访问控制中被匹配中的内容，且行为为检测的才会执行规则检查。 

WAF基于7层防护技术，又叫做纵深安全防御。

WAF的部署方式：透明代理、反向代理、网关模式。

85、（连线题）

对用户的HTTP行为、FTP行为和IM行为进行精确的控制————————————应用行为控制

根据文件类型对文件进行过滤——————————————————————————文件过滤

使用IP地址检查和邮件内容检查过滤技术，帮助局域网用户提高邮件系统的安全性。——邮件过滤

86、NFV:NFA2000V,AntiDDoS网关。

87、NGFW 支持的文件过滤承载应用包括以下哪些选项:FTP、HTTP、NFS、SMTP。

88、(填空题）

为防止泄露Web服务器版本，WAF可以删除http response中的Server头部。

89、b.*d

.:匹配任意非换行字符。

*：匹配前面的字符或者表达式零次或多次。

bad、abroad

90、HTTP 状态码