企業(yè)內(nèi)網(wǎng)的服務(wù)器都存有企業(yè)的重要信息，包括CRM用戶信息、技術(shù)資料等。所以內(nèi)網(wǎng)服務(wù)器的信息安全是企業(yè)網(wǎng)絡(luò)管理的重點(diǎn)。內(nèi)網(wǎng)服務(wù)器不但面臨外來(lái)的攻擊，也會(huì)受到來(lái)自內(nèi)部的攻擊。在本文中，我將介紹如何用WFilter NGF的入侵防御模塊來(lái)保護(hù)內(nèi)網(wǎng)服務(wù)器。網(wǎng)絡(luò)結(jié)構(gòu)圖如下：

WFilter NGF用網(wǎng)橋部署模式，接在內(nèi)網(wǎng)和服務(wù)器網(wǎng)段以及互聯(lián)網(wǎng)之間，既可以做外網(wǎng)上網(wǎng)行為管理，又可以保護(hù)服務(wù)器網(wǎng)段。

1. 開(kāi)啟入侵防御

開(kāi)啟入侵防御功能，并且對(duì)內(nèi)網(wǎng)攻擊設(shè)置為“僅記錄日志”。

2. 對(duì)服務(wù)器網(wǎng)段進(jìn)行網(wǎng)絡(luò)掃描

網(wǎng)絡(luò)攻擊的第一步首先需要進(jìn)行網(wǎng)絡(luò)掃描，根據(jù)掃描的結(jié)果再進(jìn)行下一步的滲透。如下圖，在kali_linux中，用metasploit中db_nmap命令對(duì)服務(wù)器的IP進(jìn)行網(wǎng)絡(luò)掃描；可以看到服務(wù)器的開(kāi)放端口、軟件版本等信息。

在入侵檢測(cè)模塊和事件查看器中，可以看到攻擊事件。如果開(kāi)啟了告警事件轉(zhuǎn)發(fā)，還可以把告警事件轉(zhuǎn)發(fā)到管理員郵箱。

3. 記錄內(nèi)網(wǎng)攻擊的日志并封鎖IP

默認(rèn)的配置下，入侵防御只記錄內(nèi)網(wǎng)攻擊的事件，并不會(huì)禁止該內(nèi)網(wǎng)IP；您可以根據(jù)該事件記錄到終端上去查證核實(shí)后處理。如果您的服務(wù)器安全要求比較高，可以把“內(nèi)網(wǎng)攻擊”設(shè)置為“記錄日志并封鎖ip“。這樣配置后，一旦檢測(cè)到攻擊，就會(huì)立刻封鎖該IP。如圖：

我們?cè)儆胟ali_linux來(lái)掃描一下。掃描前先ping服務(wù)器是通的。如圖：

執(zhí)行掃描后，服務(wù)器就ping不通了，而且掃描出來(lái)的信息少了很多（因?yàn)閃Filter一檢測(cè)到掃描就封鎖了IP，導(dǎo)致后續(xù)的掃描不能繼續(xù)下去）

在WFilter的”入侵檢測(cè)“中，可以看到該IP被封鎖的操作記錄。

經(jīng)過(guò)上述配置，就可以有效的對(duì)內(nèi)網(wǎng)服務(wù)器進(jìn)行實(shí)時(shí)保護(hù)，從而避免服務(wù)器被內(nèi)外網(wǎng)惡意攻擊。