提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

二、基础排查:检查僵尸网络配置

|

问题描述

检查僵尸网络配置

告警信息

可能原因如下:
1、数据未经过防火墙——确认网络环境,核实数据是否有经过防火墙
2、僵尸网络策略配置错误,规则库非最新版本——检测僵尸网络策略配置,确认源目的区域、网络对象、动作等是否正确,查看规则库版本是否为最新的
3、添加了全量白名单或僵尸网络白名单——检查僵尸网络白名单及全局白名单设置,是否有开直通
4、防火墙规则不支持检测该域名——在深信服智安全库www.sec.sangfor.com.cn查看是否有该域名的信息,若是没有则联系威胁情报研发分析,若有则到设备上查询是否有该域名信息
5、AF自身解析了恶意域名导致被通报——检查AF是否配置了基于恶意域名的应用控制策略且开了主动查询导致AF解析恶意域名
详细操作方法可以参考下列有效排查步骤说明

有效排查步骤

1、确认AF的部署环境与网络拓扑,理清对应源IP经过AF时的数据流,确保流量过防火墙设备;

2、检查僵尸网络配置,检查僵尸网络规则库日期
新增策略及区域选择,终端防护的方向选择需要注意,源是内网区域,目标为外网区域;
检查僵尸网络规则库日期,如规则库日期没有更新到最新则有可能存在漏判;

检查是否开启云鉴功能,云鉴能触发未知威胁规则库更新:
云脑-云智:对应AF8.0.8之前的高级威胁对抗,就是常规的规则库更新
云脑-云鉴:对应AF8.0.8之前的未知威胁防御,上报云端检查并触发未知威胁规则库更新
PS;开启云鉴后,未知域名会进行云查,云查的规则库可能会对非热点域名进行放通动作

3、检查防火墙是否支持检测该域名,在安全防护规则库-僵尸网络识别库-URL查询中查看

4、检查僵尸网络白名单及白名单设置,是否存在源IP、目的IP、目的域名,内网存在dns代理场景还需要检查是否有包含DNS服务器地址;是否有开直通




5、检查AF是否配置了基于恶意域名的应用控制策略且开了主动查询导致AF解析恶意域名


解决方案

以上步骤未解决您的问题,可收集以下信息问题流转L2:
1、漏过的域名信息
2、设备的配置信息,以及流量确保流量经过防火墙
3、设备版本信息及规则库版本信息

我要分享
文档编号: 211433
作者: admin
更新时间: 2023-01-05 17:29
适用版本: