奇安信天眼面试题

1	天眼设备上线过程的关键配置项有哪些？	系统时间、网络配置、许可证管理、升级配置、联动配置、ES配置
2	流量传感器镜像流量注意事项有哪些？	双向流量、如内网有dns、代理和nat设置需要在镜像中体现客户端到对应设备的流量、不能超过传感器的处理上限
3	分析平台添加流量传感器后，如何通过分析平台"仪表板"-“系统维护”-“设备管理”中的 流量传感器 数据通道和存活状态 判断流量传感器添加是否成功？	数据通道：传感器---当前时间之前半个小时内，有tcpflow和dns日志写入es则显示正常。文件威胁鉴定器-半小时内有告警数据入es则显示绿色正常。否则为红色无数据。 存活状态：需要确保分析平台、传感器和沙箱的snmp配置一致且snmp网络端口可达，则存活状态绿色正常否则红色异常。
4	天眼设备遗忘的管理地址无法管理该如何处置？	1.外接显示器或者串口线连接，然后通过受限shell admin账户查看  skyeye360# show interface 2.流量传感器、分析平台、文件威胁鉴定器管理口都为eth0-eth3，分别对应的默认管理地址为https://192.168.0.1、https://192.168.1.1、https://192.168.2.1、https://192.168.3.1 可以尝试以上地址连接。
5	天眼设备授权证书过期后的影响有哪些？	商用版（正式版）证书过期后仅影响升级功能，试用版证书过期后设备无法正常工作，仅能访问到导入证书页面。
6	天眼设备如何数据清除&恢复出厂？	连接显示器，登陆shpass账号，通过Factory reset来恢复出厂 shpass   Qax-tss-$%^($720（该账号必须使用显示器登录） 部分产品可以直接在web管理页面选择恢复出厂即可
7	流量传感器向分析平台主要传输哪些数据内容？	1.威胁告警：网页漏洞利用、webshell上传、网络攻击、威胁情报 2.网络日志：网络协议流量日志、网络协议行为日志等
8	天眼设备上线后无威胁告警产生该如何处置？	1. 传感器无告警问题分析 1.1 检查接入流量：（1）通过传感器web管理页面-状态监听，查看网络流量是否正常（2）检查镜像的流量是否为双向流量（3）检查是否配置流量过滤 1.2 检查检测规则：（1）检查威胁检测开关是否打开（2）检查检测规则是否存在并开启 1.3 检查系统版本&规则版本是否为最新 2. 分析平台无告警问题分析 2.1 检查传感器&分析平台联动配置：（1）检查传感器传输规则配置的传输内容、传输对象是否配置正确 （2）检查传感器和分析平台两端的加密算法和加密秘钥是否一致  （3）检查流量传感器传输日志白名单的配置是否正常，存在白名单的日志将不会发送至分析平台 2.2 检查分析平台：（1）检查运营配置-告警展示配置 通过分析平台web管理页面-系统配置-基础配置，检查告警展示配置中采集设备、攻击结果、攻击类型配置是否正确 （2）检查告警是否加白 （3）分析中心-日志检索无告警检查ES集群   若分析中心-日志检索无告警，需要检查ES集群是否正常
9	天眼一体机接入客户网络的部署方式有哪几种，有何区别？	一体化整机提供三种网络配置方案：标准模式、软交换模式、NAT模式，以适应可能遇到的不同的网络环境限制，如只提供单跟接交换机的网线给整机、只提供单个客户环境IP地址给整机等。 假设一体化设备内置节点数量为n，1系节点数量1,3系节点数量为2,5系节点数量为3，最多扩展节点数量为4。 一 标准模式 整机对外通信需要n根网线，n个客户环境IP地址。 同标准天眼产品网络配置，每个节点板有独立外部网线和客户环境IP地址。 二 软交换 整机节点对外通信需要1根网线，n个客户环境IP地址。 威胁分析模块的4个GE口配置为2层工作模式(switch模式)，一口连接客户环境网络，另外三口连接机箱内其他节点。 威胁分析模块共5个口，四个物理网口（switch模式），一个虚拟口mgt（router模式）。 三 NAT 整机节点对外通信需要1根网线，1个客户环境IP地址，模块内部通信需要n-1个内部地址。 威胁分析模块1个GE口配置为3层工作模式(router模式)，另外3个GE口(eth1,eth2,eth3)配置为2层工作模式(switch模式)，通过iptables NAT转发外部访问机箱内其他节点的流量。 威胁分析模块共5个口，四个物理网口（连接外网的网口为router模式，其他三个为switch模式），一个虚拟口mgt（router模式）。
10	天眼系统刚上线时应该如何设置旁路阻断功能对现网业务影响较小？	当系统刚上线试运行旁路阻断功能时，建议分几个阶段逐步配置旁路阻断。 步骤1：建议通过分析平台开启观察模式，开启后产生阻断日志但是系统不执行阻断动作，可以观察分析阻断日志来评估阻断的效果和影响。 步骤2：步骤1执行一段时间，确认阻断日志在可控范围内时，可以关闭观察模式，开启黑名单配置。配置黑名单后，只有配置了阻断（或封禁）策略，且同时命中黑名单的配置后，系统才执行阻断动作。在刚上线阶段可以先配置阻断策略（或封禁策略），逐步添加黑名单，当运行一段时间确认阻断效果和影响范围后，再删除黑名单。 步骤3：步骤2执行一段时间，确认阻断效果和影响范围后，可以删除黑名单。后续可以自行开启或者关闭阻断策略、配置封禁策略、配置自动封禁策略，同时可以搭配白名单使用。在没有黑名单的情况下，命中白名单的流量系统不执行阻断对其放行。注意黑名单的优先级最高，当黑名单有配置的时候白名单将失效。