Check Point防端口扫描

本文章简要介绍Check Point NGFW在防端口扫描方面是怎么实现的。

1.官方介绍
官方有一篇SK(110873)是介绍如何通过IPS签名来实现防端口扫描的，签名名称:Host Port Scan。但是通篇读完这个SK，发现这个签名不能直接拦截端口扫描的流量，看完也就放弃深入研究了。

2.SmartEvent Policy
Google上搜出来一篇文章,链接如下：
https://community.checkpoint.com/t5/IPS-Anti-Virus-Anti-Bot-Anti/How-can-I-avoid-quot-Host-Port-quot-scan/td-p/18550
这篇文章是官方论坛Check Mates上有人发帖针对上面的SK110873内容的追问，追问怎么直接通过IPS签名来防端口扫描。以下内容是根据这篇讨论帖实际测试来的，端口扫描的工具是nmap。
2.1.具体步骤：
在LOG&MONITOR里面打开SmartEvent Setting&Policy，在左侧打开Event Policy–>Scans,这里有多种防扫描策略(从内到外的扫描、从外到内的扫描、IP扫描等)：

我们以“Port scan from external network”这条为例


上面是定义的扫描策略，下面是例外内容。

原理是在指定时间内，Connections超过指定的值就算违规。

Sererity：定义此类事件的安全级别，默认是Medium。
Automatic Reaction：定义匹配定义的扫描条件后，自动执行的动作，可以同时指定多个动作，支持的动作如下：

以Block Event activity为例：

如上，定义自动执行的动作是匹配定义的策略后，Block源地址10分钟(支持自定义时间)
创建完之后在Automatic Reaction条用即可：

配置完成后，点击如下图标下发Event策略
或者点击菜单栏的Action–>Install Event Policy下发策略即可

2.2.Nmap模拟扫描流量

2.3.查看Log

2.4.查看Automatic Reaction事件：
在Smartconsole的LOG&MONITOR里面打开Tunnel&User Monitoring，点击Tools–>Suspicious Activity Rules查看

此处可以看到哪些源IP被执行了Automatic Reaction以及什么事件到期(解除限制)。

此方法要求运维人员对自己的业务要有一定的认识，要清楚connections设置多少才算违规，越精确、越贴近业务，效果越好。