华为防火墙UTM技术

UTM：统一威胁管理，融合了IPS入侵防御系统，AV网关防病毒，上网行为管理，防DDOS攻击等特性，为了更好的解决来自企业内部、外部的攻击威胁提供了强有力保障（UTM包含入侵防御和内容过滤）
入侵防御（IPS）：
入侵防御是一种安全机制，通过分析网络流量，检测入侵（包括缓冲区溢出攻击、木马、蠕虫等），并通过一定的响应方式，实时地中止入侵行为，保护企业信息系统和网络架构免受侵害。
入侵防御是种既能发现又能阻止入侵行为的新安全防御技术。通过检测发现网络入侵后，能自动丢弃入侵报文或者阻断攻击源，从而从根本上避免攻击行为。入侵防御的主要优势有如下几点：
1．实时阻断攻击
2．深层防护
3.全方位防护
4.内外兼防
5.不断升级,精准防护
入侵防御可以和安全策略相结合

入侵检测（IDS）：只能去检测网络中的威胁，而不能去解决威胁

入侵防御实现机制：
重组应用数据
-进入IPS前，会先对IP分片报文重组和TCP流重组，确保应用层数据的连续性，有效检测出逃避入侵检测的攻击行为。
协议识别和协议解析
-进入IPS前，根据内容识别出多种应用层协议。识别出应用层协议后，根据具体协议进行精细的解码并深入提取报文特征进行入侵检测。
特征匹配
-将解析后的报文特征和签名进行匹配，如果命中了签名则进行响应。
响应处理
-完成检测后会根据管理员配置的动作对匹配到的签名进行响应处理。

签名：
入侵防御签名用来描述网络中存在的攻击行为的特征，通过将数据流和入侵防御签名进行比较来检测和防范攻击。如果某个数据流匹配了某个签名中的特征项时，设备会按照签名的动作来处理数据流。
每个签名都有缺省的动作，分为︰
放行：命中签名放行；
阻断：丢弃命中签名的报文，并记录日志；
告警：对命中签名的报文放行，但记录日志。
入侵防御签名分为预定义（默认存在的签名）和自定义签名。

签名过滤器：
由于设备升级签名库后会存在大量签名，而这些签名是没有进行分类的，且有些签名所包含的特征本网络中不存在，需要过滤出去，设置签名过滤器进行管理。
签名过滤器的动作分为∶
阻断：丢弃命中签名的报文，并记录日志。
告警：对命中签名的报文放行，但记录日志。
采用签名的缺省动作：实际动作以签名的缺省动作为准。
签名过滤器的动作优先级高于签名缺省动作，当签名过滤器动作不采用缺省动作时以签名过滤器中的动作为准。

例外签名：
由于签名过滤器会批量过滤出签名，且通常为了方便管理会设置为统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时，可将这些签名引入到例外签名中，并单独配置动作（如签名过滤器的动作为阻断，而过滤器中的签名1动作是告警，那么可以将签名1引入到例外签名中，其中签名1属于签名过滤器）。
例外签名的动作分为︰
阻断︰丢弃命中签名的报文并记录日志。
告警对命中签名的报文放行，但记录日志。
放行﹐对命中签名的报文放行，且不记录日志。

入侵防御对数据流的处理：
1.签名的实际动作由签名缺省动作、签名过滤器和例外签名配置的动作共同决定

2.当数据流命中的安全策略中包含入侵防御配置文件时（入侵防御配置文件与安全策略关联），设备将数据流送入到入侵防御模块，并依次匹配入侵防御配置文件引用的签名(入侵防御对数据流的通用处理见下图)。

检测方向：当配置引用了入侵防御配置文件的安全策略时，安全策略的方向是会话发起的方向，而非攻击流量的方向。

IPS特性使用流程：
1.申请并激活license
2.加载（升级IPS库）
3.IPS配置
4.编译提交

内容过滤（上网行为检测）：
内容过滤产生的背景：

内容过滤技术支持功能：
内容过滤的主要功能是检测网络中传输的数据中是否包含需要过滤的关键词，当发现过滤关键词后，根据设定的响应动作(告警或阻断）进行处理:
支持对各种文档类型文件进行内容过滤（文件名和文件数据)
支持对协议承载内容进行过滤
支持谷歌、雅虎、bing、百度搜索引擎的网页关键字搜索过滤
支持对zip、gzip、tar压缩的文件进行过滤
支持正则表达式

内容过滤处理流程：

总结：
UTM安全网关提供全面的防火墙、病毒防护、入侵检测、入侵防护恶意攻击防护，同时提供VPN和流量整形功能，在综合安全防护基础上，提供附加网络增值功能。内置负载均衡策略和双机热备模式支持，可长期稳定运行。

实验：外网untrust，内网trust

FW配置IP及划分区域、做路由
interface g1/0/0
ip address 192.168.1.254 24
interface g1/0/1
ip address 192.168.137.10 24
firewall zone trust
add interface g1/0/0
firewall zone untrust
add interface g1/0/1
ip route-static 0.0.0.0 0 192.168.137.1

配置安全策略

配置NAT策略

此时win7可以上网访问www.baidu.com和www.taobao.com

配置URL过滤，阻止内网win7访问www.taobao.com

将配置文件www.taobao.com应用到安全策略里

访问www.taobao.com被阻止