NGAF v6.8 IPS配置实战：策略、规则集与动作模式调优指南

简介这份PDF是深信服官方出品的SANGFOR NGAF v6.8版本IPS配置指导文档面向网络管理员、现场技术支持与运维工程师帮助其在NGAF设备上正确部署入侵防御功能、保障企业网络与数据安全。文档共9页按介绍、功能简介、应用场景、必要条件说明、配置思路、配置方式及截图、确认授权、IPS策略配置步骤、功能测试方法及截图、注意事项等模块展开覆盖从授权确认到策略创建、编辑、激活的完整流程并给出漏洞测试与口令暴力破解测试的具体方法与截图参考。资源包为单一PDF文件大小约633KB轻量便于随查随用。目前已有144人学习下载适合需要快速上手NGAF IPS配置、对照官方步骤完成策略落地与功能验证的网络安全从业者参考。1. 从一份 IPS 配置指导说起边界在哪活怎么干很多人拿到 SANGFOR_NGAF_v6.8_IPS配置指导.pdf 这类文档第一反应是翻到「配置步骤」那几页照着界面点一遍以为 IPS 就上线了。真到业务被误拦、或者攻击流量从眼皮底下溜过去的时候才发现问题不在点没点对而在策略顺序、动作模式、例外清单这些地方根本没想清楚。这篇笔记就围绕 NGAF v6.8 上的 IPS 配置展开把「这是什么、怎么配、参数怎么定、坑在哪」一条线讲透。适合手里有 NGAF 设备、需要把 IPS 真正跑起来并且敢对结果负责的运维和安全同学。我不会复述那份 PDF 的目录而是按实际落地顺序把每一步背后的判断讲清楚让你配完能解释为什么这么配。2. IPS 在 NGAF 上到底怎么工作先搞懂检测链路再动手2.1 从流量进设备到动作生效中间过了几道手NGAF 上的 IPS 不是独立盒子它嵌在整条安全处理链路里。流量从接口进来先做会话建立和基础协议解析然后才轮到 IPS 引擎做特征匹配和异常检测。这个顺序决定了几个关键事实如果会话都没建起来IPS 根本看不到应用层内容如果前面有策略把流量放行了IPS 仍然可以在这条流里做检测并触发阻断。常见做法是把 IPS 策略挂在具体的防护对象上而不是全局一把梭。防护对象可以是某个区域、某段地址、某个用户组挂载点选得越准后面例外和调优越省事。我一般会先画一张流量路径草图标清楚哪些流量必须过 IPS、哪些只是路过这张图后面配策略时直接当清单用。检测引擎本身分两类手段基于特征的签名匹配和基于行为的异常检测。签名匹配靠预置规则库命中已知攻击模式就触发异常检测看的是协议合规性、请求频率、载荷长度分布这些统计特征。v6.8 的规则库会定期更新但更新不等于生效你得确认规则集在策略里被引用且动作模式允许它动作。很多人配完发现「规则明明有怎么不拦」最后查出来是策略里引用的规则集是旧的或者动作设成了「告警」而不是「阻断」。所以动手前先确认三件事规则库版本、策略引用的规则集、动作模式这三样对不上后面全白搭。2.2 策略、规则集、动作模式三者的关系把 IPS 配置拆开看核心就三个对象策略、规则集、动作。策略是容器决定「谁受检」规则集是内容决定「查什么」动作是结果决定「查到之后怎么办」。这三者的关系容易配乱常见错误是建了一堆策略每个策略引用不同规则集最后自己都记不清哪条流量走了哪套规则。我的习惯是先把规则集按业务维度分好比如「Web 服务通用」「数据库防护」「办公网客户端」每个规则集里只放跟这个场景相关的签名然后策略按防护对象引用对应规则集。动作模式上新上线阶段一律先设「告警」跑一到两周看日志确认没有大面积误报之后再切「阻断」。这个顺序不能反一上来就阻断业务断了你连回滚都来不及。动作模式还有一层细节阻断分「会话阻断」和「报文丢弃」。会话阻断是发 RST 把连接掐掉对 TCP 业务影响直接报文丢弃是静默丢包适合 UDP 或者不想让对方感知的场景。v6.8 里这两个选项在不同规则里可能叫法略有差异配的时候看清楚。另外「告警」模式下日志级别要调够不然只记个命中次数没有 payload 摘要后面调优没有依据。我一般会把告警日志的详细程度开到能看见请求行和关键头部同时注意日志量别把磁盘写爆。2.3 最小可用配置从零建一条能验证的 IPS 策略下面这段是 NGAF v6.8 上建一条最小 IPS 策略的典型命令行思路不同版本 Web 界面和 CLI 叫法可能有差异但逻辑一致。我用伪代码加注释的方式写你对照自己设备的实际命令替换。# 第一步确认当前规则库版本记录基线 show ips rule-library version # 输出里记下版本号和更新日期后面排查「规则不生效」时先对这里 # 第二步创建一个业务规则集只放 Web 相关签名 create ips ruleset name RS_Web_Base # 进入规则集后按类别筛选先只启用高危和严重级别 set ips ruleset RS_Web_Base severity high,critical # 把规则集动作默认设为告警先观察 set ips ruleset RS_Web_Base action alert # 第三步创建 IPS 策略绑定防护对象 create ips policy name IPS_Web_Server set ips policy IPS_Web_Server protected-object zone_dmz_web set ips policy IPS_Web_Server ruleset RS_Web_Base # 策略动作继承规则集也可以在这里覆盖 set ips policy IPS_Web_Server action alert # 第四步提交并确认策略顺序 commit show ips policy order # 确认这条策略在放行策略之前还是之后顺序错了等于没配这段逻辑说明几件事先看规则库版本是给自己留基线规则集按严重级别筛选是避免一上来开太多签名导致误报爆炸动作先告警是留观察窗口最后确认策略顺序是因为 NGAF 上 IPS 策略和访问控制策略的执行先后直接影响检测范围。参数上severity一般分 info、low、medium、high、critical新上线建议从 high 和 critical 开始跑稳了再往下放。protected-object填的是你前面规划好的区域或地址对象名别填错填错等于策略挂空。action在规则集和策略上都能设策略上的设置会覆盖规则集配的时候注意哪一层生效。3. 规则集怎么选、动作怎么定参数背后的取舍3.1 规则集不是越多越好按业务场景裁剪预置规则库动辄几千条签名全开的结果就是误报把你淹没真正的高危攻击反而被淹没在告警里。我的做法是按业务场景建规则集每个规则集只保留跟这个场景相关的签名类别。比如 Web 服务器场景重点开 SQL 注入、XSS、命令注入、路径穿越这几类数据库场景重点开数据库协议异常和暴力破解办公网客户端场景重点开恶意软件下载和常见漏洞利用。裁剪的时候用「类别 严重级别」两个维度筛先粗后细。v6.8 的规则集界面一般支持按类别勾选勾完之后再看一遍有没有明显不相关的比如 Web 规则集里混进了工控协议签名这种直接去掉。裁剪完还要做一件事给规则集打标签。标签不是给设备看的是给你自己看的。比如「RS_Web_Base_v1_202401」这种命名后面规则库更新导致行为变化时你能快速定位是哪套规则集出的问题。我见过太多人规则集名字叫「test1」「test2」过两个月自己都不知道哪个是哪个。另外规则集不要频繁改改之前先导出备份改完对比日志变化这是最基本的后悔药。3.2 动作模式的选择告警、阻断、丢弃分别什么时候用动作模式的选择直接决定业务感受。告警模式最安全只记日志不动作适合新上线和规则调整后的观察期。阻断模式会主动掐会话适合已经确认误报率极低的规则或者明确的高危攻击。丢弃模式静默丢包适合不想让对方感知被拦截的场景比如某些扫描行为。实际配的时候我一般按「规则严重级别 业务重要程度」两个维度做矩阵critical 且业务不敏感的直接阻断high 的先告警观察medium 和 low 的基本只告警除非有明确情报说这个攻击正在活跃。还有一个细节同一规则集里不同规则可以设不同动作。v6.8 支持在规则级别覆盖动作这个功能很有用。比如 Web 规则集整体设告警但其中某几条确认无误报的 SQL 注入签名单独设阻断。配的时候注意优先级规则级动作高于规则集级规则集级高于策略级。搞清楚这个层级调优的时候就不用整包改只动个别规则就行。3.3 例外清单白名单怎么加才不挖坑例外清单是 IPS 配置里最容易挖坑的地方。加例外是为了放过误报但加多了等于给攻击留后门。我的原则是例外尽量精确到「源 目的 规则 ID」不要只写个源地址就放过所有规则。比如某台扫描器被误拦例外应该写成「源 10.1.1.5 目的 10.2.2.0/24 规则 ID 12345 动作放行」而不是「源 10.1.1.5 全部放行」。后者一旦这台机器被入侵攻击流量就全免检了。v6.8 的例外配置一般支持按规则 ID 加白配的时候把规则 ID 记下来别凭感觉选。例外加完必须做两件事一是记录加例外的原因和日期二是设一个复查时间。我一般会在工单系统里建个提醒一个月后回头看这条例外还有没有存在的必要。很多例外加的时候是临时措施后来没人清理一年后变成永久漏洞。另外例外清单要定期导出审计看看有没有明显过宽的条目这是安全运维的基本功。4. 上线之后怎么验证日志、抓包、回归三步走4.1 看日志命中记录里哪些字段必须盯IPS 上线后第一件事是看日志但日志字段很多盯错地方等于白看。必须盯的字段有规则 ID、源 IP、目的 IP、目的端口、动作、时间戳。规则 ID 用来定位是哪条签名命中源和目的用来判断是不是误报目的端口帮你确认业务类型动作确认是告警还是阻断时间戳用来跟业务故障时间对齐。v6.8 的日志界面一般支持按规则 ID 和源 IP 过滤我习惯先按动作过滤出「阻断」的记录这些是直接影响业务的优先处理。然后再看「告警」里有没有高频命中的规则高频往往意味着要么是误报要么是真的有人在扫。日志里还有一个容易忽略的字段payload 摘要。有些版本叫「报文摘要」或「请求片段」。这个字段能让你快速判断命中是否合理。比如一条 SQL 注入告警payload 里看到的是正常的搜索关键词那大概率是误报看到的是union select这种那就是真攻击。如果日志里没有 payload 摘要去策略里把日志详细程度调高别省这点磁盘。4.2 抓包验证怎么确认阻断真的生效了日志说阻断了不代表真的阻断了。我遇到过日志显示阻断但业务没断的情况最后查出来是策略顺序问题流量根本没走到 IPS 就被放行了。验证阻断是否真生效最可靠的办法是抓包。在客户端和服务端两侧同时抓看客户端发出的请求有没有收到 RST或者服务端有没有收到完整请求。如果客户端收到 RST 且服务端没收到请求说明阻断生效如果服务端收到了完整请求说明阻断没生效回去查策略顺序和挂载点。抓包的时候注意抓包点。在 NGAF 上抓包一般有指定接口选对接口很重要。流量从哪个接口进、哪个接口出抓包点选在 IPS 处理之后才能看到阻断动作的结果。另外抓包过滤条件写精确点别抓一大堆无关流量分析起来费劲。我一般用「源 IP 目的 IP 目的端口」三元组过滤抓个几十个包就够判断了。4.3 回归测试规则调整后怎么确认没引入新问题每次调整规则集或动作模式都要做回归测试。回归测试不是把攻击工具全跑一遍而是挑几条代表性规则验证。我的做法是维护一个「验证用例清单」里面记录每条关键规则对应的测试方法。比如 SQL 注入规则用一条带union select的请求验证XSS 规则用一条带script的请求验证。调整后跑一遍清单确认该拦的还在拦该放的还在放。这个清单不用很长十几条就够覆盖主要场景。回归测试还要看误报有没有增加。调整规则集后观察一段时间内的告警日志对比调整前的基线。如果某条规则的告警量突然涨了几倍大概率是规则调整引入了误报回去看规则集里是不是多勾了不相关的类别。基线数据不用很精确有个大概数量级就行关键是能看出异常变化。5. 避坑与排查IPS 配置里最容易翻车的五件事5.1 现象规则库更新了但新规则不生效原因策略引用的规则集没有包含新规则或者规则集动作设成了告警而你以为会阻断。v6.8 规则库更新后新规则默认可能不自动加入已有规则集需要手动勾选或者规则集设了「自动包含新规则」才会生效。解决更新规则库后进规则集确认新规则类别有没有被包含动作模式对不对。如果规则集是按类别筛选的确认新规则所属类别在筛选范围内。5.2 现象业务时通时断日志里有大量阻断记录原因规则集开得太宽把正常业务请求误判为攻击。常见的是 Web 业务里正常的富文本编辑请求被 XSS 规则拦或者 API 请求里的 JSON 被 SQL 注入规则误判。解决先看阻断日志里的规则 ID 和 payload 摘要确认是哪条规则误报。然后针对这条规则加精确例外或者把这条规则的动作从阻断改回告警。不要直接关掉整个规则集那样会放过其他攻击。5.3 现象IPS 策略配了但流量好像没经过检测原因策略顺序问题访问控制策略先把流量放行了IPS 策略挂在后面但流量已经走了。或者防护对象配错了实际流量不匹配那个对象。解决检查策略顺序确认 IPS 策略在放行策略之前执行。检查防护对象的地址和区域定义确认实际流量源和目的在对象范围内。可以在 NGAF 上做流量跟踪看流量实际走了哪条策略。5.4 现象日志量太大磁盘很快写满原因告警模式开了太多规则或者日志详细程度设得太高每条命中都记完整 payload。解决先按规则 ID 统计告警量把高频且确认误报的规则关掉或改动作。然后调整日志级别只对阻断动作记详细 payload告警动作记摘要就行。如果磁盘实在紧张可以设日志轮转和保留天数但别把安全日志保留期设太短出事后回溯要靠它。5.5 现象加了例外之后攻击流量也放过了原因例外配得太宽只写了源地址没限定规则 ID 和目的。解决把例外收窄到「源 目的 规则 ID」三元组不要只写源地址。已经加宽的例外全部复查一遍能收窄的收窄不能收窄的记下原因并设复查提醒。例外清单定期导出审计这是防止例外变成后门的唯一办法。6. 把 IPS 调稳之后我习惯做的一件事IPS 配完能跑不难难的是跑稳之后还能持续收敛。我自己的习惯是每周花二十分钟做一次「规则命中回顾」把过去一周的告警日志按规则 ID 排序看前十条高频规则里有没有可以关掉或者改动作的。高频告警要么是误报要么是真的有人在持续扫前者该加例外加例外后者该看看是不是暴露面太大需要收。这个动作坚持做规则集会越来越贴合业务误报越来越少真正该拦的一个都跑不掉。另一个习惯是每次规则库更新后先在一个小范围防护对象上试跑一天确认没有异常告警再推到全量。v6.8 的规则库更新频率不低全量直接推的风险是万一新规则误报业务受影响面太大。小范围试跑这个动作看起来麻烦但比业务断了再回滚省事得多。我一般选一个非核心业务区做试点跑一天看日志没问题再推。最后说一个验证技巧定期用模拟攻击验证 IPS 是否真的在工作。不用复杂工具用几条带明显攻击特征的请求就行比如带union select的 URL、带scriptalert(1)/script的表单。确认这些请求被阻断且日志里有对应记录。这个验证不用频繁做一个月一次足够关键是确认整条链路没有静默失效。我见过设备重启后策略没加载的情况也见过规则库更新后动作被重置的情况定期验证是唯一的后悔药。希望帮到你。本文还有配套的精品资源点击获取