趋势科技-IWSA技术培训

TrendMicro use only IWSA技术培训 李国强 2 TrendMicro use only Index Web安全现状 IWSA产品概况及功能描述 IWSA产品规格及性能介绍 IWSA部署介绍 IWSA Demo配置 57 205 799 1,484 2,397 3,881 6,279 10,160 16,438 26,598 2007 2009 2011 2013 2015 每小时 预计增加的恶意程序数量 病毒指数级增长 数据来源： AV-T “大三角 ” 理论：网关防护至关重要 网关 1个 2台 25个 50台 5000台 邮件服务器 子网 应用服务器 客户端 Internet 防护更复杂 一致性更差 Web 威胁 3年增长了 1731% Web 威胁 : 2005年来的增长统计 Web威胁：增长最快的威胁形态 典型的 Web威胁 攻击 知名 募捐 网站 重定向 恶意 网站 （俄罗斯） 信息收集 网站 帐号信息 帐号信息 自动下载 （每 10秒更新 1次） 黑色产业链：检测更困难 付费订购恶意程序 付费 QA，保证不被任何安全厂商检测得到 恶意程序类型 订 购价格 广告类间谍程序 美国 $0.3 加拿大 $0.2， 英国 $0.1, 其它 $0.01 恶意程序组合包 （ 基本 ） $1,000 - $2,000 恶意程序组合包 (升级服务 ） $20/次 漏洞挖掘租赁服务 （ 1小时 ） $0.99 漏洞挖掘租赁服务 （ 2.5小时 ） $1.60 漏洞挖掘租赁服务 （ 5小时 ） $4 不能检测出来的窃取型木马 $80 DDOS 攻击 $100/天 10,000台僵尸控制机器 $1,000 窃取银行帐号类木马 $50 发送 100万封恶意邮件 $8 8 TrendMicro use only Index Web安全现状 IWSA产品概况及功能描述 IWSA产品规格及性能介绍 IWSA部署介绍 IWSA Demo配置 9 TrendMicro use only IWSA (InterScan Web Security Appliance 2500/5000) IWSA 主要功能 HTTP/FTP 恶意代码扫描 间谍软件 /灰色软件扫描 反钓鱼 支持 ICAP 支持 LDAP URL过滤 支持 EPS AAXS 支持透明桥模式 与 DCS联动 硬件产品 IWSA 5000 IWSA 2500 10 TrendMicro use only HTTP/FTP恶意代码扫描 IWSA 2500 HTTP/FTP扫描 在网关透明过滤来自 HTTP的病毒； 在网关透明处理来自 FTP的病毒； 采用趋势科技独创的 Intelliscan技术； 对压缩文件灵活的处理方式； 采用独特的 Defer Scanning技术，解决网关对大文件处理的瓶颈问题； 自带 File-Blocking技术。 WEB信誉 11 TrendMicro use only 12 TrendMicro use only 间谍软件 /灰色软件扫描 IWSA 间谍软件防护 对特定的 Spyware进行扫描； 对特定的 Adware进行扫描； 阻止用户下载间谍软件； 防止间谍软件“ call-home”； 13 TrendMicro use only 反钓鱼网站 IWSA 反钓鱼网站 阻止用户访问钓鱼网站； 实时更新 Phishing Pattern； 采用趋势科技独创的 Phishing Trap技术； 14 TrendMicro use only URL过滤库 IWSA URL Filter 灵活的基于策略的设置； 可以设置不同的时间段； 采用趋势科技提供的 URL过滤库，目前已达 820万条记录； 有效控制了用户的上网行为，净化了企业 Web访问内容。 15 TrendMicro use only IWSA AAXS ActiveX控件及 Java小程序过滤 灵活的基于策略的设置； 针对 ActiveX控件的安全策略； 针对 Java小程序的安全策略； 16 TrendMicro use only 与 DCS联动 与 DCS联动 对感染间谍软件的客户端进行远程修复； 有效控制了企业网络内部的间谍软件； 17 TrendMicro use only Index Web安全现状 IWSA产品概况及功能描述 IWSA产品规格及性能介绍 IWSA部署介绍 IWSA Demo配置 18 TrendMicro use only IWSA (InterScan Web Security Appliance 2500/5000) IWSA2500产品规格 : 1 U 机架 能够支持最多 5000用户 并发 Http连接数 2000个 IWSA 2500 IWSA5000产品规格 : 2 U 机架 能够支持最多 10000用户 并发 Http连接数 6000个 IWSA 5000 19 TrendMicro use only Index Web安全现状 IWSA产品概况及功能描述 IWSA产品规格及性能介绍 IWSA部署介绍 IWSA Demo配置 20 TrendMicro use only IWSA 部署方式 IWSA部署方式；管理员可以根据企业的本身需求，部署 IWSA设备，部署后不会影响现有客户的网络结构。 代理联动模式 ICAP+IWSA 完全透明桥模式 与 L4交换机联动 与 Cisco交换机联动 21 TrendMicro use only 代理联动模式 部署在客户端与代理服务器之间，接管所有来自客户端的 HTTP/FTP请求 优势说明 保护投资， IWSA可以与任何的代理服务器兼容； 与 DCS联动，有效抵御间谍软件的攻击； 注意事项：需要更改客户机的 IE代理设置 I n t e r n e t代 理 服 务 器客 户 端 内 部 网 络22 TrendMicro use only ICAP + IWSA 部署 ICAP Client的旁路，对流经 ICAP的 HTTP及 FTP数据流进行扫描 优势说明 配合 Catch，对 Web安全扫描有更高的效率； 如果客户原来就使用 ICAP，则无需更改客户端配置，部署简单； 注意事项：需要使用两个以太网口 I n t e r n e t客 户 内 部 网 络23 TrendMicro use only 透明桥模式 部署客户端与防火墙之间，对流经 IWSA的 HTTP及 FTP数据流进行扫描 优势说明 透明桥工作模式，无需更改客户端的代理设置； 即插即用，部署简单； 注意事项：需要使用两个以太网口 I n t e r n e t客 户 内 部 网 络24 TrendMicro use only Index Web安全现状 IWSA产品概况及功能描述 IWSA产品规格及性能介绍 IWSA部署介绍 IWSA Demo配置 25 IWSA开 /关机的特别说明 开关机说明 : 开机：接通电源后按一下开关，松手； 关机： 同样按一下开关，松手 。等待 1.5分钟左右，让机器自行关闭。系统在自行关闭时会同步 RAID，依次关闭服务。 绝对禁止 ： 关机时长按电源开关不松手进行强制关机，此举有可能会造成 RAID/硬盘损坏，系统服务出现问题 。 26 IWSA 2500 RAID状态检查 处理步骤 : 从超级终端中进入 linux系统，执行如下操作： 1. #cd /etc 2. #./raid_setup 如果显示的两个设备不全是 Active，则代表 RAID在关机过程中损坏； 请依照 8、 IWSA硬盘损坏的检查与恢复 200706.doc 文档前部分方法进行处理。 Proxy Mode 访问网页慢 27 TrendMicro use only 症状 每一次访问的响应时间都很差 . What to look for 从 IWSA Shell界面中执行 nslookup查询已知的响应慢的站点，是不是nslookup的响应也非常慢？ If so 这种延迟可能是由 DNS的响应比较差造成的。客户将 IWSA的 DNS指向外网 ISP的。 ISP的 DNS服务响应相比内网 DNS，响应会变慢很多。 What to do 这种情况可通过在 IWSA中部署 DNS cache来实现， IWSA 5000将内置，IWSA3.1可采用 BIND按文档步骤来实现 查看是否能用透明方式部署，透明方式由浏览器来执行 DNS查询 28 TrendMicro use only MIME Skip 大型门户网站视频，图片， Flash不断骚扰，导致 IWSA处理延时很大。建议做一下配置 : Skip audio/x-wav audio/wav audio/microsoft-wave audio/x-mpeg aduio/mpeg x-music/x-midi audio/mid video/mpeg video/quicktime video/x-msvideo video/avi video/x-ms-asf video/x-ms-wmv image/x-icon image/jpeg image/gif image/png application/x-shockwave-flash application/vnd.rn-realmedia 控制单用户最大连接数 1. 使用 console或者 SSH连接到 IWSA 2. 进入 Shell Environment 3. vi /var/iwss/intscan.ini 查找到下面的参数 , enable_client_connection_quota=yes, 然后在client_connection_quota=中输入您希望每个客户端最大的连接数 , 默认为 50: # Switch for client connection quota enable_client_connection_quota=no # If enable_client_connection_quota is turned on, this indicat