本文导读

展开导读

文档首页/ 华为乾坤/ 安全云服务/ 边界防护与响应/ 用户指南/ 处置威胁事件/ 外部攻击源

外部攻击源

更新时间：2025-03-10 GMT+08:00

查看PDF

前提条件

已使用租户帐号登录华为乾坤控制台。
已完成黑白名单授权。

背景信息

华为乾坤按照以下规则判定威胁事件是否为外部攻击源。

非信任域或混合域内的主机存在攻击行为，同时发生攻击行为的主机IP不在全局白名单内，且发生攻击行为的主机IP不在缺省私网网段内，此时判定此威胁事件为外部攻击源。
非信任域或混合域的具体信息请参见配置设备安全域。全局白名单的具体信息请参见配置全局白名单。缺省私网网段指10.0.0.0～10.255.255.255、172.16.0.0～172.31.255.555、192.168.0.0～192.168.255.255。
非信任域或混合域的内网地址存在攻击行为，同时主机IP地址在不可信内网地址内，判定为外部攻击源。不可信内网地址的具体信息请参见配置不可信内网地址。

针对外部攻击源，华为乾坤有如下几种处置方式：

华为乾坤智能分析后成功下发IP黑名单，其状态显示为“已封禁”。
华为乾坤智能分析后无法下发IP黑名单，由安全运营专家进一步分析后手动成功下发IP黑名单，其状态显示为“已封禁”。
华为乾坤智能分析和安全运营专家根据现有信息无法处置或者下发失败时，需要租户进行人工处置，其状态显示为“未处置”。

租户需要对“未处置”的外部攻击源进行处置，处置方法包括封禁攻击源和标记状态（已人工处置、已忽略）。

开通如下版本时，才能使用华为乾坤自动下发IP黑名单。

同时购买边界防护与响应服务标准版+自动阻断
边界防护与响应服务专业版
边界防护与响应服务高级版
边界防护与响应服务试用版

操作步骤

参考威胁事件处置入口选择一种操作入口，进入“外部攻击源”的威胁事件列表。

本章节以“安全运营中心（威胁事件）”入口为例。
筛选待处置事件，即“事件处置状态”为“未处置”、“处置失败”和“事件超时关闭”的事件。

图1 外部攻击源待处置事件
单击待处理事件的“攻击源IP”，查看威胁事件详情，根据“处置建议”以及本步骤内容，完成处置。

完成处置后，可以在“处置记录”页签查看处置记录。
说明：
- 外部攻击源详情页面可能涉及公网地址，仅用于事件信息展示以帮助用户了解威胁事件，服务不会主动发起与这些公网地址的连接。
- 若租户同时购买智能终端安全服务，并检测到终端存在异常登录或暴力破解行为，可通过华为乾坤控制台对可疑IP执行封禁操作，封禁操作与此处“封禁攻击源”等效。
  租户在智能终端安全服务处置完成后，边界防护与响应服务将此外部攻击源的“处置状态”同步为“已封禁”。
- 如果您不知如何处置，或者处置后未能有效解决，请求助对应安全云服务商或渠道商。
图2 外部攻击源威胁事件详情
- 封禁攻击源
   当确认此IP地址为外部攻击源地址，此时可在操作列单击“封禁攻击源”下发IP黑名单。
  
  华为乾坤向天关/防火墙下发IP黑名单后，由天关/防火墙对黑名单IP执行封禁操作，来自黑名单IP的请求和去往黑名单IP的请求都会被阻断。
  
  说明：
  
  设备存在绑定热备场景。当两台设备均已成功上线并绑定热备，主设备无法正常工作时，备设备会在短时间内进行替代，完全实现主设备功能。以事件维度进行封禁攻击源操作时，会对绑定热备的两台设备同时下发IP黑名单，在历史IP黑名单中显示两条记录。
  
  图3 封禁攻击源
  
  如果外部攻击源的处置状态被打上标记，表示“封禁已解除”。
- 标记状态
  - 已人工处置
     租户根据具体的事件采取人工处置，比如根据事件的源、目的地址查找目标主机，并对目标主机执行病毒查杀。处置完成后，在操作列将外部攻击标记为“已人工处置”。
  - 忽略
     租户经过排查后发现事件无需处理或者是误报时，在操作列将外部攻击标记为“忽略”。后续就无需再关注此事件。

后续处理

外部攻击源的攻击源IP前显示攻击源IP所在国家国旗，鼠标悬停在国旗上可显示国名。您可以单击外部攻击源列表中的攻击源IP，查看此外部攻击源详情页面。
您可以在高级搜索中设置筛选条件，单击“导出”，导出符合筛选条件的外部攻击源列表（Excel格式文件）；或勾选预导出的外部攻击源，单击“导出”，导出选中的外部攻击源列表。
外部攻击源详情页面包含处置建议、处置记录、外部攻击源分析、关联告警事件列表等信息。
- 您可以单击“导出详情”，导出包含外部攻击源详细信息的Word格式文件。
  导出完成后，请单击右上角帐号，选择“下载”，下载对应文件。
  
  图4 下载中心
- 您可以单击外部攻击源详情页面中关联告警事件列表中的事件名称，查看此事件的详情页面。
  图5 事件详情页面

父主题： 处置威胁事件

上一篇：威胁事件须知

下一篇：失陷主机

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在我的云声建议查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨

智能客服提问云社区提问

外部攻击源

前提条件

背景信息

操作步骤

后续处理

相关文档

意见反馈

文档内容是否对您有帮助？

7*24

备案

专业服务

退订

建议反馈

售前咨询热线

文档反馈