# 切换入侵防御模式为EIP拦截攻击
云防火墙提供入侵防御功能，结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。
本文指导您通过标准版防火墙将入侵防御模式切换至"拦截模式-中等"实现弹性公网IP（EIP）的防护，帮助您灵活防护云上资产。
#### 操作流程
![](https://support.huaweicloud.com/qs-cfw/zh-cn_image_0000002041676720.png "点击放大")
| 操作步骤                                                                  | 说明                                                  |
|:---|:---|
| [准备工作]                             | 注册华为账号、开通华为云，为账户充值、赋予云防火墙权限。                        |
| [步骤一：购买标准版云防火墙]                     | 购买云防火墙，选择防护的区域、版本规格（本文以标准版为例）等信息。                   |
| [步骤二：开启EIP的防护]                   | 在云防火墙上对需要防护的EIP开启防护，使流量经过防火墙。                       |
| [步骤三：将入侵防御模式设置为观察模式]               | "观察模式"下，防火墙检测到攻击事件时记录到"攻击事件日志"中，不做拦截，避免出现误拦截造成流量中断。 |
| [步骤四：定期通过攻击事件日志查看是否存在误拦截可能]      | 查看攻击事件日志，排查是否有被误判的正常流量，记录对应的"规则ID"。                 |
| [步骤五：调整拦截的IPS规则并将入侵防御模式设置为拦截模式] | 调整误判规则的防护动作，将入侵防御模式修改至拦截模式（本文以"拦截模式-中等"为例）。         |
| [步骤六：通过攻击事件日志查看防护效果]               | 查看攻击事件日志，确认正常流量是否被放行。                               |
   
#### 操作视频
本视频介绍如何灵活配置入侵防御模式实现EIP的防护。
<video controls="controls" preload="none" id="object8297397295" class="idp-external-video" src="https://res-video.hc-cdn.com/cloudbu-site/china/zh-cn/support/cfw-video/1720142592247954275.mp4" title="切换入侵防御模式拦截攻击" poster="https://support.huaweicloud.com/qs-cfw/zh-cn_image_0000002305082801.jpg" height="300.0000" width="600.0000"></video>
 #### 准备工作
1. 在购买云防火墙之前，请先注册华为账号并开通华为云。具体操作详见[注册华为账号并开通华为云](https://support.huaweicloud.com/usermanual-account/account_id_001.html)、[实名认证](https://support.huaweicloud.com/usermanual-account/zh-cn_topic_0071343161.html)。
   如果您已开通华为云并进行实名认证，请忽略此步骤。
   ![](https://support.huaweicloud.com/qs-cfw/public_sys-resources/note_3.0-zh-cn.png)
   仅在购买或使用中国大陆云服务区的资源时，需要实名认证。
   
2. 购买包周期资源时，请保证账户有足够的资金，防止购买云防火墙失败。具体操作请参见[账户充值](https://support.huaweicloud.com/usermanual-billing/bills-topic_30000002.html)。
3. 请确保已为账号赋予相关云防火墙权限。具体操作请参见[创建用户组并授权使用CFW](https://support.huaweicloud.com/usermanual-cfw/cfw_01_0050.html)。
   表1CFW系统角色 
   | 角色名称               | 描述           | 类别   | 依赖关系 |
   |:---|:---|:---|:---|
   | CFW FullAccess     | 云防火墙服务的所有权限。 | 系统策略 | 无    |
   | CFW ReadOnlyAccess | 云防火墙服务的只读权限。 | 系统策略 | 无    |
      
   
 
 #### 步骤一：购买标准版云防火墙
为满足不同场景下的防护需求云防火墙提供了"基础版"、"标准版"、"专业版"供您使用，包括访问控制、攻击防御、流量分析以及日志审计等功能。
本文以购买标准版云防火墙为例进行介绍，如需购买其他版本请参见[购买云防火墙](https://support.huaweicloud.com/usermanual-cfw/cfw_01_0008.html)，各版本功能差异请参见[服务版本差异](https://support.huaweicloud.com/productdesc-cfw/cfw_01_0034.html)。
1. [登录云防火墙控制台](https://console.huaweicloud.com/cfw/?locale=zh-cn)。
2. 单击"购买云防火墙"，进入"购买云防火墙"页面，配置参数。
   本示例中仅解释必要参数，其他参数根据具体情况选择。
   
   | 参数   | 示例     | 参数说明                                                                                                                                                                                             |
   |:---|:---|:---|
   | 区域   | 华北-北京四 | 选择资源（EIP）所在的区域。 购买的云防火墙只能在当前选择的区域使用，如需在其它区域使用，请切换到对应区域进行购买。有关支持购买云防火墙的区域说明，请参见[云防火墙支持哪些区域？](https://support.huaweicloud.com/cfw_faq/cfw_01_0028.html)。 |
   | 版本规格 | 标准版    | 选择服务版本。                                                                                                                                                                                          |
      
   
3. 确认信息无误后，单击"下一步"。
4. 确认订单详情，阅读协议并勾选同意后，单击右下角"去支付"。
5. 在"付款"页面，选择付款方式进行付款。
 
 #### 步骤二：开启EIP的防护
1. 在左侧导航栏中，选择"资产管理 \> 弹性公网IP管理"，进入弹性公网IP管理页面。
2. 开启对弹性公网IP的防护。 一个EIP只能在一个防火墙上开启防护。
   - 单个EIP：在目标EIP所在行的"操作"列中，单击"开启防护"，并在弹出的界面确认信息无误后，单击"绑定并开启防护"。
   
   - 多个EIP：勾选需要开启防护的EIP，单击列表上方的"开启防护"，并在弹出的界面确认信息无误后，单击"绑定并开启防护"。
   
   
   当EIP操作行的"防护状态"列显示"防护中"时，则表示开启成功。
   EIP开启防护后，系统默认放行所有流量，即访问控制策略默认动作为"放行"。
   
 
 #### 步骤三：将入侵防御模式设置为观察模式
1. 在左侧导航栏中，选择"防护策略 \> 攻击防御 \> 入侵防御" 。
2. 在"防护模式"中，选择"观察模式"。
   ![](https://support.huaweicloud.com/qs-cfw/public_sys-resources/note_3.0-zh-cn.png)
   本文以"观察模式"为例，如果您的业务防护级别较高，您可以切换至"拦截模式"，建议优先选择防护粒度较低（例如"拦截模式-宽松"）的模式，观察一段时间后，更换为防护粒度高的模式。
   
 
 #### 步骤四：定期通过攻击事件日志查看是否存在误拦截可能
1. 在左侧导航栏中，选择"运维分析 \> 日志查询"。
2. 在"攻击事件日志"页面，查看日志记录，根据"方向"、"源IP"、"目的IP"参数判断是否是正常流量，如果是，则记录"规则ID"。 例如：从外部的xx.xx.xx.82访问内部EIP xx.xx.xx.58是正常业务流量，但被IPS中ID是806310的规则识别为风险，此时开启拦截模式将会拦截本条流量，则此处记录规则ID（806310）。
   图1查看攻击事件日志   
   ![](https://support.huaweicloud.com/qs-cfw/zh-cn_image_0000001920430646.png "点击放大") 
 
 #### 步骤五：调整拦截的IPS规则并将入侵防御模式设置为拦截模式
1. 在左侧导航栏中，选择"防护策略 \> 攻击防御 \> 入侵防御" 。
2. 在"防护模式"中，选择"拦截模式-中等"，并在弹出的确认框中单击"确定"。
3. 返回至"入侵防御"页面，单击"基础防御"中的"查看生效中的规则"，进入"基础防御"页面。
4. 筛选出"规则ID"为"806310"的规则，单击"操作"列"观察"，将"当前动作"修改为"观察"，并在弹出的确认框中单击"确定"。
   图2修改基础防御动作   
   ![](https://support.huaweicloud.com/qs-cfw/zh-cn_image_0000001949140109.png "点击放大") 
 
 #### 步骤六：通过攻击事件日志查看防护效果
1. 在左侧导航栏中，选择"运维分析 \> 日志查询"。
2. 在"攻击事件日志"页面，查看日志记录，是否存在正常业务流量被识别为攻击事件，即"响应动作"为"阻断"。
 
#### 相关信息
- 关于入侵防御的详细参数说明请参见[拦截网络攻击](https://support.huaweicloud.com/usermanual-cfw/cfw_01_0032.html)。
- 如果希望防护其他账号下的EIP，您需要将其他账号添加至防火墙实例的"多账号管理"中，具体操作请参见[添加组织成员账号](https://support.huaweicloud.com/usermanual-cfw/cfw_01_0197.html)。