26、Cisco ASA应用程序检查功能详解

Cisco ASA应用程序检查功能详解

1. DNS检查

在进行DNS检查时，主要操作可配置为屏蔽、丢弃违规数据包、断开连接或不采取任何行动，同时还能启用日志记录。当启用TSIG强制执行时，可以选择丢弃数据包、启用日志记录或两者同时进行。

若使用CLI进行配置，可使用 inspect dns 命令。以下是启用DNS检查的示例代码：

policy-map type inspect dns my-dns-map
description Custom DNS Inspect Map
parameters
message-length maximum 512
match header-flag eq AA
drop-connection log
policy-map global_policy
class inspection_default
inspect dns my-dns-map

2. 扩展简单邮件传输协议（ESMTP）检查

Cisco ASA的ESMTP检查增强了传统的SMTP检查功能，通过限制可通过Cisco ASA的SMTP命令类型，提供对基于SMTP攻击的防护。支持的ESMTP命令如下：
- AUTH
- DATA
- EHLO
- ETRN
- HELO
- HELP
- MAIL
- NOOP
- QUIT
- RCPT
- RSET
- SAML
- SEND
- SOM