44、思科ASA的僵尸网络检测与IPS调优

思科ASA的僵尸网络检测与IPS调优

1. 思科ASA僵尸网络流量过滤功能概述

思科ASA软件版本8.2引入了僵尸网络流量过滤（Botnet Traffic Filter）功能。该功能借助IronPort技术，通过ASA识别潜在的僵尸网络流量。僵尸网络是一组运行恶意软件的互联网机器人（bots），通常由不同的犯罪实体操控。虽然这并非传统的入侵防御系统（IPS）功能，但常被视为一种入侵预防特性。

僵尸网络流量过滤功能主要分为以下三大类：
- 动态和管理员黑名单数据
- DNS窥探（DNS Snooping）
- 流量分类

需要注意的是，该功能不会自动阻止与僵尸网络相关的流量，管理员必须手动配置访问控制列表（ACL）来阻止恶意流量。

2. 动态和管理员黑名单数据配置

此功能使用从互联网上可访问的IronPort服务器下载的动态数据库，该数据库包含已知恶意软件和僵尸网络站点的域名和IP地址。以下是启用僵尸网络流量过滤功能并配置动态数据库和管理员黑名单数据的步骤：
1. 登录自适应安全设备管理器（ASDM），导航至“Configuration > Firewall > Botnet Traffic Filter > Botnet Database”，会显示相应配置界面。
2. 勾选“Enable Botnet Updater Client”复选框，使思科ASA能够从思科（Ironport）服务器获取最新数据库。
3. 勾选“Use Botnet Data Dynamically Downloaded from Updater Server”复选框，启用动态更新。