在网关防火墙上添加 NSX IDS/IPS 和 NSX 恶意软件防护 的规则

NSX Manager UI 提供了一个通用规则表，用于添加网关防火墙上 NSX 入侵检测/防御和 NSX 恶意软件防护 的规则。

添加到规则中的安全配置文件确定网关防火墙规则是仅强制执行 NSX IDS/IPS 和 NSX 恶意软件防护 二者之一，还是同时强制执行这二者。

请注意，不支持在配置了负载均衡器的 Tier-1 网关上以“仅检测”或“检测并实施”模式配置 NSX IDS/IPS 规则。

前提条件

对于 NSX 恶意软件防护：

• 添加恶意软件防护配置文件。
• 在 Tier-1 网关上打开或激活 NSX 恶意软件防护。(安全 > IDS/IPS 和恶意软件防护 > 设置 > 共享)

对于 NSX IDS/IPS：

• 添加 NSX IDS/IPS 配置文件。
• 在网关上开启或激活 NSX IDS/IPS（安全 > IDS/IPS 和恶意软件防护 > 设置 > 共享）

过程

1. 从浏览器中，登录到 https://<NSX Manager IP 地址> 中的 NSX Manager。
2. 导航到 安全 > IDS/IPS 和恶意软件防护 > 网关规则。
3. 如果要为特定网关添加策略，请确保在网关特定的规则选项卡中选择网关。如果要为多个网关添加策略，请确保您处于所有共享规则选项卡中。
4. 单击添加策略，创建用于组织规则的区域。
   1. 输入策略的名称。
   2. （可选） 在策略行中，单击齿轮图标以配置高级策略选项。这些选项仅适用于 NSX IDS/IPS，而不适用于 NSX 恶意软件防护。

      选项	描述
      有状态	有状态防火墙监控活动连接的状态，并使用此信息来确定允许哪些数据包通过防火墙。
      已锁定	可以锁定策略，以防止多个用户对相同区域进行编辑。锁定某个区域时，必须包含一条注释。

   3. 单击“发布”以发布策略。
5. 单击添加规则并配置规则设置。
   1. 输入规则的名称。
   2. 在源列中，单击编辑图标并选择规则源的组。如果未指定源，则默认为“任意”。
      有关添加组的信息，请参见 添加组。
   3. 在目标列中，单击编辑图标并选择用作规则目标的组。如果未指定目标，则默认为“任意”。
   4. 在服务列中，单击编辑图标并选择用于规则的服务。如果未指定服务，则默认为“任意”。
      注：

      • 单击编辑图标后，UI 将显示所有可用服务的列表。但是，NSX 恶意软件防护当前仅支持检测以下服务的文件传输：HTTP、HTTPS、FTP 和 SMB。
      • 网关防火墙上 NSX 恶意软件防护 当前不支持提取和分析使用 HTTP 上载的文件。但是，如果使用 FTP 上载文件，则支持提取和分析用于检测恶意行为的文件。
   5. 在安全配置文件列中，单击编辑图标，然后选择要添加到防火墙规则的配置文件。
      您最多可以选择两个安全配置文件：一个 NSX IDS/IPS 配置文件和一个 NSX 恶意软件防护 配置文件。
   6. 如果要为特定网关添加规则，则应用对象列将显示此网关的名称。对于 Tier-0 网关，您可以单击编辑图标以进行进一步选择。
      对于 Tier-1 网关，您只能指定要应用于网关的规则。对于 Tier-0 网关，您可以指定要应用于网关、个别接口或接口组的规则。

      如果要添加共享规则，请单击应用对象列中的编辑图标，然后选择要将规则应用到的网关和接口。

      应用于网关的规则将应用于网关上的所有上行链路接口和服务接口。

   7. 在模式列中，选择任意一个选项。

      选项	描述
      仅检测	此规则根据附加到规则的配置文件，检测选定网关上的恶意文件和/或恶意流量。不采取预防措施。
      检测和阻止	NSX 恶意软件防护 当前不支持此模式。但是，具有 NSX IDS/IPS 配置文件的规则可以检测和阻止选定网关上的恶意流量。

   8. （可选） 单击齿轮图标以配置其他规则设置。这些设置仅适用于 NSX IDS/IPS，而不适用于 NSX 恶意软件防护。

      选项	描述
      日志记录	默认情况下，将禁用日志记录。日志存储在 ESXi 主机上的 /var/log/dfwpktlogs.log 文件中。
      方向	指从目标对象角度来看的流量方向。“入站”表示只检查流入对象的流量。“出站”表示只检查从对象流出的流量。“双向”表示检查两个方向的流量。
      超额订阅	配置超额订阅时应丢弃多余的流量还是应绕过 IDS/IPS 引擎。此处输入的值将覆盖在全局设置中为超额订阅设置的值。
      IP 协议	基于 IPv4、IPv6 或 IPv4-IPv6 实施规则。

6. （可选） 重复步骤 4，在同一策略中添加更多规则。
7. 单击发布。您可以单击图形图标，查看网关防火墙上 NSX IDS/IPS 的规则统计信息。
   将保存规则并将其推送到 NSX Edge。

结果

在 Tier-1 网关上检测文件时，文件事件生成并显示在恶意软件防护仪表板和安全概览仪表板上。

对于配置了 IDS/IPS 配置文件的规则，如果系统检测到恶意流量，则会生成入侵事件。您可以在 IDS/IPS 仪表板或安全概览仪表板上查看事件详细信息。

示例

有关使用 NSX 恶意软件防护 配置网关防火墙规则的端到端示例，请参见 示例：为网关防火墙上的 NSX 恶意软件防护 添加规则。

下一步做什么

在恶意软件防护仪表板上监控和分析文件事件。有关详细信息，请参见监控文件事件。

在 IDS/IPS 仪表板上监控和分析入侵事件。有关详细信息，请参见 监控 IDS/IPS 事件。