摘要：封禁IP分為自動封禁和人工封禁，本文主要介紹如何人工封禁。人工封禁的關鍵是：無縫協(xié)同，方便操作，批量化，一鍵式，防誤封，高容量。
IP封禁是對付網(wǎng)絡攻擊的最直接、最有效的方法。
在網(wǎng)絡安全防御體系中，有些系統(tǒng)和設備，可以通過TCP reset、返回HTTP錯誤等方式自動攔截，或是聯(lián)動防火墻進行自動封禁，但這是不夠的。在真實的防守場景下，人工封禁是必不可少的。
人工封禁主要是對監(jiān)控發(fā)現(xiàn)和情報傳遞的惡意IP進行封禁。如何在短時間內(nèi)，在多臺防火墻上（企業(yè)可能會有多個互聯(lián)網(wǎng)出口）迅速封禁，值得研究和優(yōu)化。
本文總結了一些實用的方法，僅供參考。
1. 無縫協(xié)同
應該有一個協(xié)作平臺，至少提供在線文檔和即時通信，安全監(jiān)測人員可以通過在線表格，及時上報各種攻擊行為及其IP，網(wǎng)絡封禁人員實時查看表格，在IP封禁系統(tǒng)中填入IP，然后一鍵下發(fā)到企業(yè)所有互聯(lián)網(wǎng)出口的防火墻上。
2. 一鍵下發(fā)
企業(yè)應建設IP封禁系統(tǒng)，可以在運維自動化系統(tǒng)中建設該模塊，也可單獨建設。
主要思路是，通過防火墻的API或者SSH方式，實施自動化的登錄和操作。
應能夠預先選擇多臺防火墻。
操作員只需要填入IP，或導入批量IP，即可生成將惡意IP加入黑名單的封禁命令，然后下發(fā)到預先選擇的多臺防火墻中。
如果在一定時間內(nèi)沒有頁面操作，應強制再次認證。
相應地，應該有對應的解封操作頁面。
3. 優(yōu)先黑名單
主流防火墻提供黑名單封禁和安全策略封禁兩種封禁方式。
黑名單封禁方式能立刻中斷被封禁IP的現(xiàn)有連接，并禁止后續(xù)連接。
安全策略封禁方式完成配置后，可禁止相應IP的后續(xù)連接，但不能斷掉現(xiàn)有連接。
所以，對監(jiān)控發(fā)現(xiàn)的攻擊IP，應優(yōu)先采用黑名單封禁。
對于大量的情報IP（成千上萬），可使用安全策略方式批量封禁。
4. 容量管理
主流防火墻的黑名單容量通常在2萬-10萬個IP之間，在黑名單封禁IP數(shù)量達到容量的50%時，應考慮將黑名單中的封禁IP分批遷移到安全策略中（容量通常在百萬級別或者無限制），保障黑名單始終保持充足容量以應對大量突發(fā)攻擊。
安全策略是關聯(lián)到IP地址組的，對于主流防火墻而言，每個IP地址組也有容量上限（通常在1000-3000個之間），在做黑名單IP遷移和情報批量導入時，應做好分組管理，地址組命名規(guī)則以日期組合序號為宜，如Block20220810-01、Block20220810-02等，以便于封禁IP的查詢和回溯。
5. 防誤封
為了防止誤封，IP封禁系統(tǒng)應實現(xiàn)白名單功能，將企業(yè)自有的公網(wǎng)出口IP、合作單位IP等加入白名單。實施封禁時，系統(tǒng)自動對待封禁IP進行白名單檢查，防止誤封IP導致業(yè)務故障。
將IP添加到白名單時，應詳細記錄加入的原因、關聯(lián)業(yè)務、需求人、操作人、操作時間等，便于管理和追溯。
此外，自動進行合理性檢查，尤其是檢查帶子網(wǎng)掩碼的IP，防范因掩碼錯誤導致大網(wǎng)段封禁，此類高危操作應自動強制進入短信審批流程。
因為，我見過有人要封1.2.3.4/32，結果手一抖，封成了1.2.3.4/3。
學過網(wǎng)絡的，都知道這是什么意思。
6. 總結
盡可能自動化，盡可能防范誤操作，會讓你更輕松一點。文章來源：http://www.zghlxwxcb.cn/news/detail-653732.html
文｜衛(wèi)sir
文章來源地址http://www.zghlxwxcb.cn/news/detail-653732.html
到了這里，關于如何封禁大量惡意IP？的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！
