NGFW管理手册

防病毒配置天融信TOPSEC® 北京市海淀区上地东路1号华控大厦 100085电话：+8610-82776666传真：+8610-82776677服务热线：+8610-8008105119版权声明 本手册中的所有内容及格式的版权属于北京天融信公司（以下简称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。

版权所有不得翻印© 1995-2008 天融信公司商标声明 本手册中所谈及的产品名称仅做识别之用。

手册中涉及的其他公司的注册商标或是版权属各商标注册人所有，恕不逐一列明。

TOPSEC® 天融信公司信息反馈目录1病毒防御 (1)1.1查看病毒信息 (1)1.2配置病毒过滤策略 (3)1.2.1HTTP病毒过滤策略 (3)1.2.2FTP病毒过滤策略 (7)1.2.3SMTP病毒过滤策略 (9)1.2.4POP3病毒过滤策略 (11)1.2.5IMAP病毒过滤策略 (13)1.3配置反病毒引擎参数 (15)1.4许可证更新 (16)1.5病毒库更新 (17)1.5.1在线升级 (17)1.5.2离线升级 (18)1病毒防御当前网络病毒泛滥，病毒一旦进入网络内部，就会很快地在网络环境中传播，造成整个网络的阻塞，甚至瘫痪。

网络病毒已被公认为网络安全的最主要威胁之一。

为了解决这一问题，天融信公司在原有网络安全产品的基础上增加了反病毒功能，能够对使用HTTP、FTP传输的文件以及对使用SMTP、POP3和IMAP协议传送的邮件正文、附件进行病毒检查过滤，并可根据文件扩展名选择过滤或者不过滤的附件类型等。

本文档主要介绍反病毒功能，包括的内容有：z查看病毒信息：主要介绍如何查看和统计病毒扫描的情况，以方便用户优化病毒过滤策略，进一步增强网络安全性。

z配置反病毒引擎过滤策略：主要介绍如何设置病毒过滤策略。

目前，该反病毒引擎主要支持HTTP过滤、FTP过滤、SMTP过滤、POP3过滤和IMAP过滤。

z配置反病毒引擎参数：主要介绍如何设置和使用反病毒引擎的一些全局参数。

z许可证更新：主要介绍如何在WEB界面中更新病毒库的许可证文件。

z病毒库更新：主要介绍病毒库升级的方法，包括在线升级和离线升级两种方法。

1.1查看病毒信息病毒信息部分主要提供各种病毒扫描情况的统计信息，包括扫描各种协议数据的数据流量、文件数目、发现病毒数目、清除病毒数目和删除文件数目等，另外还会显示出扫描各种协议数据时，发现最多的5种病毒和最新发现的5种病毒及其处理方式等。

查看这些病毒信息的具体操作如下所示：1）选择病毒防御 > 基本信息进入基本信息显示页面，查看各种病毒扫描的统计情况，如下图所示。

2）点击“清空”按钮，可以清空当前扫描到的各种病毒统计信息。

1.2配置病毒过滤策略病毒过滤功能是对应用层数据的过滤，支持用户定制，用户可以根据企业网络的具体使用情况来配置针对各种协议的防病毒策略。

天融信网络安全设备的病毒过滤功能支持的协议主要有HTTP、FTP、POP3、SMTP和IMAP，下面就根据不同的协议分别介绍如何配置相应的病毒过滤策略。

说明本文档中配置的病毒过滤策略只有在系统的访问控制规则中开启A V过滤功能后，才能够生效。

1.2.1HTTP病毒过滤策略在系统访问控制规则中，可以指定是否对满足这条规则的网络数据进行病毒过滤。

当系统的某条规则允许来自某个地址段访问HTTP服务的数据流通过，并且启动了防病毒过滤引擎时，就会截取该数据流，并按照HTTP过滤策略调用杀毒引擎对传输的网络文件进行病毒过滤。

配置HTTP病毒过滤策略的具体步骤如下所示：1）在左侧导航菜单中点击病毒防御 > 防御策略，然后选择“HTTP策略”页签，界面如下图所示。

2）设置HTTP病毒过滤的基本参数，参数说明如下表所示。

参数说明最大过滤文件大小指过滤文件大小的最大值，超过此值的文件将不进行病毒扫描。

单位：KB；默认值：1024KB；取值范围：1-3072KB。

病毒处理指对病毒的处理方式。

可选值：清除、删除和记录。

说明：“清除”是指清除文件中的病毒；“删除”是删除整个带病毒的文件；“记录”则只是通知管理员这个文件有病毒，并记录文件信息，但对该文件不做任何处理。

病毒清除失败处理指病毒清除失败时的处理方式。

可选值：删除和记录。

说明：1）只有当病毒处理方式为“清除”时，该参数才有效。

2）当清除病毒的操作失败时，病毒过滤引擎可以进一步删除带病毒的文件或者记录该文件的信息。

开启HTML过滤选择是否扫描HTML格式文件。

动态阻断策略指是否开启动态阻断功能。

说明：1）开启动态阻断功能后，内部的病毒防御模块主动去联包过滤模块。

2）当病毒过滤引擎发现病毒后，会自动添加一条联动规则（该联动规则通过点击导航树菜单项入侵防御 > IDS联动进行查看），限制此源IP、目的IP和目的端口的连接一段时间（这段时间的设置请参见1.3配置反病毒引擎参数）。

记录日志选择是否记录HTTP病毒过滤日志。

3）设置HTTP病毒过滤的URL黑白名单，参数说明如下表所示。

参数说明开启URL黑名单指是否开启URL黑名单。

说明：开启URL黑名单后，用户无法访问URL黑名单中的URL页面，无论该页面是否携带病毒。

URL黑名单指URL黑名单中的地址。

在左侧的文本框中输入URL地址后，点击“→”按钮，便可以将此URL添加到黑名单中；删除时，在右侧选中要删除的URL后，点击“×”按钮即可。

说明：1）参数值是URL格式的字符串，支持通配符“*”和“？”，格式为“”。

2）当一个URL同时存在于URL黑名单和URL白名单时，白名单优先级较高。

开启URL白名单指是否开启URL白名单。

说明：开启URL白名单后，当访问URL白名单中的URL页面时，病毒过滤引擎不对该页面的内容进行过滤。

URL白名单指URL白名单中的地址。

在左侧的文本框中输入URL地址后，点击“→”按钮，便可以将此URL添加到白名单中；删除时，在右侧选中要删除的URL后，点击“×”按钮即可。

说明：1）参数值是URL格式的字符串，支持通配符“*”和“？”，格式为“”。

2）当一个URL同时存在于URL黑名单和URL白名单时，白名单优先级较高。

4）设置HTTP病毒过滤的IP地址白名单，参数说明如下表所示。

参数说明开启客户端地址白名单指是否开启客户端IP地址白名单。

说明：开启客户端IP地址白名单后，当使用该白名单内IP地址的客户端访问HTTP服务器时，病毒过滤引擎不对其进行病毒过滤。

客户端IP地址白名单指客户端IP地址白名单中的IP地址。

在左侧的文本框中输入IP地址后，点击“→”按钮，便可以将此IP 地址添加到客户端IP地址白名单中；删除时，在右侧选中要删除的IP地址后，点击“×”按钮即可。

说明：IP地址白名单的参数值即可以输入IP地址，也可以输入网段，例如：192.168.92.0/24。

开启服务端IP地址白名单指是否开启服务端IP地址白名单。

说明：开启服务端IP地址白名单后，当访问服务器白名单中的HTTP服务器时，病毒过滤引擎不对其进行病毒过滤。

服务端IP地址白名单指服务端IP地址白名单中的地址。

在左侧的文本框中输入IP地址后，点击“→”按钮，便可以将此IP 地址添加到服务端IP地址白名单中；删除时，在右侧选中要删除的IP地址后，点击“×”按钮即可。

说明：IP地址白名单的参数值即可以输入IP地址，也可以输入网段，例如：192.168.92.0/24。

5）设置HTTP病毒过滤的高级参数，参数说明如下表所示。

参数说明文件类型查杀选择指当通过HTTP访问附件时，是否查杀附件，以及查杀的附件类型。

可选值：所有文件、不查杀文件、扩展名不在列表中和扩展名在列表中。

说明：当选择“所有文件”时，病毒过滤引擎会查杀所有的附件；当选择“不查杀文件”时，病毒过滤引擎不会查杀任何附件；当选择“扩展名不在列表中”时，如果附件的扩展名不在列表中，则病毒过滤引擎会查杀该附件；当选择“扩展名在列表中”时，如果附件的扩展名在列表中，则病毒过滤引擎会查杀该附件。

文件扩展名列表指文件扩展名的列表。

用户可以手动输入文件扩展名，也可以通过点击“↑加入到列表中”按钮批量输入；点击“↓从列表中删除”按钮，可以将批量输入的文件扩展名从列表中删除掉。

说明：1）只有当文件类型查杀选择的参数值为“扩展名不在列表中”和“扩展名在列表中”时，该参数才生效。

2）最多不能超过100个扩展名，多个扩展名用逗号分隔。

扫描超时时间指扫描病毒的超时时间。

单位：秒；默认值：3秒；取值范围：0-5秒，0表示不做超时限制。

每秒新建连接数限制设置每秒最大新建连接数，超过后直接转发，不再进行过滤。

取值范围：0-2000。

0表示不限制，即不进行过滤。

发现病毒提示信息指扫描到病毒时，系统发出的警告消息。

说明：最多不超过98个字符，默认为“HTTP访问发现病毒”。

6）设置HTTP病毒过滤的防蠕虫攻击参数，参数说明如下表所示。

攻击的连接统计时间指统计攻击连接的时间。

单位：秒；默认值：1秒；取值范围：1-65535秒。

攻击的连接数指攻击的连接次数。

单位：次；默认值：100次；取值范围：1-65535次。

攻击的阻止连接时间指在“攻击的连接统计时间”内，“攻击的连接数”超过指定次数时，阻止攻击连接的时间。

单位：秒；默认值：10秒；取值范围：1-65535秒。

7）参数值设置完成后，点击“应用”按钮进行保存；点击“参数重置”可以恢复系统默认值。

1.2.2FTP病毒过滤策略在系统访问控制规则中，可以指定是否对满足这条规则的网络数据进行病毒过滤。

当系统的某条规则允许来自某个地址段访问FTP服务的数据流通过，并且启动了防病毒过滤引擎时，就会截取该数据流，并按照FTP过滤策略调用杀毒引擎对传输的网络文件进行病毒过滤。

配置FTP病毒过滤策略的具体步骤如下所示：1）在左侧导航菜单中选择病毒防御 > 防御策略，然后激活“FTP策略”页签，界面如下图所示。

2）FTP病毒过滤的参数说明和设置方法与HTTP病毒过滤策略类似，请参见1.2.1HTTP 病毒过滤策略。

说明FTP协议的URL黑白名单不支持通配符，建议用户设置FTP服务器地址时使用IP地址而不使用域名，如：ftp://192.168.0.21。

IP地址黑白名单不支持IP段，只能输入合法单个IP地址。

3）参数值设置完成后，点击“应用”按钮进行保存；点击“参数重置”可以恢复系统默认值。

1.2.3SMTP病毒过滤策略在系统访问控制规则中，可以指定是否对满足这条规则的网络数据进行病毒过滤。

当系统的某条规则允许来自某个地址段访问SMTP服务的邮件数据流通过，并且启动了防病毒过滤引擎时，就会截取该邮件数据流，并按照SMTP过滤策略调用杀毒引擎对邮件正文和附件进行病毒过滤。