以下是创宇盾攻击防护报表攻击类型及其在日志中的标记说明（括号中为日志中标记）：1. SQL注入（SQLI） #注入漏洞攻击2. webshell（WEBSHELL） #网站后门攻击3. XSS跨站（XSS） #跨站脚本攻击4. 敏感文件访问（FILEI） #敏感文件或目录访问攻击，例如日志文件访问5. 代码执行（CODE） #任意代码执行漏洞6. 恶意扫描（SCANNER） #恶意扫描，一般是非浏览器访问的机器访问7. 特殊攻击（SPECIAL） #这是针对特定漏洞所标记的(如利用Discuz!的某个漏洞攻击)，没有具体指某种类型攻击8. 恶意采集（COLLECTOR） #恶意采集，黑客通过程序大批量采集抓取网页数据。9. 远程命令（OS_COMMAND） #任意命令执行漏洞10. 文件包含（LRFI） #文件包含（包括本地文件包含和远程文件包含）11. 其它攻击（OTHER） #其他攻击12. 协同防御（GLOBAL_DEFENSE） #协同防御，某个攻击请求被某个节点拦截后，相应的其他节点也拦截这个IP13. URL限速（LIMIT_RATE） #限制IP访问频率而被拦截的请求14. UA黑名单(UA_BLACK) # user-agent 黑名单拦截15. 后台锁(DIR_LOCK) #非后台锁配置范围内的访问拦截，比如非法IP访问后台链接16. 网址黑名单(URL_BLACK) #网址黑名单拦截17. IP黑名单(IP_BLACK) # IP黑名单拦截18. 区域访问控制(AREA_LOCK) #区域访问控制拦截19. app防cc拦截(APP_CC) # app防cc拦截20. 协同防御IDC IP拦截(IDC_IP) #协同防御IDC IP拦截21. 协同防御代理 IP拦截(PROXY_IP) #协同防御代理 IP拦截，透明代理、网络滥用代理等22. 动态阻断拦截(WAF_BLOCK) #之前存在web攻击，后续会依据配置一定时期内动态拦截其后续请求

以下是创宇盾攻击防护报表攻击类型及其在日志中的标记说明（括号中为日志中标记）：1. SQL注入（SQLI） #注入漏洞攻击2. webshell（WEBSHELL） #网站后门攻击3. XSS跨站（XSS） #跨站脚本攻击4. 敏感文件访问（FILEI） #敏感文件或目录访问攻击，例如日志文件访问5. 代码执行（CODE） #任意代码执行漏洞6. 恶意扫描（SCANNER） #恶意扫描，一般是非浏览器访问的机器访问7. 特殊攻击（SPECIAL） #这是针对特定漏洞所标记的(如利用Discuz!的某个漏洞攻击)，没有具体指某种类型攻击8. 恶意采集（COLLECTOR） #恶意采集，黑客通过程序大批量采集抓取网页数据。

创宇盾报表及日志中攻击类型的解释

协同防御是指同步检测和拦截整个知道创宇云防御平台识别的各类高危风险IP和攻击指纹，这些风险IP和攻击指纹是通过知道创宇云防御安全大数据平台清洗而来，安全大数据平台依据黑客的实时攻击行为和请求特征构建攻击画像模型，并结合知道创宇网络空间测绘引擎ZoomEye的测绘数据动态识别，能有效清洗各类高危风险IP攻击。1、协同防御总览协同防御总览模块展示了当前知道创宇云防御安全大数据平台数据集的实时更新情况，其中包括了数据集更新时间及恶意IP总数，并提供了用户自行查询协同防御威胁情报的能力。<div class="media-wrap image-wrap"><img class="media-wrap image-wrap" src="http://help.yunaq.com/wp-content/uploads/2020/06/6.png" height="auto" style="height:auto"/></div>用户可通过点击“立即查询”跳转至协同防御威胁情报查询页面进行IP地址的查询<div class="media-wrap image-wrap align-center" style="text-align:center"><img class="media-wrap image-wrap align-center" src="http://help.yunaq.com/wp-content/uploads/2020/06/2.png" height="auto" style="height:auto"/></div>查询完成点击“去设置协同防御开关”可回到协同防御开关页面<h2>2、协同防御开关设置</h2>协同防御开关设置模块具备重点行业攻击清洗、网络机器流量清洗、特定攻击行为清洗、重点保障攻击防护、IDC访问控制五种功能。重点行业攻击清洗结合各个行业的攻击态势将威胁数据分为政府组织、金融理财、教育文化、新闻媒体、医疗健康和其它共六个子功能；<div class="media-wrap image-wrap align-center" style="text-align:center"><img class="media-wrap image-wrap align-center" src="http://help.yunaq.com/wp-content/uploads/2020/06/3.png" height="auto" style="height:auto"/></div>网络机器流量清洗分为恶意代理屏蔽、恶意IDC设备屏蔽、洋葱路由屏蔽、星链IP屏蔽、撒旦IP屏蔽、APT攻击IP屏蔽六个子功能；<div class="media-wrap image-wrap align-center" style="text-align:center"><img class="media-wrap image-wrap align-center" src="https://secstatic.yunaq.com/public/10020230310150450102000000833546.png"/></div>特定攻击行为清洗分为漏洞扫描器攻击屏蔽、网络爆破屏蔽两个子功能；<div class="media-wrap image-wrap align-center" style="text-align:center"><img class="media-wrap image-wrap align-center" src="http://help.yunaq.com/wp-content/uploads/2020/06/5.png" height="auto" style="height:auto"/></div>重点保障攻击防护分为重保专项攻击屏蔽一个子功能。<div class="media-wrap image-wrap align-center" style="text-align:center"><img class="media-wrap image-wrap align-center" src="http://help.yunaq.com/wp-content/uploads/2019/08/15995465041.png" height="auto" style="height:auto"/></div>IDC访问控制分为阿里云IDC、腾讯云IDC、百度云IDC等八个子功能。<div class="media-wrap image-wrap"><img class="media-wrap image-wrap" src="http://help.yunaq.com/wp-content/uploads/2019/08/16117368871.png" height="auto" style="height:auto"/></div>除IDC访问控制中的子功能外，所有子功能下都可进行高威胁IP清洗模式和低威胁IP清洗模式的选择，另需注意，无论开启哪种清洗模式，都会默认同时开启境内、境外服务，且验证模式默认为验证码，用户可自行更换为主动拦截模式和指纹监测模式，关闭则同时关闭境内、境外服务，新设置将在2-5分钟内生效。<ol><li>高威胁IP清洗：知道创宇自主研发威胁IP处理模式，通过攻击活跃度区别出高活跃度威胁攻击，针对性的对攻击活跃度高的IP进行清洗。</li><li>低威胁IP清洗：通过攻击活跃度区别出活跃度低的IP进行清洗。</li><li>指纹监测：通过客户端指纹识别和JS跳转判断客户端是否为正常访问环境，如果是正常访问环境则对该请求放行，如果不是正常访问环境则直接进行拦截。</li><li>验证码：当访问IP被识别为风险IP后会要求用户输入验证码以确定是否为正常人类访问。</li><li>主动拦截：当访问IP被识别为风险IP后直接进行拦截。</li></ol>重要：模式选择：高威胁IP清洗模式和低威胁IP清洗模式的选择取决于用户自身对安全性的考量，两种模式都开启则安全性能较高，仅开启高威胁IP清洗模式可防止在低威胁IP清理模式下会出现的误清洗。验证方式选择：使用该功能过程当中，建议优先选择指纹监测拦截方式，其次选择验证码拦截方式，只有当网站安全态势十分严峻时（重点保障时期、护网攻防演练时期，政治黑客活跃时期等）再选择主动拦截方式。

协同防御是指同步检测和拦截整个知道创宇云安全平台中的高危风险IP或攻击指纹，这些风险IP或攻击指纹是通过知道创宇云防御安全大数据依据黑客的实时攻击行为和请求特征设构建高危攻击画像模型，结合知道创宇网络空间测绘引擎ZoomEye的测绘数据动态识别清洗而来，并结合IP对各个行业的攻击态势将数据分为了政府组织、金融理财、教育文化、新闻媒体、医疗健康和其它共六个集合，每个集合又分为境内和境外子集，共12个子数据集。

协同防御使用说明

当POST请求内容存在攻击特征被拦截时，需要通过请求报文分析拦截原因。由于POST请求内容属于用户敏感信息，按照国家法律规定，安全厂商不得记录POST请求内容，因此无法直接通过云安全平台查看，需要使用其他方式获取，以下为获取Payload的常用方法。
<h4>方法一：客户端浏览器获取</h4>
获取步骤：（截图以谷歌浏览器为例，其他浏览器操作类似）
1.在出现拦截的电脑上打开浏览器开发者模式，选择Network并勾选Preserve log；
<img class="alignnone size-large wp-image-1984" src="http://help.yunaq.com/wp-content/uploads/2020/04/1-1024x331.jpg" alt="" width="980" height="317" srcset="http://help.yunaq.com/wp-content/uploads/2020/04/1-1024x331.jpg 1024w, http://help.yunaq.com/wp-content/uploads/2020/04/1-300x97.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/04/1-768x248.jpg 768w, http://help.yunaq.com/wp-content/uploads/2020/04/1-60x19.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/04/1-150x49.jpg 150w" sizes="(max-width: 980px) 100vw, 980px" />
2.输入网址重新进行一次被拦截前的操作，再次被拦截后点击下载导出HAR文件；
<img class="alignnone size-large wp-image-1987" src="http://help.yunaq.com/wp-content/uploads/2020/04/5-1024x375.jpg" alt="" width="980" height="359" srcset="http://help.yunaq.com/wp-content/uploads/2020/04/5-1024x375.jpg 1024w, http://help.yunaq.com/wp-content/uploads/2020/04/5-300x110.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/04/5-768x281.jpg 768w, http://help.yunaq.com/wp-content/uploads/2020/04/5-60x22.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/04/5-150x55.jpg 150w" sizes="(max-width: 980px) 100vw, 980px" />
3.将文件发送知道创宇技术顾问协助分析。
<h4>方法二：客户端抓包获取</h4>
若被拦截的请求为非浏览器请求，无法使用方法一，且请求为http协议，可以使用客户端抓包的方式获取。
操作步骤：（截图以Wireshark为例，其他抓包工具类似）
1.在出现拦截的电脑上打开本地抓包软件，执行抓包并过滤要抓取的域名；
<img class="alignnone size-large wp-image-1986" src="http://help.yunaq.com/wp-content/uploads/2020/04/3-1024x375.jpg" alt="" width="980" height="359" srcset="http://help.yunaq.com/wp-content/uploads/2020/04/3-1024x375.jpg 1024w, http://help.yunaq.com/wp-content/uploads/2020/04/3-300x110.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/04/3-768x282.jpg 768w, http://help.yunaq.com/wp-content/uploads/2020/04/3-60x22.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/04/3-150x55.jpg 150w" sizes="(max-width: 980px) 100vw, 980px" />
2.重新进行一次被拦截前的操作，复现拦截后检查抓包内容中存在403状态码的包，停止抓包；
<img class="alignnone size-full wp-image-1985" src="http://help.yunaq.com/wp-content/uploads/2020/04/4.jpg" alt="" width="830" height="120" srcset="http://help.yunaq.com/wp-content/uploads/2020/04/4.jpg 830w, http://help.yunaq.com/wp-content/uploads/2020/04/4-300x43.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/04/4-768x111.jpg 768w, http://help.yunaq.com/wp-content/uploads/2020/04/4-60x9.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/04/4-150x22.jpg 150w" sizes="(max-width: 830px) 100vw, 830px" />
3.将抓包文件保存并发送知道创宇技术顾问协助分析。
<h4>方法三：服务器获取（此方法需网站管理员操作）</h4>
如客户端不方便获取Payload，当前用户确认可信的情况下可以临时添加IP白名单，云防护平台暂时放行该请求，从源站服务器上获取Payload内容。获取后将Payload发送知道创宇技术顾问协助分析，并删除添加的白名单。
IP白名单功能位于：抗D保/加速乐/创宇盾–&gt; 功能管理 –&gt; 通用设置 –&gt; 黑白名单。
<img class="alignnone size-large wp-image-1935" src="http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-1024x478.png" alt="" width="980" height="457" srcset="http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-1024x478.png 1024w, http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-300x140.png 300w, http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-768x359.png 768w, http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-60x28.png 60w, http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2-150x70.png 150w, http://help.yunaq.com/wp-content/uploads/2020/03/WX20200327-164108-2.png 1356w" sizes="(max-width: 980px) 100vw, 980px" />
注意：此方法将放行存在攻击特征的请求到服务器，若该请求具有危害性，将给服务器带来隐患，建议谨慎使用此方法。
&nbsp;

当POST请求内容存在攻击特征被拦截时，需要通过请求报文分析拦截原因。由于POST请求内容属于用户敏感信息，按 [&#8230;]

如何获取被拦截请求的Payload

护网模式适用于重点保障、护网攻防演练、政治黑客活跃等安全态势严峻时期，启用创宇盾特定的护网防护策略，保障特殊时期网站和业务系统的平稳运行。
说明：护网模式只会在开启开关且处于防护时间范围内功能才会生效。
护网防护策略介绍：
1.防火墙拦截模式：开启拦截模式将阻止Web攻击访问请求，并重定向到拦截页面。
2.协同防御所有策略集采用主动拦截方式：当访问IP被识别为风险IP后直接进行拦截。
3.智能攻击防御：精准识别多种自动化扫描和攻击软件，深度解析编码过的、畸形的恶意代码，并阻断其请求，减少90%以上的恶意攻击。
4.屏蔽时间：访问请求触发网站防火墙防御策略达到设置的阈值时，屏蔽该IP一定的时间。策略只有在屏蔽时间存在配置的情况下才会生效。具体配置可前往“功能管理-屏蔽设置-屏蔽时间”修改。
操作步骤：（截图以谷歌浏览器为例，其他浏览器操作类似）
<ol>
<li>登录【知道创宇云防御平台】后，在页面顶部的导航栏中，单击【控制台】按钮，进入控制台首页。</li>
<li>在页面的资源推荐中，点击【创宇盾】按钮进入创宇盾概览页面。</li>
<li>单击【防护模式】tab，找到“护网模式”功能设置项，如下图所示。<img src="http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806.jpg" alt="" width="1458" height="531" class="alignnone size-full wp-image-2106" srcset="http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806.jpg 1458w, http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806-300x109.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806-768x280.jpg 768w, http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806-1024x373.jpg 1024w, http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806-60x22.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/07/1597817311806-150x55.jpg 150w" sizes="(max-width: 1458px) 100vw, 1458px" /></li>
<li>在页面上方选择要进行操作的根域名与主机名。</li>
<li>开启护网模式开关，并点击【修改】按钮，设置防护时间，创宇盾将在设置的防护时间范围内开启特定的防护策略，如下图所示。<img src="http://help.yunaq.com/wp-content/uploads/2020/07/1597819490358.jpg" alt="" width="739" height="300" class="alignnone size-full wp-image-2107" srcset="http://help.yunaq.com/wp-content/uploads/2020/07/1597819490358.jpg 739w, http://help.yunaq.com/wp-content/uploads/2020/07/1597819490358-300x122.jpg 300w, http://help.yunaq.com/wp-content/uploads/2020/07/1597819490358-60x24.jpg 60w, http://help.yunaq.com/wp-content/uploads/2020/07/1597819490358-150x61.jpg 150w" sizes="(max-width: 739px) 100vw, 739px" /></li>
</ol>

护网模式适用于重点保障、护网攻防演练、政治黑客活跃等安全态势严峻时期，启用创宇盾特定的护网防护策略，保障特殊时 [&#8230;]

热门搜索词

热门文章

协同防御使用说明

如何获取被拦截请求的Payload

如何使用护网模式

关注知道创宇云安全

完善信息下载白皮书

热门搜索词

热门文章

协同防御使用说明

如何获取被拦截请求的Payload

如何使用护网模式

关注知道创宇云安全