关于安全情报
通过安全情报策略能够根据源/目标 IP 地址或目标 URL 提前丢弃非必要流量。在使用访问控制策略评估列入黑名单的流量前，系统会将其丢弃，从而减少系统资源的使用量。
您可以基于以下内容将流量列入黑名单：
-
思科 Talos 情报小组 (Talos) 源 - Talos提供对定期更新的安全情报源的访问权限。具有安全威胁（如恶意软件、垃圾邮件、僵尸网络和网络钓鱼）的站点出现和消失的速度可能比您更新和部署自定义配置的速度要快。系统定期下载情报源更新，从而提供新的威胁情报，而无需重新部署配置。
注
Talos 默认情况下，源每小时更新一次。您可以从页面更改更新频率，甚至根据需要更新情报源。
-
网络和 URL 对象 - 如果您知道要阻止的特定 IP 地址或 URL，则可为其创建对象并将其添加到黑名单（或例外列表，也称为白名单）。
创建用于 IP 地址（网络）和 URL 的单独黑名单。
黑名单例外
对于各黑名单，可创建关联的例外列表，也称之为白名单。例外列表的唯一目的是免除阻止出现在黑名单中的 IP 地址或 URL。也就是说，如果发现需使用且已知安全的地址或 URL 位于在黑名单上配置的情报源中，则可免除该网络/URL，而无需从黑名单中完全删除该类别。
随后通过访问控制策略评估被排除或列入白名单的流量。有关允许或丢弃连接的最终决定基于连接匹配的访问控制规则。访问规则还会决定恶意软件检查是否应用于连接。
安全情报源类别
下表介绍思科 Talos 情报小组 (Talos)源中的可用类别。这些类别可用于网络和 URL 黑名单。
|
类别 |
说明 |
|---|---|
|
攻击者 |
出站恶意活动已知的活动扫描工具和列入黑名单的主机。 |
|
bogon |
Bogon 网络和未分配的 IP 地址。 |
|
僵尸 |
托管二进制恶意软件丢弃程序的站点。 |
|
CnC |
托管僵尸网络的命令和控制服务器的站点。 |
|
dga |
用于生成作为与命令和控制服务器的交汇点的大量域名的恶意软件算法。 |
|
exploitkit |
指定用于识别客户端中的软件漏洞的软件包。 |
|
恶意软件 |
托管恶意软件二进制或漏洞包的站点。 |
|
open_proxy |
允许匿名 Web 浏览的开放代理。 |
|
open_relay |
已知用于垃圾邮件的开放邮件中继。 |
|
网络钓鱼 |
托管网络钓鱼页面的站点。 |
|
效率低下 |
主动参与恶意或可疑活动的 IP 地址和 URL。 |
|
垃圾邮件 |
已知用于发送垃圾邮件的邮件主机。 |
|
可疑 |
看似可疑并具有类似于已知恶意软件的特征的文件。 |
|
tor_exit_node |
Tor 出口节点。 |
反馈