設定 Server & Workload Security保護 防火牆

在部署防火牆規則之前進行測試

• Tap mode：封包流不會被修改。流量仍然由防火牆和/或入侵防護模組處理，如果它們已啟動。然而，任何檢測到的問題都不會導致封包或連接中斷。在 Tap 模式下，Server & Workload Security保護 除了提供事件記錄外，沒有其他保護。
• Inline mode：封包流直接通過Server & Workload Security保護網路引擎。所有規則在網路流量進入通訊協定堆疊之前應用。

在 Tap 模式下測試

1. 前往 Computers 或 Policies 在 Server & Workload Security保護 控制台。
2. 右鍵點選電腦防護（或政策），然後選擇詳細資訊以開啟電腦防護或政策編輯器。
3. 前往Settings → Advanced → Network Engine Mode。
4. 從清單中選擇Tap並點選儲存。
5. 建立您的規則並點選確定。要檢查您的規則，請前往Events & Reports → Events → Firewall Events。

注意 在 Tap 模式下，無需將規則的動作設置為僅記錄。

在內嵌模式中測試

1. 前往 Computers 或 Policies 在 Server & Workload Security保護 控制台。
2. 右鍵點選電腦防護（或政策），然後選擇詳細資訊以開啟電腦防護或政策編輯器。
3. 前往Settings → Advanced → Network Engine Mode。
4. 從下拉選單中選擇Inline，然後點選儲存。
5. 當您建立規則時，請確保動作設置為Log Only。
6. 要檢查您的規則，請前往Events & Reports → Events → Firewall Events。

啟用失敗開啟行為

• 代理程式或虛擬裝置出現系統問題，例如記憶體不足
• 封包完整性檢查失敗

1. 前往 Computers 或 Policies 在 Server & Workload Security保護 控制台。
2. 右鍵點選電腦防護（或政策），然後選擇詳細資訊以開啟電腦防護或政策編輯器。
3. 點選左側的設定。
4. 點選Advanced標籤。
5. 在 網路引擎設定 下，將 Failure Response settings 設定如下：
6. 將 Network Engine System Failure 設定為 Fail open 以允許封包通過，如果 Server & Workload Security保護 網路引擎遇到問題，例如記憶體不足、分配記憶體失敗和網路引擎深度封包檢查 (DPI) 解碼失敗。 如果您的代理程式或虛擬裝置因為負載過重或資源不足而經常遇到網路異常，請考慮在此使用故障開放。 使用故障開放時，網路引擎允許封包通過，不執行入侵防護規則檢查，並記錄事件。 儘管代理程式或虛擬裝置出現問題，您的服務和應用程式仍然可用。
7. 將 Network Packet Sanity Check Failure 設定為 Fail open 以允許未通過網路引擎封包完整性檢查的封包通過。封包完整性檢查的範例：防火牆完整性檢查、網路層 2、3 或 4 屬性檢查，以及 TCP 狀態檢查。如果您只想對通過完整性檢查的良好封包執行入侵防護規則檢查，請考慮在此使用失敗開放。使用失敗開放時，網路引擎允許未通過的封包通過，不對其執行入侵防護規則檢查，並記錄事件。
8. 點選 儲存。

開啟防火牆

1. 在電腦防護或政策編輯器中，前往Firewall → General。

   注意 如需有關啟用容器防火牆的資訊，請參閱 套用您的防火牆設定。

2. 選擇開啟。
3. 點選 儲存。

注意 當您啟用 Server & Workload Security保護 防火牆並至少有一條防火牆規則時，代理程式會自動停用 Windows 防火牆以防止衝突。

預設防火牆規則

注意 為了將系統性能的影響降到最低，請盡量不要指派超過 300 條防火牆規則。最好在防火牆規則的「描述」欄位中記錄所有防火牆規則的變更。記下規則創建或刪除的時間和原因，以便更輕鬆地進行防火牆維護。

Server & Workload Security保護 流量的預設繞過規則

• Priority: 4 - 最高
• Packet direction: 來電
• Frame type: IP
• Protocol: TCP
• Packet Destination Port:Agent's listening port for heartbeats

限制性或寬鬆的防火牆設計

限制性防火牆

注意 一旦您指派了一個單一的輸出允許規則，輸出防火牆將以限制模式運作。這對於輸入防火牆也是如此：一旦您指派了一個單一的輸入允許規則，輸入防火牆將以限制模式運作。

寬鬆的防火牆

防火牆規則動作

警告 如果您只指派傳入規則，所有傳出流量將被允許。如果您指派單一傳出允許規則，傳出防火牆將以限制模式運作。有一個例外：ICMPv6 流量總是被允許，除非它被拒絕規則特別封鎖。

允許	顯式允許符合規則的流量通過，然後隱式拒絕所有其他流量。 注意 您應謹慎使用允許動作，因為它隱含地拒絕所有未定義的內容。在創建允許規則時，若未正確定義相關規則，可能會導致所有流量被封鎖，除了允許規則所創建的流量。未被允許規則明確允許的流量將被丟棄，並記錄為「超出“允許”政策」的防火牆事件。
繞過	允許流量繞過防火牆和入侵防護分析。繞過規則應始終成對創建（針對傳入和傳出流量）。繞過規則可以基於 IP、端口、傳輸方向和通訊協定。 繞過規則是為了媒體密集型協議或來自受信任來源的流量而設計的。
拒絕	明確阻擋符合規則的流量。
強制允許	如果封包符合強制允許規則，則會通過，但仍會被入侵防護過濾。不會記錄任何事件。 此類防火牆規則動作必須用於 UDP 和 ICMP 流量。
僅記錄	僅會記錄流量。不會採取其他行動。

防火牆規則優先順序

允許規則

強制允許規則

繞過規則

建議的防火牆策略規則

• ARP：允許傳入的 ARP 請求，以便電腦防護可以回應其 MAC 位址的查詢。如果您不指派此規則，網路上的任何裝置都無法查詢主機的 MAC 位址，且主機將無法從網路存取。
• Allow solicited TCP/UDP replies：允許電腦接收其自身 TCP 連線和 UDP 訊息的回覆。這與 TCP 和 UDP 有狀態防火牆組態一起運作。
• Allow solicited ICMP replies：允許電腦接收其自身 ICMP 訊息的回覆。這與 ICMP 有狀態防火牆組態一起運作。
• DNS 伺服器：允許 DNS 伺服器接收輸入的 DNS 查詢。
• Remote Access RDP：允許電腦防護接受遠端桌面連線。
• Remote Access SSH：允許電腦防護接受 SSH 連接。

測試防火牆規則

1. 嘗試建立與電腦的 SSH 連線。如果防火牆已啟動且未啟用遠端存取 SSH 規則，連線將被拒絕。請前往Events & Reports → Firewall Events查看被拒絕的事件。
2. 前往Computer or Policy editor → Firewall。在Assigned Firewall Rules下，點選Assign/Unassign。
3. 搜尋遠端存取 SSH 並啟用規則。點選確定和儲存。
4. 嘗試建立與電腦防護的 SSH 連線。應允許該連線。

1. 嘗試建立與電腦的 RDP 連線。如果防火牆已啟動且未啟用遠端存取 RDP 規則，則連線將被拒絕。前往Events & Reports → Firewall事件以查看被拒絕的事件。
2. 前往Computer or Policy editor → Firewall。在Assigned Firewall Rules下，點選Assign/Unassign。
3. 搜尋遠端存取 RDP 並啟用規則。點選 確定 和 儲存。
4. 嘗試建立到電腦防護的 RDP 連線。應允許該連線。

偵察掃描

• Computer OS Fingerprint Probe: 代理或設備偵測到嘗試發現電腦防護的作業系統。
• Network or Port Scan: 如果代理程式或設備偵測到遠端 IP 正在訪問異常比例的 IP 與通訊埠，則會報告網路或通訊埠掃瞄。通常，代理程式或設備電腦只會看到針對自身的流量，因此通訊埠掃瞄是最常被偵測到的探測類型。電腦或通訊埠掃瞄偵測中使用的統計分析方法源自於 2006 年在 IPCCC 上發表的論文「Connectionless Port Scan Detection on the Backbone」中提出的 "TAPS" 演算法。
• TCP Null Scan: 代理或設備偵測到未設置標記的封包。
• TCP SYNFIN Scan: 代理或設備檢測到僅設置了 SYN 和 FIN 標誌的數據包。
• TCP Xmas Scan: 代理或設備偵測到僅設置了 FIN、URG 和 PSH 標誌的數據包，或值為 0xFF（設置了所有可能的標誌）。

注意 如果您想啟用偵察保護，您必須在策略或電腦防護編輯器 > 防火牆 > 一般標籤中啟用防火牆和有狀態檢查。您還應該前往策略或電腦防護編輯器 > 防火牆 > 進階標籤，啟用為 '超出允許策略' 的封包生成防火牆事件設定。這將生成偵察所需的防火牆事件。

注意 偵察掃描檢測需要至少有一個活動的防火牆規則分配給代理的策略。

狀態檢查

1. 如果封包已通過靜態防火牆規則條件的允許，則會將其傳遞給有狀態例程。
2. 該封包會被檢查以確定其是否屬於現有連線。
3. TCP 標頭會檢查其正確性（例如，序列號、標誌組合等）。

範例

1. 使用這些已啟動的選項，通過全域防火牆有狀態配置啟用 TCP、UDP 和 ICMP 的有狀態檢查。
2. 新增防火牆規則以允許 TCP 和 UDP 回應工作站發出的請求。為此，請建立一個傳入允許規則，將通訊協定設置為 TCP + UDP，並在 Specific Flags 下選擇 Not 和 Syn。此時，該策略僅允許對工作站用戶發起的請求的 TCP 和 UDP 封包進行回應。例如，結合在步驟 1 中已啟動的狀態分析選項，此規則允許此電腦上的用戶進行 DNS 查詢（通過 UDP）和通過 HTTP（TCP）瀏覽網頁。
3. 新增防火牆規則以允許對工作站發出的請求進行 ICMP 回應。為此，請建立一個傳入允許規則，將通訊協定設置為 ICMP，並選中 Any Flags 選框。這意味著此電腦上的使用者可以 ping 其他工作站並接收回應，但其他使用者將無法 ping 此電腦。
4. 在 Specific Flags 部分勾選 Syn 核取方塊，新增一條防火牆規則以允許進入的 TCP 流量到 80 和 443 埠。這意味著外部使用者可以訪問此電腦上的 Web 伺服器。
   此時，我們有一個基本的防火牆策略，允許請求的 TCP、UDP 和 ICMP 回應以及對此電腦上 Web 伺服器的外部訪問，所有其他進入的流量都被拒絕。
   舉例來說，如何使用拒絕和強制允許規則動作來進一步完善此政策，考慮我們可能希望限制來自網路中其他電腦的流量。例如，我們可能希望允許內部使用者訪問此電腦上的 Web 伺服器，但拒絕來自 DMZ 中任何電腦的訪問。這可以通過添加一個拒絕規則來禁止來自 DMZ IP 範圍內伺服器的訪問來實現。
5. 為來自來源 IP 10.0.0.0/24 的傳入 TCP 流量新增一條拒絕規則，這是分配給 DMZ 中電腦的 IP 範圍。此規則拒絕來自 DMZ 中電腦到此電腦的任何流量。
   然而，我們可能需要進一步完善此政策，以允許來自位於 DMZ 的郵件伺服器的傳入流量。
6. 對來自來源 IP 10.0.0.100 的傳入 TCP 流量使用強制允許。此強制允許會覆蓋我們在上一步中創建的拒絕規則，以允許來自 DMZ 中這台電腦防護的流量。

重要事項須記住

• 所有流量首先會根據防火牆規則進行檢查，然後再由有狀態檢查引擎進行分析。如果流量通過防火牆規則，則流量會由有狀態檢查引擎進行分析（前提是防火牆有狀態配置中已啟動有狀態檢查）。
• 允許規則是限制性的。任何未在允許規則中指定的內容都會自動被丟棄。這包括其他幀類型的流量，因此您需要記得包含允許其他類型所需流量的規則。例如，如果未使用靜態 ARP 表，請不要忘記包含允許 ARP 流量的規則。
• 如果已啟動 UDP 狀態檢查，則必須使用強制允許規則來允許未經請求的 UDP 流量。例如，如果在 DNS 伺服器上已啟動 UDP 狀態檢查，則需要對 53 埠進行強制允許，以允許伺服器接受傳入的 DNS 請求。
• 如果已啟動 ICMP 有狀態檢查，則必須使用強制允許規則來允許未經請求的 ICMP 流量。例如，如果您希望允許外部 ping 請求，則需要為 ICMP 類型 3（回聲請求）設置強制允許規則。
• 強制允許僅在相同優先級上下文中起到王牌作用。
• 如果您沒有配置 DNS 或 WINS 伺服器（這在測試環境中很常見），則可能需要為 NetBIOS（Windows 共享）設置「強制允許傳入 UDP 埠 137」規則。

注意 在疑難排解新的防火牆策略時，您應該做的第一件事是檢查代理或設備上的防火牆規則日誌。防火牆規則日誌包含所有您需要的信息，以確定哪些流量被拒絕，從而可以根據需要進一步完善您的策略。