Tony
2007-10-31, 12:33 AM
随着恶意黑客的盛行，ISA服务器抵御攻击的能力是保护您的网络的关键所在。默认淹没缓解功能通过阻止尝试的攻击和向您发出警报通知可疑的行为来帮助保护您的网络。ISA2006可以帮助您缓解病毒发作以及后续的连接淹没，这是企业普遍存在的问题。ISA2006服务器淹没缓解特性包括各种功能，您可以进行配置和监视以帮助确保您的网络免受恶意攻击。
淹没缓解的默认配置设置帮助确保 ISA 服务器即使在遭受淹没攻击的情况下也可以正常运行。这是通过 ISA 服务器对通讯进行分类并对不同类型的通讯提供不同的服务级别来实现的。被视为恶意（具有造成淹没攻击的意图）的通讯可能遭到拒绝，而 ISA 服务器将继续为所有其他通讯提供服务。ISA2006服务器能够识别并阻止生成过多通讯的客户端，防止 ISA 服务器受到持续的连接拒绝造成的潜在性能影响。该连接拒绝可能是淹没引起的。ISA 服务器淹没缓解有助于您识别和处理淹没情形。特别是，ISA 服务器可以帮助识别生成过多通讯以及可能受蠕虫、病毒或间谍软件感染的客户端。
在ISA2006中，点配置-常规-配置淹没缓解设置，在“淹没缓解”选项卡有具体设置。ISA的默认值一般而言是合理的，但如果你为强化内网的安全性，同时你又在内网自己的电脑上运行迅雷等消耗大量连接的程序，建议将更改如下：
1、缓解淹没攻击和蠕虫传播
说明：指定启用 ISA 服务器淹没缓解机制。肯定要启用，否则下面就没法配置了。
2、每个IP地址每分钟的最大TCP连接请求数
说明：ISA 服务器缓解 IP 地址发送大量 TCP 连接请求时出现的淹没攻击。ISA 服务器也防止受感染的主机扫描容易受到攻击主机的网络时出现的蠕虫传播。
默认值600，建议改为100
3、每个IP地址的最大TCP并行连接数
说明：ISA 服务器缓解在攻击主机与 ISA 服务器或其他服务器之间保持大量的 TCP 连接时出现的 TCP 淹没攻击。
限制数默认值160，建议改为50
自定义限制（应用到IP例外）默认值400，建议改为1000
4、最大TCP半开连接数：
说明：ISA 服务器缓解 SYN 攻击。在 SYN 攻击中，攻击主机发送大量 TCP SYN 消息而不完成 TCP 握手。
该值不能更改，ISA自动设为每个IP地址的最大TCP并行连接数的一半，按本文设置自动为25。
5、每个IP地址每分钟的最大HTTP请求数
说明：ISA 服务器缓解拒绝服务 (DoS) 攻击。在 DoS 攻击中，攻击主机发送大量 HTTP 请求到受害网站。
默认值600，建议改为300
6、每个规则每分钟的最大非TCP新会话数
说明：ISA 服务器缓解非 TCP DoS 攻击。在非 TCP DoS 攻击中，恶意主机将发送大量非 TCP 数据包到受害服务器。此特定非 TCP 通讯被 ISA 服务器规则拒绝。
默认值1000，建议改为1500
7、每个IP地址的最大UDP并行会话数
说明：ISA 服务器缓解 UDP 淹没攻击。在 UDP 淹没攻击中，攻击主机发送大量 UDP 消息到受害主机。
出现 UDP 淹没攻击时，ISA 服务器会丢弃旧的会话，使其不会超过并发允许的连接的特定数量。
默认值160，建议改为50
自定义限制（应用到IP例外）默认值400，建议改为1000
8、指定触发警报的拒绝数据包数
说明：如果来自特定 IP 地址的被拒绝的数据包数超过预配置的阈值，ISA 服务器会产生警报。此特定限制应用于所有 IP 地址。
默认值600，建议改为300。
9、记录被淹没缓解设置阻止的通讯
说明：选择以记录被淹没缓解设置阻止的所有通讯。选择此选项之后，系统会针对淹没缓解机制拒绝的每个请求各生成一个日志记录。
一般来说，建议您选择此选项。这样，如果出现淹没攻击，您可以在识别攻击 IP 地址列表后禁用此选项来避免更高的资源消耗。
在“IP例外”选项卡中，以添加计算机集的方法把不愿意受到上述限制的特定计算机加进去，比如网管自己使用的计算机。
淹没缓解的默认配置设置帮助确保 ISA 服务器即使在遭受淹没攻击的情况下也可以正常运行。这是通过 ISA 服务器对通讯进行分类并对不同类型的通讯提供不同的服务级别来实现的。被视为恶意（具有造成淹没攻击的意图）的通讯可能遭到拒绝，而 ISA 服务器将继续为所有其他通讯提供服务。ISA2006服务器能够识别并阻止生成过多通讯的客户端，防止 ISA 服务器受到持续的连接拒绝造成的潜在性能影响。该连接拒绝可能是淹没引起的。ISA 服务器淹没缓解有助于您识别和处理淹没情形。特别是，ISA 服务器可以帮助识别生成过多通讯以及可能受蠕虫、病毒或间谍软件感染的客户端。
在ISA2006中，点配置-常规-配置淹没缓解设置，在“淹没缓解”选项卡有具体设置。ISA的默认值一般而言是合理的，但如果你为强化内网的安全性，同时你又在内网自己的电脑上运行迅雷等消耗大量连接的程序，建议将更改如下：
1、缓解淹没攻击和蠕虫传播
说明：指定启用 ISA 服务器淹没缓解机制。肯定要启用，否则下面就没法配置了。
2、每个IP地址每分钟的最大TCP连接请求数
说明：ISA 服务器缓解 IP 地址发送大量 TCP 连接请求时出现的淹没攻击。ISA 服务器也防止受感染的主机扫描容易受到攻击主机的网络时出现的蠕虫传播。
默认值600，建议改为100
3、每个IP地址的最大TCP并行连接数
说明：ISA 服务器缓解在攻击主机与 ISA 服务器或其他服务器之间保持大量的 TCP 连接时出现的 TCP 淹没攻击。
限制数默认值160，建议改为50
自定义限制（应用到IP例外）默认值400，建议改为1000
4、最大TCP半开连接数：
说明：ISA 服务器缓解 SYN 攻击。在 SYN 攻击中，攻击主机发送大量 TCP SYN 消息而不完成 TCP 握手。
该值不能更改，ISA自动设为每个IP地址的最大TCP并行连接数的一半，按本文设置自动为25。
5、每个IP地址每分钟的最大HTTP请求数
说明：ISA 服务器缓解拒绝服务 (DoS) 攻击。在 DoS 攻击中，攻击主机发送大量 HTTP 请求到受害网站。
默认值600，建议改为300
6、每个规则每分钟的最大非TCP新会话数
说明：ISA 服务器缓解非 TCP DoS 攻击。在非 TCP DoS 攻击中，恶意主机将发送大量非 TCP 数据包到受害服务器。此特定非 TCP 通讯被 ISA 服务器规则拒绝。
默认值1000，建议改为1500
7、每个IP地址的最大UDP并行会话数
说明：ISA 服务器缓解 UDP 淹没攻击。在 UDP 淹没攻击中，攻击主机发送大量 UDP 消息到受害主机。
出现 UDP 淹没攻击时，ISA 服务器会丢弃旧的会话，使其不会超过并发允许的连接的特定数量。
默认值160，建议改为50
自定义限制（应用到IP例外）默认值400，建议改为1000
8、指定触发警报的拒绝数据包数
说明：如果来自特定 IP 地址的被拒绝的数据包数超过预配置的阈值，ISA 服务器会产生警报。此特定限制应用于所有 IP 地址。
默认值600，建议改为300。
9、记录被淹没缓解设置阻止的通讯
说明：选择以记录被淹没缓解设置阻止的所有通讯。选择此选项之后，系统会针对淹没缓解机制拒绝的每个请求各生成一个日志记录。
一般来说，建议您选择此选项。这样，如果出现淹没攻击，您可以在识别攻击 IP 地址列表后禁用此选项来避免更高的资源消耗。
在“IP例外”选项卡中，以添加计算机集的方法把不愿意受到上述限制的特定计算机加进去，比如网管自己使用的计算机。