诚鑫致达 企业数据管家
技术干货 企业数据管家 文：诚鑫技术团队 本文由 AI 辅助生成，经人工审核后发布

邮件附件夹带病毒：防火墙反病毒网关先拦一道

整理自华为官方发布的典型配置案例。

终端杀毒软件装了，但邮件附件、网页下载、FTP 收文件这些入口依旧防不胜防——等文件落到终端再查杀，已经慢了一步。出口防火墙的反病毒（AV）功能把检测点前移：文件和邮件过网关时按特征库实时扫一道，带毒的直接阻断在外，进不了内网。检测点前移的收益在入口处就把风险清掉，终端杀毒软件继续留着，两层防线互为冗余。

两条协议线两个配置文件

官方示例的划分思路很实用：内网用户从外网网站下载文件、从 POP3 服务器收邮件，查 HTTP 与 POP3；内网 FTP 服务器接收外网上传，查 FTP。方向与协议对上号，检测才不漏也不滥。两个配置文件各自独立，检测范围跟业务对齐，不做无谓开销。

为什么不一个配置文件包打天下：协议线分开后，每条线的检测方向、响应动作、豁免名单独立管理，某条业务调整时只动自己的文件，别的线不受牵连；排查问题时日志也按协议线分开，定位快得多。

[DeviceA] profile type av name profile_http_pop3
[DeviceA-profile-av-profile_http_pop3] http-detect direction download action block
[DeviceA-profile-av-profile_http_pop3] pop3-detect enable
[DeviceA-profile-av-profile_http_pop3] exception av-signature-name EICAR.Test.FILE.1
[DeviceA-profile-av-profile_http_pop3] undo ftp-detect enable
[DeviceA-profile-av-profile_http_pop3] undo smtp-detect enable
[DeviceA-profile-av-profile_http_pop3] undo imap-detect enable
[DeviceA-profile-av-profile_http_pop3] undo nfs-detect enable
[DeviceA-profile-av-profile_http_pop3] undo smb-detect enable
[DeviceA-profile-av-profile_http_pop3] quit

http-detect direction download action block：下载方向检出病毒即阻断；pop3-detect enable 扫邮件；这条配置文件只管 HTTP 和 POP3，其余协议显式关闭。exception av-signature-name 可以按病毒名开例外——示例里某重要软件被误拦后临时放行，用的就是这条命令，例外按病毒名精确匹配，不会放行整个协议或文件类型，粒度控制得住，用完记得删。

[DeviceA] profile type av name profile_ftp
[DeviceA-profile-av-profile_http_pop3] ftp-detect direction upload action block
[DeviceA-profile-av-profile_http_pop3] undo http-detect enable
[DeviceA-profile-av-profile_http_pop3] undo smtp-detect enable
[DeviceA-profile-av-profile_http_pop3] undo pop3-detect enable
[DeviceA-profile-av-profile_http_pop3] undo imap-detect enable
[DeviceA-profile-av-profile_http_pop3] undo nfs-detect enable
[DeviceA-profile-av-profile_http_pop3] undo smb-detect enable
[DeviceA-profile-av-profile_http_pop3] quit

FTP 这条检测的是上传方向——外网往内网 FTP 服务器传文件才需要扫，内网往外传不占检测开销。方向参数写错是最常见的返工原因：该查下载的查了上传，真正的风险通道裸奔，配置看着齐全却拦不住东西。

策略引用与提交

[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_1
[DeviceA-policy-security-rule-policy_sec_1] source-zone trust
[DeviceA-policy-security-rule-policy_sec_1] destination-zone untrust
[DeviceA-policy-security-rule-policy_sec_1] source-address 10.3.0.0 24
[DeviceA-policy-security-rule-policy_sec_1] action permit
[DeviceA-policy-security-rule-policy_sec_1] profile av profile_http_pop3
[DeviceA-policy-security-rule-policy_sec_1] quit

安全策略按方向引用：内网到外网方向挂 HTTP/POP3 文件，服务器区到外网方向挂 FTP 文件，一条策略挂一个配置文件，命中即检测。策略里还能按网段收口，只对用户网段和服务器区挂检测，管理流量不进检测面。

[DeviceA] engine configuration commit
Info: The operation may last for several minutes, please wait. Try "display engine information" for detail.
[DeviceA] 
Info: AV submitted configurations successfully.
Info: Engine configuration is complied successfully.

改完必须提交编译才生效，特征库加载要几分钟；最后 save 保存，重启后配置不丢。

运行与避坑

  • 执行 display file-frame statistics 看文件检测统计，病毒威胁日志单独可查，每次拦截有据可循；
  • 特征库要保活：在线环境配定时自动升级，离线环境规划手动升级通道，特征库过期等于睁眼做检测；
  • 沙箱联动是进阶方向：特征库抓已知病毒，未知威胁靠官方的本地或云沙箱联动检测补位，特征库这条线先跑稳，再评估上不上沙箱；
  • 例外名单从严管理：给误伤软件开例外是临时手段，定期清点例外清单，别让它越养越肥。

网关反病毒与出口安全加固，贵州诚鑫致达科技承接整体实施，欢迎搜索了解详情。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。遵义、六盘水、安顺：群晖 NAS 部署与企业存储技术服务。