恶意IP天天换马甲？华为防火墙IP信誉库按名单直接处置

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

应急响应里让人头疼的场景之一：挖矿、外联、僵尸网络回连的源头IP天天在换，黑名单一条条加总慢半拍。华为防火墙的IP信誉过滤功能换了个思路——设备直接加载IP信誉特征库，库里记录着恶意IP地址、端口、协议、威胁类型和对应的处理动作，流量一来就按库匹配，命中即按动作处置并记录日志，名单更新跟着特征库走，不用管理员手工追。

先说前提：这个功能依赖IP信誉特征库文件，先把特征库升级到位再谈别的，库的时效决定了能拦住多少新威胁。加载之后，它对僵尸网络、挖矿、APT攻击这类威胁的防御能力提升直接——这些威胁的共同点就是对端IP在库里挂了号。

三条命令开启

进系统视图：

system-view

启用IP信誉过滤：

anti-ddos ip-reputation enable

再顺手把Top N统计打开：

anti-ddos topn-statistic ip-reputation enable

开了统计，就能用display anti-ddos topn-statistic ip-reputation命令看命中信誉库的Top N地址，快速判断内网哪些主机在外联恶意IP；想细看某个地址，用display security-telemetry ip-reputation ip加地址查它的信誉详情，威胁类型、处置建议一目了然。

当自动名单用：两条线并行

运维上建议把它当“自动名单”用：日常靠库自动拦，应急时再人工补黑名单，两条线并行。定期看Top N统计，命中集中的网段往往就是先中招的那批主机，顺着处置比等用户报障快得多。

处置动作分两档收紧

处置动作分阻断和告警两档，刚上线时可以观察告警日志跑一段时间，确认库的判定和业务不冲突，再让阻断动作全面接管。特别是一些对外提供服务的地址段，万一库里有误报，直接阻断会影响正常客户，先把告警当缓冲期用，处置更稳妥。等运行一两个月、对库的准确率心里有数了，再把策略收紧到全程阻断，安全与业务就都照顾到了。

威胁情报这类能力，单靠一台设备开个开关发挥不出全部价值，要跟特征库维护、日志外发、应急流程串起来才有用。要把这条链路一起理顺，欢迎搜索关注贵州诚鑫致达科技，获取更多防火墙进阶配置的实操经验。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。毕节、铜仁：企业数据备份容灾与网络建设维护。