So mildern Sie einen abnormalen Anstieg des globalen Zählers "flow_dos_drop_ip_blocked"

• Um einen abnormalen Anstieg flow_dos_drop_ip_blocked globalen Zählers abzumildern.

> show counter global filter delta yes
flow_dos_drop_ip_blocked x y drop flow dos Packets dropped: Flagged for blocking and under block duration by DoS or other modules

• Dieser Zähler erhöht sich flow_dos_drop_ip_blocked, wenn ein Paket aufgrund von DoS, PBP oder der Aktion "IP blockieren" des Schwachstellenprofils verworfen wird.

• Firewall der nächsten Generation
• Unterstütztes PAN-OS
• DoS-, PBP- oder Schwachstellenprofil
• flow_dos_drop_ip_blocked globalen Zähler

1. Überprüfen Sie Ihr Firewall-System und Ihre Bedrohungsprotokolle: MONITOR> Logs> System und MONITOR> Logs> Bedrohung
2. Überprüfen Sie die IP-Sperrliste über die CLI:

   > show dos-block-table all
   > debug dataplane show dos block-table

3. Alternativ können Sie auch die Einträge in der IP-Blockliste der Benutzeroberfläche unter MONITOR > Block IP List überprüfen.
4. Überprüfen Sie, ob andere globale Leistungsindikatoren zusammen mit flow_dos_drop_ip_blocked mithilfe der CLI inkrementiert werden:

   > show counter global | match drop
   > show counter global filter delta yes | match drop

   Dieser Schritt kann helfen, zu korrelieren, ob die Paketverluste mit dem Paketpufferschutz zusammenhängen, wenn z. B. der globale Zähler flow_dos_pbp_block_host ebenfalls inkrementiert wird.
5. Stellen Sie sicher, dass Sie die Konfiguration der Firewall überprüfen:
   1. DOS- und Zonenschutzkonfiguration unter UI :
      • RICHTLINIEN > DoS-Schutz,
      • OJECTS > Sicherheitsprofile > DoS-Schutz
      • NETZWERK > Netzwerkprofile > Zonenschutz> Aufklärungsschutz: ACTION > block-ip
   2. Konfiguration des Paketpufferschutzes sowohl globale als auch Zoneneinstellungen unter
      • DEVICE > Setup > Session > Session-Einstellungen
      • NETZWERK > Zone.
   3. Schwachstellenprofil unter
      • OBJECTS > Sicherheitsprofile > Schwachstellenschutz.
6. Wenn basierend auf den vorherigen Schritten erwartet wird, dass die Firewall-Aktion diese IP-Adresse blockiert, versuchen Sie, den Datenverkehr an der Quelle zu blockieren.
7. Wenn die blockierte IP-Adresse jedoch vertrauenswürdig ist und das Verwerfen des von ihr stammenden Datenverkehrs nicht das gewünschte Verhalten der Firewall ist, gilt Folgendes:
   1. Wenn die blockierte IP-Adresse aufgrund einer konfigurierten DOS-Schutzrichtlinienregel mit der Aktion zum Schutz und einem klassifizierten DoS-Schutzprofil aufgetreten ist, passen Sie die Einstellungen des DOS-Schutzprofils an oder bearbeiten Sie die DOS-Richtlinienregel. Um alle IP-Adressen zu löschen, die durch eine bestimmte DOS-Schutzregel blockiert werden, verwenden Sie

      > debug dataplane reset dos rule "DOS Protection" classification-table

   2. Wenn die blockierte IP-Adresse aufgrund eines konfigurierten Zonenschutzprofils aufgetreten ist, aktivieren Sie das Kontrollkästchen Zonenschutzprofil, das vertrauenswürdigen Datenverkehr blockiert.Anstatt "debug dataplane reset dos block-table" zu verwenden, wodurch die komplette dos-Blocktabelle zurückgesetzt wird, verwenden Sie:

      > debug dataplane reset dos zone <zone-name> block-table source x.x.x.x

      , um den Sperreintrag speziell zu löschen, der sich auf die vertrauenswürdige IP bezieht.
   3. Wenn die blockierte IP-Adresse aufgrund eines konfigurierten PBP aufgetreten ist, sollten Sie den PBP für die vertrauenswürdige Zone deaktivieren oder die PBP-Einstellungen unter DEVICE > Setup > Session > Session settings anpassen.
   4. Wenn die blockierte IP-Adresse aufgrund eines Schwachstellenschutzprofils aufgetreten ist, dann
      1. Wenn das gewünschte Verhalten z. B. darin besteht, einen bestimmten Anwendungstyp von dieser IP-Adresse zu blockieren, die die Schwachstellenerkennung auslöst, erstellen Sie eine Richtliniensicherheitsregel über der vorhandenen Regel, die das Verhalten zum Blockieren von IP-Adressen auslöst, und verweigern Sie diese Anwendung von dieser Quell-IP.
      2. Wenn das gewünschte Verhalten darin besteht, eine bestimmte IP-Adresse von einer bestimmten Schwachstelle auszunehmen, aktivieren Sie die Ausnahme für diese Bedrohungs-ID unter OBJEKTE > Sicherheitsprofile > Schwachstellenschutz , wählen Sie dann das Schwachstellenschutzprofil aus (das an die Sicherheitsregel angehängt ist, die das Verhalten zum Blockieren von IP-Adressen für diese bestimmte IP auslöst), klicken Sie dann auf die Registerkarte Ausnahmen und fügen Sie die IP-Adresse unter den IP-Adressausnahmen hinzu.

Welche Auswirkungen hat der Paketpufferschutz, wenn er global, aber nicht für Zonen aktiviert ist?

Blocktabellen (SW und HW) werden nur verwendet von:

• Klassifiziertes DoS-Schutzprofil
• Aufklärungsschutz (konfiguriert in einem Zonenschutzprofil)
• Paketpufferschutz (PBP)
• Schutz vor Sicherheitslücken (mit Aktion "IP blockieren")