天融信对外测试方案--流量清洗

天融信TOPADS产品对外测试方案编写人：应用检测与防御产品测试部编写时间：2014年12月第1页目录1测试说明 (4)1.1测试目的 (4)1.2测试人员、时间及测试地点 (4)2测试环境 (5)2.1.1测试功能性和安全性测试环境 (5)2.1.2性能测试环境 (6)2.2测试环境所需设备配置表 (6)2.3测试仪表 (7)3测试产品情况 (7)4基本功能测试 (7)4.1.1系统管理 (7)4.1.2用户管理 (7)4.1.3系统监控 (8)4.1.4日志存储查看检索 (8)4.1.5报表生成 (8)4.1.6攻击取证 (9)4.1.7抓包功能 (9)4.1.8二级保护对象功能 (9)4.1.9保护组黑白名单功能 (10)5旁路检测清洗 (10)5.1.1镜像流量检测 (10)5.1.2BGP牵引测试 (10)5.1.3GRE回注测试 (11)6流量清洗测试 (12)6.1.1TCP FLOOD防御功能测试 (12)6.1.2UDP FLOOD防御功能测试 (12)6.1.3ICMP防御功能测试 (12)6.1.4CC攻击防御测试 (13)6.1.5HTTP慢速攻击防御功能测试 (13)6.1.6HTTPS防御功能测试 (14)6.1.7DNS FLOOD防御功能测试 (14)6.1.8DNS nxdomain工具防御测试 (14)7性能测试 (15)7.1RFC2544性能 (15)7.2应用层吞吐 (15)7.2.1应用层吞吐（HTTP） (15)7.2.2混合流量吞吐 (16)7.3S YN FLOOD最大攻击防御能力 (16)7.4UDP FLOOD最大攻击防御能力 (17)7.5ICMP FLOOD最大攻击防御能力 (18)7.6IP FRAG FLOOD最大攻击防御能力 (19)7.7HTTP FLOOD最大攻击防御能力 (20)7.8混合最大攻击防御能力 (21)8测试结果 (21)1测试说明1.1测试目的本测试方案根据流量清洗产品的特点及测试标准，结合典型应用环境及场景，详细描述各功能和性能的测试内容、测试方法和测试结果评定，为全面和准确的评估流量清洗产品在实际应用中的功能和性能的符合度提供参考。

1.2测试人员、时间及测试地点2测试环境2.1.1测试功能性和安全性测试环境ADS清洗设备ADS检测设备图12.1.2性能测试环境图2 2.2测试环境所需设备配置表2.3测试仪表3测试产品情况4基本功能测试4.1.1系统管理功能要求：ADS应至少支持Cli、webui的管理方式。

测试方法：1）将流量清洗产品的串口与管理客户端相连，然后用Cli对流量清洗产品进行管理；2）用管理客户端对流量清洗产品的webui进行管理；预期结果：1）支持Cli的管理方式；2）支持webui的管理方式；3）支持集中管理器的管理方式。

4.1.2用户管理功能要求：ADS应支持多种用户的管理，每个管理用户都拥有不同的管理权限。

测试方法：1）用超级管理员管理流量清洗产品；2）用管理用户管理流量清洗产品；3）用审计用户管理流量清洗产品。

预期结果：1）超级管理员具备所有管理权限；2）管理用户具备部分管理权限；3）审计用户只具备审计权限。

4.1.3系统监控功能要求：ADS应能够监视各协议事件并对其进行实时显示和统计。

测试方法：1）从client1上通过攻击工具向server1上发送syn flood、udp flood、cc 攻击预期结果：1）分别能够对syn flood、udp flood、cc攻击进行统计；2）能够对各事件进行实时显示。

4.1.4日志存储查看检索功能要求：ADS产品应该能够记录保护对象产生的攻击记录，并能够提供本地查询的功能测试方法：1)配置ADS保护对象为test，配置一条http flood攻击防御策略，发送匹配策略的流量，通过web登陆设备管理页面，在日志报表中进行查看2)按照被保护对象组对攻击日志进行查找3)按照目的IP对攻击日志进行查找4)按照二级保护对象对攻击日志进行查找预期结果：1)可以按照保护组对象对日志进行查找2)可以按照目的IP对日志进行查找3)可以按照二级保护对象对日志进行查找4.1.5报表生成功能要求：ADS产品具备可以生成攻击报表的功能，生成的攻击报表具有自定义生成时间的功能测试方法：1)配置ADS保护对象为test，配置一条http flood攻击防御策略，发送匹配策略的流量，登陆web页面，修改系统时间比攻击时间长24小时2)配置手动导出报表，选择按天导出报表内容3)配置手动导出报表，选择按时间段导出报表内容4)配置自动导出报表，选择按照日、月、年导出报表，并修改相应的系统时间预期结果：1)可以手动按照时间导出报表2)可以自动按照规定时间以邮件形式发送攻击报表4.1.6攻击取证功能要求：ADS产品具备对攻击进行取证的功能测试方法：1)配置ADS保护对象为test，开启自动抓包功能2)配置异常抓包数量为1000，配置攻击检测功能，发送匹配策略的攻击流量，查看设备抓包日志3)配置攻击抓包数量为1000，配置tcp源认证功能，发送匹配策略的synflood攻击，查看抓包日志预期结果：1)可以根据检测阈值抓取超过阈值的攻击流量报文2)可以根据防御配置抓取未通过认证的攻击流量报文4.1.7抓包功能功能要求：ADS产品具备对流量进行过滤抓包的功能测试方法：1)开启设备抓包功能，发送目的地址为3.3.3.3的混合流量2)配置抓包功能抓取其中tcp协议的流量报文3)配置抓取个数为50个预期结果：1)可以根据协议类型对流量进行抓包2)可以调整抓取报文的个数4.1.8二级保护对象功能功能要求：ADS产品具备配置二级保护对象的功能测试方法：1)配置ADS产品保护组为3.3.3.3-3.3.3.10，配置TCP FLOOD攻击防护功能2)配置ADS二级保护对象为3.3.3.5，配置HTTP FLOOD攻击防护功能3)发送匹配目的地址为保护组3.3.3.10的http flood攻击4)发送匹配目的地址为二级保护对象为3.3.3.5的http flood攻击预期结果：1)所有匹配3.3.3.10的http flood攻击穿透ADS设备2)所有匹配二级保护3.3.3.5的http flood攻击被设备阻断4.1.9保护组黑白名单功能功能要求：ADS产品可以支持基于保护组的黑白名单功能测试方法：1)配置两个防御保护组，被保护对象分别为ZONE1：3.3.3.3和ZONE2：3.3.3.4。

2)给ZONE1配置一个静态源黑名单为3.3.3.10，以源为3.3.3.10的地址访问两个被保护组的web服务3)给ZONE1配置一个静态白名单为3.3.3.20，两个保护组中都配置TCPFLOOD攻击防护策略4)分别向ZONE1对象和ZONE2对象以源为3.3.3.20的地址发送tcpFLOOD攻击预期结果：1)无法访问ZONE1的被保护对象web服务2)可以正常访问ZONE2的被保护对象web服务3)发送到ZONE1的tcp flood攻击穿过ADS设备4)发送到ZONE2的tcp flood攻击被ADS设备阻断5旁路检测清洗5.1.1镜像流量检测功能要求：ADS产品应该能够根据路由器镜像口发送来的流量，判断匹配规则的协议是否有攻击产生测试方法：1)配置路由器镜像口，将现网流量通过镜像口导出发往ADS检测口，现网流量中UDP协议流量为10Mbps2)在ADS产品上开启UDP流量检测功能，配置UDP总阈值为1Mbps预期结果：1)ADS产品上日志应该可以报出UDP流量超过阈值，ADS产生报警信息5.1.2BGP牵引测试功能要求：ADS产品应该能够通过发布BGP路由，对检测到攻击特征的流量进行自动牵引测试方法：1)在ADS清洗产品上，和路由器直连的接口配置地址1.1.1.1，在路由器和ADS产品直连的接口上配置地址1.1.1.2，路由器配置自身AS号为100，ADS产品上配置自身AS号为200，分别在ADS产品和路由器上分别执行建立EBGP邻居的命令2)在ADS检测产品上开启netflow服务，配置netflow本地地址和端口，开启UDP流量检测功能，配置UDP总阈值为1Mbps3)在路由器上开启netflow协议，指定netflow版本为V5版本，指定netflow服务器地址为ADS检测口地址，端口为ADS上配置的netflow协议接收端口，通过路由器发送10Mbps的udp流量预期结果：1)ADS清洗产品能够正常和路由器建立EBGP邻居2)ADS检测产品根据netflow日志检测出UDP流量超过阈值，通告ADS清洗产品进行流量牵引3)ADS清洗产品应该能够自动发布一条路由，对匹配目的主机的流量进行牵引5.1.3GRE回注测试功能要求：ADS应该支持以GRE隧道的方式将清洗以后得流量进行回注测试方法：1)在ADS清洗产品上，和路由器直连的接口配置地址1.1.1.1，在路由器和ADS产品直连的接口上配置地址1.1.1.2，路由器配置自身AS号为100，ADS产品上配置自身AS号为200，分别在ADS产品和路由器上分别执行建立EBGP邻居的命令2)在ADS清洗产品上，启用GRE隧道，配置隧道源的地址为2.2.2.1，ADS清洗产品上将回注路由目的发送至隧道接口，在路由器和ADS清洗产品回注口直连的接口上配置GRE隧道，地址为2.2.2.23)在ADS检测产品上开启netflow服务，配置netflow本地地址和端口，开启UDP流量检测功能，配置UDP总阈值为1Mbps4)在路由器上开启netflow协议，指定netflow版本为V5版本，指定netflow服务器地址为ADS检测口地址，端口为ADS上配置的netflow协议接收端口，通过路由器发送10Mbps的udp流量预期结果：1)ADS清洗产品能够正常和路由器建立EBGP邻居2)ADS检测产品根据netflow日志检测出UDP流量超过阈值，通告ADS清洗产品进行流量牵引3)ADS清洗产品应该能够自动发布一条路由，对匹配目的主机的流量进行牵引4)ADS清洗产品完成清洗以后，可以正常通过GRE隧道将流量回注到现网中6流量清洗测试6.1.1TCP FLOOD防御功能测试功能要求：ADS产品应该能够对TCP的攻击流量清洗测试方法：1)ADS产品开启TCP代理防护功能2)从client1上通过HGOD对后台server1进行攻击，client2正常访问后台server1上的telnet服务3)在client1上通过HGOD syn flood攻击工具穿过ADS产品对后台server1上的telnet服务进行攻击4)在client2上正常访问后台server1上的telnet服务预期结果：1)不通过清洗设备时，client2无法正常访问后台服务器2)加入ADS后，攻击流量应该无法通过设备3)ADS产品上应该有对应的syn flood攻击日志产生，并产生报警信息4)加入ADS后，Client2可以正常访问后台telnet服务6.1.2UDP FLOOD防御功能测试功能要求：ADS产品应该能够对UDP的攻击流量清洗测试方法：1)ADS产品开启UDP防护功能2)在client1上通过UDP FLOOD攻击工具XOIC攻击后台DNS服务器，同时通过client2向后台DNS服务器做正常解析3)在client1上通过UDP FLOOD攻击工具XOIC穿过ADS产品对后台server1的DNS服务进行攻击4)从client1上正常向后台server1发起dns查询请求预期结果：1)不通过清洗设备时，client2无法正常访问后台DNS服务器2)加入ADS后，攻击流量应该无法穿过设备3)ADS产品上应该由对应的UDP FLOOD攻击日志产生，并产生报警信息4)加入ADS后，Client2可以正常解析到域名6.1.3ICMP防御功能测试功能要求：ADS产品应该能够对ICMP的攻击流量清洗测试方法：1)ADS产品开启ICMP防护功能2)在client1上通过ICMP FLOOD攻击工具XOIC攻击后台DNS服务器，同时通过client2正常ping后台服务器3)在client1上通过ICMP攻击工具XOIC穿过ADS产品对后台server1发送攻击流量4)从client2上正常向后台server1发起ping请求预期结果：1)不通过ADS产品时，client2无法正常ping通后台服务器2)加入ADS后，攻击流量无法穿过设备3)ADS产品上应该由对应的ICMP FLOOD攻击日志产生，并产生报警信息4)加入ADS后，Client2可以正常ping通server16.1.4CC攻击防御测试功能要求：ADS应该能够对CC攻击进行清洗测试方法：1)ADS产品开启http防护功能2)在client1上通过web stress压力测试工具直接向server1上的web服务发起攻击，同时从client2正常访问server1上的web服务3)在client1上通过web stress压力测试工具穿过ADS产品对后台server1发送http请求4)从client2上通过浏览器正常访问server1的web服务预期结果：1)不穿过ADS产品时，client2无法正常访问后台web服务2)加入ADS后，Web stress攻击流量无法穿过设备3)ADS产品上应该有对应的CC攻击日志产生，并产生报警4)加入ADS后，Client2可以正常访问server1上的web服务6.1.5HTTP慢速攻击防御功能测试功能要求：ADS应该能够对慢速攻击进行清洗测试方法：1)ADS产品开启http慢速攻击防护功能2)在client1上通过LOIC和HOIC分别对server1上web服务发起slow header攻击和slow post攻击，同时从client2上向server1发起正常访问3)在client1上通过LOIC和HOIC穿过ADS产品分别对server1上的web服务发起slow header攻击和slow post攻击4)从client2上通过浏览器正常访问server1的web服务预期结果：1)不加入ADS时，client2无法正常访问后台server1上的web服务2)加入ADS后，Slow header攻击和slow post攻击无法穿过设备3)ADS产品上应该有对应的慢速攻击日志产生，并产生报警4)加入ADS后，Client2可以正常访问server1上的web服务6.1.6HTTPS防御功能测试功能要求：ADS应该能够对SSL攻击进行清洗测试方法：1)ADS产品开启https攻击防护功能2)在client1上通过thc-ssl握手重协商工具对server1上web服务器发起ssl重协商攻击，同时从client2上向server1发起ssl正常访问3)在client1上通过thc-ssl穿过ADS产品对server1上的web服务发起ssl重协商攻击，同时从client2上向server1发起ssl正常访问预期结果：1)不加入ADS时，client2无法正常访问后台ssl服务2)加入ADS后，重协商攻击无法穿过设备3)ADS产品上应该有对应的ssl重协商攻击日志产生，并产生报警4)加入ADS后，Client2可以正常访问server1上的ssl服务6.1.7DNS FLOOD防御功能测试功能要求：ADS应该能够对DNS QUERY攻击进行清洗测试方法：1)ADS产品开启DNS query flood攻击防护功能2)在client1上通过UDPsender对server1上的DNS服务进行dnsquery flood攻击，同时从client2上向server1发起正常DNS请求访问3)在client1上通过udpsender穿过ADS产品对server1上的DNS服务器发起dns query flood攻击，同时从client2上向server1发起正常DNS请求访问预期结果：1)不加入ADS时，client2无法正常访问后台DNS服务2)加入ADS后，udpsender发起的dns query flood攻击无法穿越设备3)ADS产品上应该有对应的DNS flood攻击日志产生，并产生报警4)加入ADS后，Client2可以正常访问server1上的DNS服务6.1.8DNS nxdomain工具防御测试功能要求：ADS应该能够对nxdoamin攻击进行防御测试方法：1)ADS配置DNS query flood攻击防护功能，开启nxdomain防御功能2)在client上通过UDPsender对server1上的DNS服务进行一些域名不存在的query flood请求，同时从client2上向server1发起正常DNS请求访问3)在client1上通过udpsender穿过ADS产品对server1上的DNS服务器发起dns query flood攻击，同时从client2上向server1发起正常DNS请求访问预期结果：1)不加入ADS时，client2无法正常访问后台DNS服务2)加入ADS后，udpsender发起的dns query flood攻击无法穿越设备3)ADS产品上应该由对应的DNS flood攻击日志产生，并产生报警4)加入ADS后，client2可以正常访问server1上的dns服务7性能测试7.1RFC2544性能性能要求：配置流量清洗产品加载ADS规则，在不丢包的情况下，传输数据包的能力，分别选择Ipv4和Ipv6的不同长度的数据包测试流量清洗产品的吞吐量。