Cisco Cisco Firepower Management Center 4000 User Guide

14-10

FireSIGHT 系统用户指南

第 14 章      使用访问控制规则调整流量       

  创建和编辑访问控制规则

您可以在连接开始和结束时记录允许的网络流量。

借助 3 系列设备信任或阻止流量的限制

许可证：任何环境

受支持的设备：3 系列

当您将访问控制策略应用到 3 系列设备时，系统可能改进满足具体标准的访问控制规则。已改进
规则利用 3 系列设备上的专用硬件立即转向或阻止不需要深度数据包检测的流量。它们的优点在
于其确定流量的正确路径的速度。

由于此评估发生在硬件级别，因此系统只能通过改进规则来使用有限信息快速处理连接。 3 系列 
设备对满足以下所有标准的规则进行改进：

具有 

、

 或 

 操作

仅使用简单的、基于网络的条件：安全区域、 IP 地址、 VLAN 标记和端口

置于所有其他访问控制规则（无论操作如何）之上，这些规则执行深度数据包检测，即，具有
应用、URL、用户或基于地理定位的条件

也置于所有 Monitor 规则之上

因此，已改进为提高性能的规则最可能是简单的 Trust 或 Block 规则，这些规则置于靠近访问控
制规则 （具有小编号的规则）顶部的位置或者置于仅使用简单的、基于网络的规则的策略中。但
是，通过规则改进获得的性能优势会带来某些意外行为。

抢占安全情报

在处理访问控制策略的安全情报黑名单之前，系统首先处理已改进的规则。这意味着已改进的 
Trust 规则能够允许列入黑名单的流量未经检查就通过 3 系列设备。有关安全情报的详细信息，请
参阅

。

防止显示 HTTP 响应页面

即使系统成功阻止流量，已改进的 Block 规则阻止的网络流量也不会导致系统向用户显示已配置
的 HTTP 响应页面。相反，请求禁止的 URL 的用户将连接重置或超时。有关配置响应页面的详细
信息，请参阅

。