帮我看看防火墙日志

这个防火墙做二层透明部署的话，只是透传的，具体日志看下什么类型的日志

什么日志

日志发一下倒是

我都截图了，发不上来，说内容违规！

出口路由器把公网 443 映射到防火墙管理地址（1.1.2.252），全网自动化扫描机器人持续扫 443 端口，往这个地址批量发送 WordPress 文件包含 Payload；防火墙 IPS 识别到攻击特征，策略动作是【允许 + 记录日志】，于是日志大量刷屏。

攻击报文：/wp-content/plugins/wordfenceClass.php?file=../../wp-config.php，是网上最常见的 WP 站点 LFI（本地文件包含）扫描包。 ⚠️重点：你的防火墙本身不是 WordPress 网站，这个 Payload 无法成功利用，拿不到任何信息；但是风险不在于这条漏洞能不能打进来，而在于【防火墙管理 HTTPS 直接暴露在公网】。

组网回顾

• 出口路由器 LAN：1.1.2.1
• F1000-8330：透明串在路由器 ↔ 核心之间，管理 IP：1.1.2.252
• 路由器做端口映射：公网 443 → 1.1.2.252:443（防火墙 Web 管理）
• IPS 策略动作：允许，日志（只告警，不拦截）
• 透明模式：流量透传，IPS 引擎对流量做 DPI 检测，匹配到攻击特征就生成日志

为什么日志源源不断

1. 互联网上有海量 7×24 小时运行的扫描爬虫、漏洞测绘脚本，批量扫描全网开放 443 端口；
2. 扫描器逻辑：只要 443 通，就批量扔 WP、PHP、各类 CMS 漏洞 Payload 试探，它不关心后端是网站、防火墙、路由器还是别的设备；
3. 流量穿过透明防火墙，IPS 特征库匹配到 “敏感目录 / 文件访问”，策略是放行只记日志，每一条探测包都生成一条告警，短时间日志就刷很多；
4. 只要这个 443 映射存在，扫描流量就会一直过来，日志不会自己消失。

风险说明

✅ 当前这条攻击：无法利用，防火墙没有 php、wp-config.php 这些文件，请求只会 404 / 被管理页面拒绝； ❌ 高危隐患：防火墙管理口直接对公网敞开。扫描器下一步会尝试：HTTPS 漏洞、账号密码爆破、防火墙自身 CVE、管理接口漏洞，一旦出现 0day / 弱口令，防火墙直接失陷，整个内网沦陷。

整改方案（优先级从高到低）

方案 1（推荐，根治日志 + 消除风险）

删除路由器上 443→1.1.2.252 的端口映射，禁止公网直连防火墙管理 远程管理替换方案二选一：

1. 防火墙开 SSL VPN/IPsec VPN，运维先拨 VPN 进内网，再访问 1.1.2.252；
2. 路由器 ACL 白名单：只放你固定运维公网 IP 访问 443，其余所有公网源全部拒绝。

删掉映射之后，公网流量到不了防火墙管理 443，这类扫描日志直接消失。

方案 2：暂时保留映射，收紧 IPS 策略（治标，风险依旧存在）

找到这条【敏感目录 / 文件访问】的 IPS 规则，把动作从【允许，日志】改成 阻断 + 日志。

局限：只能拦住这一条特征，扫描器会换别的 payload 继续探测，日志只是变少，根源风险还在。

方案 3：日志降噪（不解决安全风险，只减少刷屏）

配置日志抑制，过滤该威胁 ID / 该类告警，不推荐，容易掩盖真正攻击。

补充排查点

确认内网有没有 WordPress 网站，路由器是否还有别的 443 映射指向内网服务器：

• 如果目的 IP 是防火墙管理 IP：就是扫防火墙管理口（当前场景）
• 如果目的 IP 是内网业务服务器：那是扫描网站，需要给 WP 加固、升级 Wordfence 插件

补充小提示

透明模式下 IPS 识别 HTTPS payload：没有 SSL 解密的情况下，只能识别握手之后 URL 明文特征，这类 GET 请求 URI 是明文，所以 IPS 可以命中告警；POST 加密载荷识别不到。