适用场景

• 产品：ZCF
• 组件：Cloud
• 版本：4.4.x
• Region: 漯河资源池
• Scope: 全部存储节点
• 触发条件：固定漏扫设备持续扫描资源池主机，需要通过源地址阻断方式完成漏洞处理。

问题现象

• 漏扫设备 IP 为：
• 10.10.x
• 10.10.x
• 172.28.x
• 172.28.x
• 处理方式是直接禁止这些漏扫源地址继续扫描主机。

判断方法

1. 确认被阻断对象是固定漏扫设备源 IP。
2. 下发规则后检查这些地址已无法继续访问目标主机。
3. 变更完成后恢复全局高可用。

原因说明

此次漏洞处理并不依赖软件升级或配置复杂白名单，而是直接基于源 IP 识别到 4 个特定漏扫设备，通过在全部存储节点上增加 DROP 规则阻断其扫描流量，从而快速消除持续漏扫影响。

解决方案

1. 执行前准备

• 风险等级：低
• 先登录云平台 UI，关闭云主机全局高可用。
• 先在双管理节点备份数据库。

2. 备份数据库
3. 在双管理节点执行：

   zstack-ctl dump_mysql

• 预期结果：具备数据库回退基础。

3. 在全部存储节点阻断漏扫设备
4. 在全部存储节点执行以下规则：

   iptables -A INPUT -s 10.10.11.99 -j DROP
   iptables -A INPUT -s 10.10.11.98 -j DROP
   iptables -A INPUT -s 172.28.0.99 -j DROP
   iptables -A INPUT -s 172.28.0.98 -j DROP

• 预期结果：4 个漏扫源地址被阻断，无法继续扫描目标主机。

2. 根据现场实际验证规则是否已生效。

• 预期结果：漏扫访问被抑制。

4. 收口
5. 变更完成后，重新打开云主机全局高可用。

• 预期结果：平台恢复正常高可用策略。

验证方法

• 检查目标存储节点上已存在 4 条对应的 DROP 规则。
• 检查漏扫设备对主机的扫描已被阻断。
• 检查全局高可用已恢复开启。

风险与回滚

• 风险：若源 IP 识别错误，可能误阻正常设备访问。
• 风险等级：低。

回退方法

逐条删除规则：

iptables -D INPUT -s 10.10.11.99 -j DROP
iptables -D INPUT -s 10.10.11.98 -j DROP
iptables -D INPUT -s 172.28.0.99 -j DROP
iptables -D INPUT -s 172.28.0.98 -j DROP