Monitoramento de sessões de fluxo de segurança

O Junos OS permite configurar e iniciar o monitoramento de sessões de fluxo usando comandos de modo operacional. Assim, você pode depurar sem precisar comprometer ou modificar sua configuração em execução. Essa abordagem pode ser especialmente útil quando você não quer mudar o estado do seu dispositivo, comprometendo a configuração a ativar opções de rastreamento.

Para configurar o monitoramento da sessão de fluxo, você deve definir filtros de fluxo, especificar o arquivo de saída e começar a monitorar. O monitoramento da sessão de fluxo não começa a menos que um filtro (pelo menos um) e um arquivo de saída sejam especificados. Além disso, definir os próprios filtros não aciona o monitoramento. Você precisa usar explicitamente os comandos e monitor security flow stop os monitor security flow start comandos para habilitar e desativar o monitoramento, respectivamente.

• Definir filtros de fluxo — Defina as sessões de fluxo que você deseja monitorar usando combinações de critérios de correspondência, como endereço de origem, endereço de destino, porta de origem, porta de destino, número de protocolo IP, nome da interface de entrada ou saída e o nome do sistema lógico. Você pode excluir filtros usando o clear monitor security flow filter comando.

  Nota:

  Ao contrário dos filtros definidos no modo de configuração, os filtros definidos usando comandos de modo operacional são liberados quando você reinicializa seu sistema.

• Especifique o arquivo de saída — Crie um arquivo de saída no qual as informações de monitoramento do fluxo de segurança serão salvas. Este arquivo é salvo no /var/log/ diretório. Você pode visualizar o conteúdo deste arquivo usando o show log filename comando. Use o monitor security flow file comando para especificar características de arquivo de saída, como seu tamanho máximo, número máximo e tipo.

• Comece a monitorar — use o monitor security flow start comando para começar a monitorar. Assim que o monitoramento começa, qualquer tráfego que corresponda aos filtros é salvo no arquivo de saída especificado no /var/log/ diretório. A bandeira de datapath básica é a bandeira padrão e é ativada conforme o monitoramento começa.

  Use o comando para parar o monitor security flow stop monitoramento. Assim que o monitoramento parar, a bandeira de datapath básica é liberada.

• Exibir informações de fluxo de monitoramento — use o show monitoring security flow comando para exibir detalhes sobre a operação de monitoramento.

Você pode obter informações sobre as sessões e fluxos de pacotes ativos em seu dispositivo, incluindo informações detalhadas sobre sessões específicas. (O dispositivo da Série SRX também exibe informações sobre sessões com falha.) Você pode exibir essas informações para observar a atividade e para fins de depuração. Por exemplo, você pode usar o comando de sessão de fluxo de segurança show:

• Para exibir uma lista de fluxos IP de entrada e saída, incluindo serviços

• Para mostrar os atributos de segurança associados a um fluxo, por exemplo, as políticas aplicáveis ao tráfego pertencentes a esse fluxo

• Para exibir o valor do tempo de sessão, quando a sessão ficou ativa, por quanto tempo ela está ativa e se houver tráfego ativo na sessão

As informações de sessão também podem ser registradas se uma configuração de política relacionada incluir a opção de registro. Para o log de sessão de fluxo em todos os dispositivos da Série SRX, a configuração de políticas foi aprimorada. Informações sobre o parâmetro de interface de entrada de pacotes no log de sessão para sessão init e fechamento de sessão e quando uma sessão é negada por uma política ou pelo firewall de aplicativo é fornecida para atender à conformidade dos Perfis de Proteção de Robustez Média (MRPP) dos Critérios Comuns (CC):

Configuração de política — para configurar a política para a sessão para a qual você deseja registrar correspondências como log session-init ou session-close registrar sessões em syslog:

• set security policies from-zone untrustZone to-zone trust zone policy policy13 match source-address extHost1

• set security policies from-zone untrustZone to-zone trustZone policy policy13 match application junos-ping

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then permit

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-init

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-close

Example : Política de correspondência de fluxo13 registrará as seguintes informações no log:

<14>1 2010-09-30T14:55:04.323+08:00 mrpp-srx550-dut0 1 RT_FLOW - RT_FLOW_SESSION_CREATE [junos@2626.192.0.2.1.40 source-address="192.0.2.1" source-port="1" destino-endereço="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address="192.0,2,1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port="46384" src-nat-rule-name="None" dst-nat-rule-name="None" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name ="não confiávelZone" sessão-id-32="41" packet-incoming-interface="ge-0/0/1.0"] sessão criada 192.0.0.2.1/1 -- >198.51.100.12/46384 icmp 192.0.2.1/1-->198.51.100.12/46384 None None 1 policy1 trustZone não confiávelZone 41 ge-0/0/1.0

<14>1 2010-09-30T14:55:07.188+08:00 mrpp-srx550-dut RT_FLOW de 101 - RT_FLOW_SESSION_CLOSE [junos@2626.192.0.2.1.40 reason="response received" source-address="192.0.2.1" fonte-porta="1" destino-endereço="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address ="192.0.2.1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port= "46384" src-nat-rule-name="None" dst-nat-rule-name="None" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name="untrustZone" session-id-32="Pacotes de 41" de -client="1" bytes-from-client="84" packets-from-server="1" bytes-from-server="84" elapsed-time="0" packet-incoming-interface="ge-0/0/1.0 "] resposta fechada da sessão recebida: 192.0.2.1/1 -->198.51.100.12/46384 icmp 192.0.2.1/1-->198.51.100.12/46384 None None 1 policy1 trustZone não confiávelZone 41 1(84) 1(84) 0 ge-0/0/1.0

• Propósito
• Ação
• Significado

• Propósito
• Ação

• Propósito
• Ação

• Propósito
• Ação

• Propósito
• Ação

As entradas de log de sessão estão vinculadas à configuração de políticas. Cada evento de sessão principal — criar, fechar e negar — criará uma entrada de log se a política de controle permitir o registro.

Diferentes campos são registrados para criação de sessão, encerramento de sessão e eventos de negação de sessão, conforme mostrado na Tabela 1, Tabela 2 e Tabela 3. O mesmo nome de campo em cada tipo indica que as mesmas informações estão registradas, mas cada tabela é uma lista completa de todos os dados registrados para esse tipo de log de sessão.

A tabela a seguir define os campos exibidos em entradas de log de sessão.

Começando com o Junos OS Release 12.1X47-D20 e o Junos OS Release 17.3R1, o log do sistema inclui informações sobre o tipo de regra NAT. Dois novos pedidos do tipo src-nat-rule e do tipo dst-nat-rule são introduzidos na sessão de regras do NAT.