Configuração do sensor IDP

As opções de configuração de sensores são usadas para:

• Registrar condições de execução conforme a capacidade de sessão de IDP e os limites de memória são abordados.

• Analise a queda de tráfego por IDP e identificação de aplicativos quando os limites são excedidos.

Embora você não possa criar assinaturas de aplicativos com o banco de dados de assinatura IDP, você pode configurar configurações de sensores para limitar o número de sessões em execução de identificação de aplicativos e também limitar o uso de memória para identificação de aplicativos.

Você pode configurar a quantidade máxima de bytes de memória que podem ser usados para economizar pacotes para identificação de aplicativos para uma sessão de TCP ou UDP. Você também pode configurar um limite para o uso global de memória para identificação de aplicativos. A identificação do aplicativo é desativada para uma sessão após o sistema atingir o limite de memória especificado para a sessão. No entanto, o IDP continua a combinar padrões. O aplicativo combinado é salvo para cache para que a próxima sessão possa usá-lo. Isso protege o sistema contra invasores que tentam ignorar a identificação de aplicativos enviando pacotes de cliente para servidor de maneira propositada.

• max-tcp-session-packet-memory— Para configurar limites de memória e sessão para serviços de identificação de aplicativos IDP, execute o set security idp sensor-configuration application-identification max-tcp-session-packet-memory 5000 comando.

• memory-limit-percent— Para definir a porcentagem do limite de memória para o plano de dados disponível no sistema, que pode ser usado para alocação de IDP, execute o set security idp sensor-configuration global memory-limit-percent comando. O valor percentual suportado é de 10 a 90.

• drop-if-no-policy-loaded— Na inicialização, o tráfego é ignorado pelo IDP por padrão se a política de IDP ainda não estiver carregada. A opção drop-if-no-policy-loaded muda esse comportamento para que todas as sessões sejam descartadas antes que a política de IDP seja carregada.

  O contador a seguir para a show security idp counters flow saída de comando analisa a queda de tráfego devido à opção drop-if-no-policy-loaded :

• drop-on-failover— Por padrão, o IDP ignora as sessões de failover em uma implantação de cluster de chassi da Série SRX. A opção drop-on-failover muda esse comportamento e descarta automaticamente as sessões que estão em processo de inspeção no nó primário quando ocorre um failover ao nó secundário.

  O contador a seguir para a show security idp counters flow saída de comando analisa a queda do tráfego de failover devido à opção drop-on-failover :

• drop-on-limit— Por padrão, as sessões não serão descartadas se o limite de sessão de IDP ou os limites de recursos forem excedidos. Neste caso, o IDP e outras sessões só são descartados quando a capacidade ou os recursos da sessão do dispositivo estão esgotados. A opção drop-on-limit muda esse comportamento e derruba sessões quando os limites de recursos são excedidos.

  Os contadores a seguir para a análise de show security idp counters flow saída de comando diminuíram o tráfego de IDP devido à opção drop-on-limit :

  Os contadores a seguir para a análise de show security idp counters application-identification saída de comando diminuíram o tráfego de identificação de aplicativos devido à opção drop-on-limit :

  As opções a seguir são usadas para acionar mensagens de log informativas sobre as condições de execução atuais. Quando definidas, as mensagens de log são acionadas, quer a opção drop-on-limit esteja definida ou não.

• max-sessions-offset— A opção max-sessions-offset define uma compensação para o limite máximo de sessão de IDP. Quando o número de sessões de IDP excede o limite máximo da sessão, um aviso é registrado de que existem condições em que as sessões de IDP podem ser descartadas. Quando o número de sessões de IDP cai abaixo do limite máximo de sessão de IDP menos o valor de compensação, uma mensagem é registrada de que as condições voltaram ao normal.

• min-objcache-limit-lt— A opção min-objcache-limit-lt define um limite menor para a memória de cache disponível. O valor limite é expresso como uma porcentagem da memória de cache IDP disponível. Se a memória de cache disponível cair abaixo do nível de limiar inferior, uma mensagem será registrada afirmando que existem condições em que as sessões de IDP podem ser descartadas devido a falhas de alocação de memória. Por exemplo, a mensagem a seguir mostra que a memória de cache IDP caiu abaixo do limiar inferior e que várias sessões foram descartadas:

• min-objcache-limit-ut— A opção min-objcache-limit-ut define um limite superior para a memória de cache disponível. O valor limite é expresso como uma porcentagem da memória de cache IDP disponível. Se a memória de cache IDP disponível retornar ao nível de limiar superior, uma mensagem será registrada afirmando que a memória de cache disponível voltou ao normal. Por exemplo, a mensagem a seguir mostra que a memória de cache IDP disponível aumentou acima do limiar superior e que agora está funcionando normalmente:

  Nota:

  Essa mensagem só é acionada se o limiar inferior tiver sido atingido e a memória disponível tiver sido devolvida acima do limiar superior. As flutuações na memória disponível que caíram abaixo do limiar superior, mas não caíram abaixo do limiar inferior, não acionam a mensagem.

Começando pelo Junos OS Release 12.3X48-D10 e Junos OS Release 17.3R1, o recurso IDP Intelligent Bypass é suportado na Série SRX.

Em sua configuração padrão, o IDP tenta inspecionar sessões novas e existentes, independentemente da utilização da CPU. Isso pode levar à queda de pacotes, latência e instabilidade em todo o sistema durante eventos de utilização de CPU. Para superar o comportamento imprevisível de processamento de pacotes IDP, você pode habilitar o recurso IDP Intelligent Bypass. Esse recurso lhe dará flexibilidade para ignorar o IDP ou soltar os pacotes quando a utilização da CPU do sistema atingir um alto nível, também conhecido como "Falha aberta" (pacotes de permissão) ou "Falha fechada" (derrubando pacotes). Por padrão, o recurso IDP Intelligent Bypass não está habilitado. As opções a seguir são usadas para configurar o recurso IDP Intelligent Bypass.

• idp-bypass-cpu-usage-overload— Por padrão, o IDP pode consumir 100% da CPU disponível e pode começar a soltar pacotes para todas as sessões inadvertidamente. Para lidar com o comportamento de processamento de pacotes IDP quando a utilização da CPU do sistema atingir um alto valor limiar, você pode habilitar o recurso IDP Intelligent Bypass. Para habilitar o recurso IDP Intelligent Bypass, emita o set security idp sensor-configuration flow idp-bypass-cpu-overload comando. Por padrão, o recurso IDP Intelligent Bypass não está habilitado.

• idp-bypass-cpu-threshold— O IDP deixa de inspecionar novas sessões quando a utilização da CPU atinge o valor limite definido. O valor de utilização da CPU de limite padrão é de 85%. Quando a utilização da CPU atinge o valor limite, o IDP continua ignorando novas sessões até que a utilização da CPU fique abaixo do valor limite mais baixo. Alternativamente, se você definir o , onde o drop-on-limitIDP derruba nova sessão até que a utilização da CPU fique abaixo do valor limite mais baixo. Para configurar o valor limite, emite set security idp sensor-configuration flow idp-bypass-cpu-threshold o comando. Você pode definir um valor limite na faixa de 0 a 99. Esse valor limite é expresso em porcentagem.

• idp-bypass-cpu-tolerance— Para configurar o valor de tolerância, emita o set security idp sensor-configuration flow idp-bypass-cpu-tolerance comando. Você pode definir um valor de tolerância na faixa de 1 a 99. O valor de tolerância padrão é 5. Esse valor de tolerância é expresso em porcentagem.

Você pode calcular os valores de limiar superior e inferior da CPU usando as seguintes equações:

Valor de limiar superior da CPU = limite de CPU + valor de tolerância de CPU.

Valor de limiar mais baixo da CPU = limiar de CPU — valor de tolerância da CPU.

Quando a utilização da CPU do sistema excede o valor limite, o IDP deixa de inspecionar novas sessões, mas continua inspecionando as sessões existentes. Neste estado, se drop-on-limit estiver definido, o IDP começa a abandonar novas sessões. As mensagens de log são acionadas para indicar que novas sessões foram descartadas. Por exemplo, a seguinte mensagem afirma que a utilização da CPU de IDP ultrapassou o valor limite e o IDP pode descartar novas sessões:

Quando a utilização da CPU do sistema excede o valor limite superior, o IDP deixa de inspecionar os pacotes de sessões existentes e novas sessões. Neste estado, nenhum pacote pode passar por inspeção de IDP. Se drop-on-limit estiver definido, o IDP derruba todas as sessões. As mensagens de log são acionados para indicar que todas as sessões foram descartadas. Por exemplo, a mensagem a seguir afirma que a utilização da CPU de IDP ultrapassou o valor limite superior, e o IDP deixa de inspecionar os pacotes de sessões existentes e novas sessões:

Quando a utilização da CPU do sistema fica abaixo do valor limite inferior, o IDP começa a inspecionar novas sessões e retorna ao modo normal. O IDP não inspecionará as sessões descartadas existentes. As mensagens de log são acionados para indicar que o IDP começa a inspecionar a nova sessão e voltar ao modo normal. Por exemplo, a mensagem a seguir afirma que a utilização da CPU de IDP está abaixo do valor limite mais baixo, e o IDP volta ao modo normal:

Este exemplo mostra como melhorar o registro e a análise de tráfego configurando opções de configuração de sensores de IDP. Por exemplo, embora você não possa criar assinaturas de aplicativos com o banco de dados de assinatura IDP, você pode configurar configurações de sensores para limitar o número de sessões em execução de identificação de aplicativos e limitar o uso de memória. Além disso, você pode usar essas opções para registrar condições de execução à medida que a capacidade da sessão de IDP e os limites de memória são abordados, e analisar a queda de tráfego por IDP e identificação de aplicativos ao exceder essas limitações.

Nos firewalls da Série SRX, se os valores de limite de CPU e memória configurados excederem os limites de recursos, a inspeção inteligente de IDP ajuda o dispositivo a se recuperar do estado de sobrecarga. A partir do Junos OS Release 19.2R1, você pode habilitar a inspeção inteligente de IDP e ajustá-la dinamicamente para reduzir a carga de inspeção completa do IDP. O IDP não rejeita ou ignora a sessão ajustando a inspeção de IDP quando os limites de recursos atingem os valores de limite de CPU e memória configurados.

Antes da versão 19.2R1 do Junos OS, quando o dispositivo excede o limite de CPU e limite de memória configurado, o IDP rejeita ou ignora novas sessões.

Para permitir a inspeção inteligente de IDP e o recurso de bypass, use o set security idp sensor-configuration flow intel-inspect-enable comando.

• Benefícios da afinação da inspeção de IDP
• Mecanismos de segurança para ajustar a inspeção inteligente de IDP
• Utilização da CPU
• Utilização de memória
• Limitação

A inspeção inteligente de IDP ajuda o dispositivo a se recuperar do estado de sobrecarga quando o dispositivo excede o limite de CPU e limite de memória configurado.

Este exemplo mostra como habilitar a inspeção inteligente de IDP e ajustar a inspeção de IDP dinamicamente para reduzir a carga de inspeção completa do IDP.