Configuração do sensor IDP

As opções de configuração do sensor são usadas para:

• As condições de execução de log à medida que a capacidade da sessão IDP e os limites de memória são abordados.

• Analise o tráfego descartado pelo IDP e a identificação de aplicativos quando os limites forem excedidos.

Você pode configurar a quantidade máxima de bytes de memória que podem ser usados para salvar pacotes para identificação de aplicativos para uma sessão TCP ou UDP. Você também pode configurar um limite para o uso global de memória para identificação de aplicativos. O AppID é desabilitado para uma sessão depois que o sistema atinge o limite de memória especificado para a sessão. No entanto, o IDP continua a corresponder aos padrões. O aplicativo correspondente é salvo em cache para que a próxima sessão possa usá-lo. Isso protege o sistema contra invasores que tentam ignorar o AppID enviando propositalmente grandes pacotes de cliente para servidor.

Embora não seja possível criar assinaturas de aplicativo com o banco de dados de assinatura IDP, você pode definir as seguintes configurações do sensor para limitar o número de sessões que executam a identificação do aplicativo e também para limitar o uso de memória para identificação do aplicativo:

• max-tcp-session-packet-memory— Para configurar limites de memória e sessão para serviços IDP AppID, execute o set security idp sensor-configuration application-identification max-tcp-session-packet-memory 5000 comando.

• memory-limit-percent— Para definir a porcentagem de limite de memória para o plano de dados disponível no sistema, que pode ser usado para alocação de IDP, execute o set security idp sensor-configuration global memory-limit-percent comando. O valor percentual suportado é de 10 a 90.

• drop-if-no-policy-loaded— Na inicialização, o tráfego é ignorado pelo IDP por padrão se a política de IDP ainda não estiver carregada. A drop-if-no-policy-loaded opção altera esse comportamento para que todas as sessões sejam descartadas antes que a política de IDP seja carregada.

  O seguinte contador para a saída do comando analisa show security idp counters flow o tráfego descartado devido à drop-if-no-policy-loaded opção:

• drop-on-failover— Por padrão, o IDP ignora as sessões de failover em uma implantação de cluster de chassi. A drop-on-failover opção altera esse comportamento e descarta automaticamente as sessões que estão em processo de inspeção no nó primário quando ocorre um failover para o nó secundário.

  O seguinte contador para a saída do comando analisa o show security idp counters flow tráfego de failover descartado devido à drop-on-failover opção:

• drop-on-limit— Por padrão, as sessões não são descartadas se o limite de sessão do IDP ou os limites de recursos forem excedidos. Nesse caso, o IDP e outras sessões são descartados somente quando a capacidade ou os recursos da sessão do dispositivo se esgotam. A drop-on-limit opção altera esse comportamento e descarta as sessões quando os limites de recursos são excedidos.

  Os seguintes contadores para a saída do comando analisam o show security idp counters flow tráfego IDP descartado devido à drop-on-limit opção:

  Os seguintes contadores para a saída do comando analisam o show security idp counters application-identification tráfego descartado do AppID devido à drop-on-limit opção:

  As opções a seguir são usadas para disparar mensagens de log informativas sobre as condições de execução atuais. Quando definidas, as mensagens de log são acionadas independentemente de a drop-on-limit opção estar definida ou não.

• max-sessions-offset— A max-sessions-offset opção define um deslocamento para o limite máximo de sessão do IDP. Quando o número de sessões IDP excede o limite máximo de sessão, um aviso é registrado de que existem condições em que as sessões IDP podem ser descartadas. Quando o número de sessões de IDP cai abaixo do limite máximo de sessão de IDP menos o valor de deslocamento, uma mensagem é registrada informando que as condições voltaram ao normal.

• min-objcache-limit-lt— A min-objcache-limit-lt opção define um limite inferior para a memória cache disponível. O valor limite é expresso como uma porcentagem da memória cache IDP disponível. Se a memória cache disponível cair abaixo do nível de limite inferior, uma mensagem será registrada informando que existem condições em que as sessões IDP podem ser descartadas devido a falhas de alocação de memória. Por exemplo, a mensagem a seguir mostra que a memória cache do IDP caiu abaixo do limite inferior e que várias sessões foram descartadas:

• min-objcache-limit-ut— A min-objcache-limit-ut opção define um limite superior para a memória cache disponível. O valor limite é expresso como uma porcentagem da memória cache IDP disponível. Se a memória cache IDP disponível retornar ao nível de limite superior, uma mensagem será registrada informando que a memória cache disponível voltou ao normal. Por exemplo, a mensagem a seguir mostra que a memória cache IDP disponível aumentou acima do limite superior e está funcionando normalmente:

  A mensagem é disparada somente quando a memória disponível fica abaixo do limite inferior e, em seguida, ultrapassa o limite superior. Flutuações de memória acima do limite inferior não disparam a mensagem.

Na configuração padrão do IDP Intelligent Bypass, o IDP tenta inspecionar sessões novas e existentes, independentemente da utilização da CPU. Isso pode levar a pacotes descartados, latência e instabilidade em todo o sistema durante eventos de alta utilização da CPU. Para superar o comportamento imprevisível de processamento de pacotes IDP, você pode habilitar o recurso IDP Intelligent Bypass. Esse recurso oferece a flexibilidade de ignorar o IDP ou descartar os pacotes quando a utilização da CPU do sistema atingir um alto nível, também conhecido como "Falha aberta" (permitir pacotes) ou "Falha fechada" (descartar pacotes). Por padrão, o recurso IDP Intelligent Bypass não está ativado. As opções a seguir são usadas para configurar o recurso IDP Intelligent Bypass.

• idp-bypass-cpu-usage-overload— Por padrão, o IDP pode consumir 100% da CPU disponível e pode começar a descartar pacotes para todas as sessões inadvertidamente. Para lidar com o comportamento de processamento de pacotes IDP quando a utilização da CPU do sistema atinge um valor de limite alto, você pode habilitar o recurso IDP Intelligent Bypass. Para ativar o recurso IDP Intelligent Bypass, emita o set security idp sensor-configuration flow idp-bypass-cpu-overload comando. Por padrão, o recurso IDP Intelligent Bypass não está ativado.

• idp-bypass-cpu-threshold— o IDP para de inspecionar novas sessões quando a utilização da CPU atinge o valor limite definido. O valor de utilização da CPU do limite padrão é de 85%. Quando a utilização da CPU atinge o valor limite, o IDP continua ignorando novas sessões até que a utilização da CPU caia abaixo do valor limite inferior. Como alternativa, se você definir o , em que o drop-on-limitIDP descarta uma nova sessão até que a utilização da CPU caia abaixo do valor limite inferior. Para configurar o valor limite, emita set security idp sensor-configuration flow idp-bypass-cpu-threshold o comando. Você pode definir um valor limite no intervalo de 0 a 99. Este valor-limite é expresso em percentagem.

• idp-bypass-cpu-tolerance— Para configurar o valor de tolerância, emita o set security idp sensor-configuration flow idp-bypass-cpu-tolerance comando. Você pode definir um valor de tolerância no intervalo de 1 a 99. O valor de tolerância padrão é 5. Esse valor de tolerância é expresso como uma porcentagem.

Você pode calcular os valores de limite superior e inferior da CPU usando as seguintes equações:

Valor do limite superior da CPU = limite da CPU + valor de tolerância da CPU.

Valor do limite inferior da CPU = limite da CPU - valor de tolerância da CPU.

Figura 1: Entendendo o comportamento de processamento de pacotes IDP durante o limite alto

Quando a utilização da CPU do sistema excede o valor limite, o IDP para de inspecionar novas sessões, mas continua a inspecionar as sessões existentes. Nesse estado, se estiver definido, o drop-on-limit IDP começará a descartar novas sessões. As mensagens de log são acionadas para indicar que novas sessões foram descartadas. Por exemplo, a mensagem a seguir informa que a utilização da CPU do IDP ultrapassou o valor limite e o IDP pode descartar novas sessões:

Quando a utilização da CPU do sistema excede o valor do limite superior, o IDP para de inspecionar os pacotes de sessões existentes e novas sessões. Nesse estado, nenhum pacote pode passar pela inspeção IDP. Se drop-on-limit estiver definido, o IDP descartará todas as sessões. As mensagens de log são acionadas para indicar que todas as sessões foram descartadas. Por exemplo, a mensagem a seguir indica que a utilização da CPU do IDP ultrapassou o valor do limite superior e o IDP para de inspecionar os pacotes das sessões existentes e das novas sessões:

Quando a utilização da CPU do sistema cai abaixo do valor limite inferior, o IDP inicia a inspeção de uma nova sessão e retorna ao modo normal. O IDP não inspecionará as sessões descartadas existentes. As mensagens de log são acionadas para indicar que o IDP começa a inspecionar uma nova sessão e retorna ao modo normal. Por exemplo, a mensagem a seguir indica que a utilização da CPU do IDP fica abaixo do valor limite inferior e o IDP retorna ao modo normal:

Este exemplo mostra como melhorar o registro em log e a análise de tráfego configurando as opções de configuração do sensor IDP. Além disso, você pode usar essas opções para registrar condições de execução à medida que a capacidade da sessão do IDP e os limites de memória são abordados, e para analisar o tráfego descartado pelo IDP e pela identificação do aplicativo ao exceder essas limitações.