Configurando Políticas de Segurança

Uma política de segurança é um conjunto de instruções que controla o tráfego de uma origem especificada para um destino especificado usando um serviço especificado. Uma política permite, nega ou encapsula tipos especificados de tráfego unidirecionalmente entre dois pontos.

Cada política consiste em:

• Um nome exclusivo para a política.

• A from-zone e a , to-zonepor exemplo: user@host# set security policies from-zone untrust to-zone untrust

• Um conjunto de critérios de correspondência que define as condições que devem ser satisfeitas para aplicar a regra de política. Os critérios de correspondência são baseados em um endereço IP de origem, endereço IP de destino e aplicativos. O firewall de identidade do usuário fornece maior granularidade incluindo uma tupla adicional, source-identity, como parte da declaração de política.

• Um conjunto de ações a serem executadas em caso de correspondência: permitir, negar ou rejeitar.

• Elementos de contabilidade e auditoria — contagem, registro em log ou registro estruturado do sistema.

Se o dispositivo receber um pacote que corresponda a essas especificações, ele executará a ação especificada na política.

As políticas de Segurança impõem um conjunto de regras para o tráfego de trânsito, identificando qual tráfego pode passar pelo firewall e as ações tomadas no tráfego à medida que ele passa pelo firewall. As ações para o tráfego que corresponde aos critérios especificados incluem permitir, negar, rejeitar, registrar ou contar.

A política de segurança aplica as regras de segurança ao tráfego de trânsito dentro de um contexto (from-zone to to-zone). Cada política é identificada exclusivamente por seu nome. O tráfego é classificado combinando suas zonas de origem e destino, os endereços de origem e destino e o aplicativo que o tráfego transporta em seus cabeçalhos de protocolo com o banco de dados de políticas no plano de dados.

Cada política está associada às seguintes características:

• Uma zona de origem

• Uma zona de destino

• Um ou vários nomes de endereços de origem ou nomes de conjuntos de endereços

• Um ou vários nomes de endereços de destino ou nomes de conjuntos de endereços

• Um ou vários nomes de aplicativos ou nomes de conjuntos de aplicativos

Essas características são chamadas de critérios de correspondência. Cada política também tem ações associadas a ela: permitir, negar, rejeitar, contar, registrar e túnel VPN. Você precisa especificar os argumentos da condição de correspondência ao configurar uma política, endereço de origem, endereço de destino e nome do aplicativo.

Você pode especificar a configuração de uma política com endereços IPv4 ou IPv6 usando a entrada anycuringa. Quando o suporte ao fluxo não está habilitado para tráfego IPv6, any corresponde aos endereços IPv4. Quando o suporte ao fluxo está habilitado para tráfego IPv6, any corresponde aos endereços IPv4 e IPv6. Para habilitar o encaminhamento baseado em fluxo para tráfego IPv6, use o set security forwarding-options family inet6 mode flow-based comando. Você também pode especificar o curinga any-ipv4 ou any-ipv6 para que os critérios de correspondência de endereço de origem e destino incluam apenas endereços IPv4 ou IPv6, respectivamente.

Quando o suporte de fluxo para tráfego IPv6 está habilitado, o número máximo de endereços IPv4 ou IPv6 que você pode configurar em uma política de segurança é baseado nos seguintes critérios de correspondência:

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

A razão para os critérios de correspondência é que um endereço IPv6 usa quatro vezes o espaço de memória que um endereço IPv4 usa.

Observação:

Você pode configurar uma política de segurança com endereços IPv6 somente se o suporte de fluxo para tráfego IPv6 estiver habilitado no dispositivo.

Se você não quiser especificar um aplicativo específico, insira any como o aplicativo padrão. Para procurar os aplicativos padrão, no modo de configuração, insira show groups junos-defaults | find applications (predefined applications). Por exemplo, se você não fornecer um nome de aplicativo, a política será instalada com o aplicativo como um curinga (padrão). Portanto, qualquer tráfego de dados que corresponda ao restante dos parâmetros em uma determinada política corresponderia à política, independentemente do tipo de aplicativo do tráfego de dados.

Observação:

Se uma política estiver configurada com vários aplicativos e mais de um dos aplicativos corresponder ao tráfego, o aplicativo que melhor atender aos critérios de correspondência será selecionado.

A ação da primeira política que o tráfego corresponde é aplicada ao pacote. Se não houver uma política de correspondência, o pacote será descartado. As políticas são pesquisadas de cima para baixo, por isso é uma boa ideia colocar políticas mais específicas perto do topo da lista. Você também deve colocar as políticas de túnel VPN IPsec perto do topo. Coloque as políticas mais gerais, como uma que permitiria que determinados usuários acessassem todos os aplicativos da Internet, no final da lista. Por exemplo, coloque as políticas deny-all ou reject-all na parte inferior depois que todas as políticas específicas tiverem sido analisadas antes e o tráfego legítimo tiver sido permitido/contado/registrado.

Observação:

O suporte para endereços IPv6 é adicionado no Junos OS Release 10.2. O suporte para endereços IPv6 em configurações de cluster de chassi ativo/ativo (além do suporte existente de configurações de cluster de chassi ativo/passivo) é adicionado no Junos OS Release 10.4.

A pesquisa de política determina a zona de destino, o endereço de destino e a interface de saída.

Quando você está criando uma política, as seguintes regras de política se aplicam:

• As políticas de Segurança são configuradas em uma from-zone direção to to-zone . Em uma direção de zona específica, cada política de segurança contém um nome, critérios de correspondência, uma ação e opções diversas.

• O nome da política, os critérios de correspondência e a ação são necessários.

• O nome da política é uma palavra-chave.

• O endereço de origem nos critérios de correspondência é composto por um ou mais nomes de endereço ou nomes de conjunto de endereços no from-zone.

• O endereço de destino dos critérios de correspondência é composto por um ou mais nomes de endereços ou nomes de conjuntos de endereços no to-zone.

• O nome do aplicativo nos critérios de correspondência é composto pelo nome de um ou mais aplicativos ou conjuntos de aplicativos.

• Uma das seguintes ações é necessária: permitir, negar ou rejeitar.

• Os elementos de contabilidade e auditoria podem ser especificados: count e log.

• Você pode habilitar o registro no final de uma sessão com o session-close comando ou no início da sessão com o session-init comando.

• Quando o alarme de contagem estiver ativado, especifique os limites de alarme em bytes por segundo ou kilobytes por minuto.

• Você não pode especificar global como o ou o to-zone from-zone exceto na seguinte condição:

  Qualquer política configurada com o como uma região global deve ter um único endereço de destino para indicar que o NAT estático ou o to-zone NAT de entrada foi configurado na política.

• A opção de permissão de política com NAT é simplificada. Opcionalmente, cada política indicará se permite a tradução de NAT, não permite a tradução de NAT ou não se importa.

• Os nomes de endereços não podem começar com os prefixos reservados a seguir. Eles são usados apenas para configuração de NAT de endereço:

  • static_nat_

  • incoming_nat_

  • junos_

• Os nomes de aplicativos não podem começar com o prefixo reservado junos_ .

O mecanismo aprimorado de sincronização de configuração de política melhora a forma como as configurações de política são sincronizadas entre o Mecanismo de Roteamento (RE) e o Mecanismo de Encaminhamento de Pacotes (PFE), aumentando a confiabilidade e a segurança do sistema. Esse mecanismo garante que as políticas sejam sincronizadas de forma automática e precisa. Além disso, o sistema evita efetivamente quedas de fluxo durante o processo de alteração na configuração da política de segurança.

• Serialização de arquivos
• Evitar a interrupção da sessão de fluxo durante alterações na configuração da política

• Memória e tratamento de erros
• Suporte para sistema lógico e sistema de locatário

Você pode configurar a política de segurança para autotráfego para aplicar serviços ao autotráfego. As políticas de saída de host funcionarão apenas nos casos em que o pacote originado no dispositivo host passar pelo fluxo e a interface de entrada desse pacote for definida como local.

As vantagens de usar o auto-tráfego são:

• Você pode aproveitar a maior parte da política ou infraestrutura de fluxo existente usada para o tráfego de trânsito.

• Você não precisa de um endereço IP separado para habilitar nenhum serviço.

• Você pode aplicar serviços ou políticas a qualquer tráfego de entrada de host com o endereço IP de destino de qualquer interface no dispositivo.

Observação:

As regras de política de segurança padrão não afetam o tráfego próprio.

Observação:

Você pode configurar a política de segurança para tráfego próprio apenas com serviços relevantes. Por exemplo, não é relevante configurar o serviço fwauth no tráfego de saída do host, e os serviços gprs-gtp não são relevantes para as políticas de segurança para autotráfego.

As políticas de segurança para o tráfego próprio são configuradas junos-host na nova zona de segurança padrão chamada zona. A zona junos-host fará parte da configuração junos-defaults, portanto, os usuários não poderão excluí-la. As configurações de zona existentes, como interfaces, screen, tcp-rst e opções de tráfego de entrada de host, não são significativas para a zona junos-host. Portanto, não há configuração dedicada para a zona junos-host.

Observação:

Você pode usar o tráfego de entrada do host para controlar as conexões de entrada com um dispositivo; no entanto, ele não restringe o tráfego que sai do dispositivo. Considerando que, junos-host-zone permite que você selecione o aplicativo de sua escolha e também restrinja o tráfego de saída. Por exemplo, serviços como NAT, IDP, Segurança de conteúdo e assim por diante agora podem ser habilitados para o tráfego que entra ou sai do dispositivo usando junos-host-zone.

Você deve concluir as seguintes tarefas para criar uma política de segurança:

1. Crie zonas. Consulte Exemplo: Criando Zonas de Segurança.

2. Configure um catálogo de endereços com endereços para a política. Consulte Exemplo: Configuração de Catálogos de Endereços e Conjuntos de Endereços.

3. Crie um aplicativo (ou conjunto de aplicativos) que indique que a política se aplica ao tráfego desse tipo. Consulte Exemplo: Configuração de aplicativos de política de Segurança e conjuntos de aplicativos.

4. Crie a política. Consulte Exemplo: Configurando uma Política de Segurança para Permitir ou Negar Todo o Tráfego, Exemplo: Configurando uma Política de Segurança para Permitir ou Negar o Tráfego Selecionado e Exemplo: Configurando uma Política de Segurança para Permitir ou Negar o Tráfego de Endereço Curinga.

5. Crie agendadores se você planeja usá-los para suas políticas. Consulte Exemplo: Configuração de agendadores para uma programação diária excluindo um dia.

O Assistente de política de firewall permite que você execute a configuração básica da política de segurança. Para uma configuração mais avançada, use a interface J-Web ou a CLI.

Uma rede segura é vital para uma empresa. Para proteger uma rede, um administrador de rede deve criar uma política de segurança que descreva todos os recursos de rede dentro dessa empresa e o nível de segurança necessário para esses recursos. A política de segurança aplica as regras de segurança ao tráfego de trânsito dentro de um contexto (da zona para a zona para) e cada política é identificada exclusivamente por seu nome. O tráfego é classificado combinando as zonas de origem e destino, os endereços de origem e destino e o aplicativo que o tráfego transporta em seus cabeçalhos de protocolo com o banco de dados de políticas no plano de dados.

O suporte à plataforma depende da versão do Junos OS em sua instalação.

Observe que, à medida que você aumenta o número de endereços e aplicativos em cada regra, a quantidade de memória usada pela definição de política aumenta e, às vezes, o sistema fica sem memória com menos de 80.000 políticas.

Para obter a utilização real da memória de uma política no Mecanismo de Encaminhamento de Pacotes (PFE) e no Mecanismo de Roteamento (RE), você precisa levar em consideração vários componentes da árvore de memória. A árvore de memória inclui os dois componentes a seguir:

• Contexto de política — Usado para organizar todas as políticas nesse contexto. O contexto da política inclui variáveis como zonas de origem e destino.

• Entidade de política — Usado para armazenar os dados da política. A entidade de política calcula a memória usando parâmetros como nome da política, endereços IP, contagem de endereços, aplicativos, autenticação de firewall, WebAuth, IPsec, contagem, serviços de aplicativos e Junos Services Framework (JSF).

Além disso, as estruturas de dados usadas para armazenar políticas, conjuntos de regras e outros componentes usam memória diferente no Mecanismo de Encaminhamento de Pacotes e no Mecanismo de Roteamento. Por exemplo, os nomes de endereço para cada endereço na política são armazenados no Mecanismo de Roteamento, mas nenhuma memória é alocada no nível do Mecanismo de Encaminhamento de Pacotes. Da mesma forma, os intervalos de portas são expandidos para pares de prefixo e máscara e são armazenados no Mecanismo de Encaminhamento de Pacotes, mas nenhuma memória é alocada no Mecanismo de Roteamento.

Consequentemente, dependendo da configuração da política, os contribuintes de política para o Mecanismo de Roteamento são diferentes daqueles para o Mecanismo de Encaminhamento de Pacotes, e a memória é alocada dinamicamente.

A memória também é consumida pelo estado de "exclusão adiada". No estado de exclusão adiada, quando um dispositivo aplica uma alteração de política, há um pico de uso transitório em que as políticas antiga e nova estão presentes. Assim, por um breve período, existem políticas antigas e novas no Mecanismo de Encaminhamento de Pacotes, ocupando o dobro dos requisitos de memória.

Portanto, não há uma maneira definitiva de inferir claramente quanta memória é usada por qualquer componente (Mecanismo de Encaminhamento de Pacotes ou Mecanismo de Roteamento) em um determinado momento, porque os requisitos de memória dependem de configurações específicas de políticas e a memória é alocada dinamicamente.

As práticas recomendadas a seguir para a implementação da política permitem que você use melhor a memória do sistema e otimize a configuração da política:

• Use prefixos únicos para endereços de origem e destino. Por exemplo, em vez de usar endereços /32 e adicionar cada endereço separadamente, use uma sub-rede grande que cubra a maioria dos endereços IP necessários.

• Use o aplicativo "qualquer" sempre que possível. Cada vez que você define um aplicativo individual na política, pode usar 52 bytes adicionais.

• Use menos endereços IPv6 porque os endereços IPv6 consomem mais memória.

• Use menos pares de zonas em configurações de política. Cada zona de origem ou destino usa cerca de 16.048 bytes de memória.

• Os parâmetros a seguir podem alterar a forma como a memória é consumida pelos bytes, conforme especificado:

  • Autenticação de firewall — cerca de 16 bytes ou mais (não corrigido)

  • Autenticação da Web — cerca de 16 bytes ou mais (não corrigido)

  • IPsec — 12 bytes

  • Serviços de aplicativos — 28 bytes

  • Contagem — 64 bytes

• Verifique a utilização da memória antes e depois de compilar as políticas.

  Observação:

  O requisito de memória para cada dispositivo é diferente. Alguns dispositivos suportam 512.000 sessões por padrão, e a memória de inicialização geralmente é de 72 a 73 por cento. Outros dispositivos podem ter até 1 milhão de sessões e a memória de inicialização pode ser de 83 a 84 por cento. Na pior das hipóteses, para dar suporte a cerca de 80.000 políticas na SPU, a SPU deve inicializar com um consumo de memória de kernel fluído de até 82% e com pelo menos 170 megabytes de memória disponíveis.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar todo o tráfego.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar o tráfego selecionado.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar o tráfego de endereço curinga.

Este exemplo mostra como configurar uma política de segurança para enviar logs de tráfego gerados no dispositivo para um servidor de log do sistema externo.

Adicionar manualmente entradas de endereço a uma política pode ser demorado. Existem fontes externas que fornecem listas de endereços IP que têm uma finalidade específica (como uma lista de bloqueio) ou que têm um atributo comum (como um local ou comportamento específico que pode representar uma ameaça). Você pode usar a fonte externa para identificar fontes de ameaças por seu endereço IP e, em seguida, agrupar esses endereços em uma entrada de endereço dinâmico e fazer referência a essa entrada em uma política de segurança. Assim, você pode controlar o tráfego de e para esses endereços. Cada um desses grupos de endereços IP é chamado de entrada de endereço dinâmico.

Há suporte para os seguintes tipos de endereços IP:

• IP único. Por exemplo: 192.0.2.0

• Faixa de IP. Por exemplo: 192.0.2.0- 192.0.2.10

• CIDR. Por exemplo: 192.0.2.0/24

Cada entrada ocupa uma linha. A partir do Junos OS Release 19.3R1, os intervalos de endereços IP não precisam ser classificados em ordem crescente e o valor das entradas de IP pode se sobrepor no mesmo arquivo de feed. Nas versões do Junos OS anteriores à 19.3R1, os intervalos de endereços IP precisam ser classificados em ordem crescente e o valor das entradas de IP não pode se sobrepor no mesmo arquivo de feed.

Observação:

Uma entrada de endereço dinâmico é um grupo de endereços IP, não um único prefixo IP. Uma entrada de endereço dinâmica é diferente dos conceitos de endereço de segurança de catálogos de endereços e endereços de entrada de endereço.

Veja a seguir os benefícios da implantação de entradas de endereço dinâmico em políticas de segurança:

• O administrador de rede tem mais controle sobre o tráfego de e para grupos de endereços IP.

• O servidor externo fornece feeds de endereços IP atualizados para o firewall SRX.

• Os esforços do administrador são drasticamente reduzidos. Por exemplo, em uma configuração de política de segurança herdada, adicionar 1000 entradas de endereço para uma política referenciar exigiria cerca de 2000 linhas de configuração. Ao definir uma entrada de endereço dinâmico e referenciá-la em uma política de segurança, até milhões de entradas podem fluir para o firewall SRX sem muito esforço adicional de configuração.

• Nenhum processo de confirmação é necessário para adicionar novos endereços. Adicionar milhares de endereços a uma configuração por meio de um método herdado leva muito tempo para ser confirmado. Como alternativa, os endereços IP em uma entrada de endereço dinâmico vêm de um feed externo, portanto, nenhum processo de confirmação é necessário quando os endereços em uma entrada são alterados.

A Figura 3 ilustra uma visão geral funcional de como funciona a entrada de endereço dinâmico em uma política de segurança.

Uma política de segurança faz referência à entrada de endereço dinâmico em um campo de endereço de origem ou destino (da mesma forma que uma política de segurança faz referência a uma entrada de endereço herdada).

A Figura 4 ilustra uma política que usa uma entrada de endereço dinâmico no campo Endereço de destino.

Na Figura 4, a Política 1 usa o endereço de destino 10.10.1.1, que é uma entrada de endereço de segurança herdada. A política 2 usa a lista de bloqueio do fornecedor de endereço de destino, que é uma entrada de endereço dinâmica nomeada pelo administrador da rede. Seu conteúdo é a lista de endereços IP recuperados de um arquivo de feed externo. Os pacotes que correspondem a todos os cinco critérios (a zona de origem chamada não confiável, o engenheiro nomeado zona de destino, qualquer endereço de origem, um endereço IP de destino que pertence à entrada de endereço dinâmico da lista de bloqueio do fornecedor e o aplicativo de e-mail) são tratados de acordo com as ações de política, que são negar e registrar o pacote.

Observação:

Os nomes de entrada de endereço dinâmico compartilham o mesmo espaço de nome que as entradas de endereço de segurança herdadas, portanto, não use o mesmo nome para mais de uma entrada. O processo de confirmação do Junos OS verifica se os nomes não estão duplicados para evitar conflitos.

Os grupos de endereços dinâmicos são compatíveis com os seguintes feeds de dados:

• Listas personalizadas (listas de permissões e listas de bloqueio)

• GeoIP

• Servidores de feed
• Feeds de pacote

Use o Explorador de Recursos para confirmar o suporte à plataforma e à versão para recursos específicos.

Use as tabelas a seguir para analisar o comportamento específico da sua plataforma:

• Suporte a políticas de Segurança específicas da plataforma
• Comportamento de configuração de política de Segurança específico da plataforma
• Comportamento de sincronização de configuração de política específica da plataforma
• Comportamento de suporte a IDP específico da plataforma
• Comportamento de suporte do Assistente de política de firewall específico da plataforma

Use o Explorador de Recursos para confirmar o suporte à plataforma e à versão para recursos específicos. Plataformas adicionais podem ser suportadas.

Firewalls SRX e Firewall virtual vSRX 3.0 que oferecem suporte ao servidor de feed de arquivos, suportam:	SRX300, SRX320, SRX340, SRX345, SRX550 e SRX550M	SRX1500	Dispositivos SRX4100, SRX4200, SRX4600, SRX5400 e vSRX 3.0	SRX4700
Número máximo de servidores de feed	10	40	100	5000
Número máximo de feeds	500	200	5000	5000
Número máximo de entradas de endereços dinâmicos	500	200	5000	5000

Firewalls SRX que oferecem suporte a objeto de política, suportam:	SRX300 e SRX320	SRX340	SRX345 e SRX380	SRX550M	SRX1500, SRX1600 e SRX4100	SRX4200 e SRX4300	SRX4600	SRX4700, SRX5400, SRX5600 e SRX5800
Objetos de endereço	2048	2048	2048	2048	4096	4096	4096	16384
Objetos de aplicativo	128	128	128	128	3072	3072	3072	3072
Políticas de Segurança	1024	2048	4096	10240	16000	60000	80000	100000
Contextos de política (pares de zonas)	256	512	1024	2048	4096	4096	8192	8192
Políticas por contexto	1024	2048	4096	10240	16000	60000	80000	100000
Políticas com Contagem Habilitada	256	256	256	10240	1024	1024	1024	1024