Detecção de ameaças baseada em IDP em roteadores Session Smart
Siga essas etapas para melhorar a segurança da rede adicionando perfis de detecção e prevenção de intrusões (IDP) às suas políticas de aplicativo.
Uma política de detecção e prevenção de invasões (IDP) permite que você aplique seletivamente várias técnicas de detecção e prevenção de ataques no tráfego de rede. Você pode habilitar o IDP no Roteador Session Smart™ da Juniper® Networks operando como um dispositivo spoke em sua rede Juniper Mist™ ativando-o em uma política de aplicativo. O IDP com um Session Smart Router é útil para o tráfego local de fugas.
A detecção de invasões é o processo de monitorar os eventos que ocorrem em sua rede e analisá-los para obter sinais de incidentes, violações ou ameaças iminentes às suas políticas de segurança. A prevenção de invasões é o processo de realizar a detecção de intrusão e, em seguida, parar os incidentes detectados. Para obter mais informações, veja a visão geral da detecção e prevenção de intrusões.
IDP é um recurso pesado de cálculo. Você provavelmente verá degradação de desempenho em SSRs de nível básico, como o SSR120, se você habilitar o IDP em suas políticas.
Assista ao vídeo a seguir para detecção de ameaças baseada em IDP nos Roteadores Session Smart.
Hey everyone, today I want to show you how easy it is to deploy an AI-driven full-stack branch managed by the Mist Cloud. That is a whole branch network with access points, switches, and routers, all being managed by a single pane of glass, with artificial intelligence to alert you to any issues and easily find the root cause of those issues. In this demo, I will show you how Juniper Network's AI-driven full-stack branch simplifies all operational stages. Day zero design, day one deployment, and day two troubleshooting and maintenance. And also, I will show you how quickly this can be done.
All right, let's jump into it. Day zero design. When we talk about day zero operations, we are talking about all the planning and design that you can do prior to deploying any of the systems. These are the tasks that should be performed to make sure that the actual deployment day goes as smoothly as possible. The tasks you want to perform here are designing your network and staging your configuration. Using the Mist Cloud, you have one interface you can log into to configure all of the access points, switches, and routers in your whole network. You can use configuration templates with site-specific variables, so you only have to create a limited number of configurations for large deployments. I have seen deployments with 10,000 sites that only have six or so different designs. So, what do they do? They create six templates and apply the appropriate templates to the correct sites as they are onboarding. I have also dealt with deployments that have a couple variations between sites. Say, for example, they use different IP address schemes at each site. This is not a problem either because all we have to do is input a variable or placeholder like this, and then when we create the site, we say, for this variable, put in this value. With this technology, we can easily deploy 1,000 sites in minutes.
Once you have your network designed and you have staged your configuration, it is time to prepare for deployment day. Day one deployment. Day one stands for the first day of use for our new devices. This is the most exciting day in my opinion. You have a shiny new device and you just can't wait to pull it out of the box and use it. Unfortunately, a lot of times, this day can be ruined by the actual deployment and installation. Well, that does not have to be the case with Juniper Networks. With the AI-driven full-stack branch, you can easily deploy your network using QR codes or claim codes. First, if you didn't do it as part of your day zero tasks, create a site in the Mist cloud and assign the appropriate templates to that site. Then, just look at the back of your device for a QR code and scan it with an app or grab the claim code and add it to your inventory for that site. If you have a white box switcher router, then just copy a few lines of configuration to get that device speaking to the Mist cloud. Once your device connects up to the Mist cloud, it will see what site it is deployed to and grab the appropriate configuration. Another huge benefit of the configuration templates is that if you need to make any changes to your configuration, all you have to do is make the change in the template and the change will get pushed down to all of the appropriate devices. You no longer need to log into each individual device. With these powerful tools at your disposal, you can have a full site up in minutes. This is what we call true zero-touch provisioning.
Day two, maintenance and troubleshooting. Once you have your site deployed, then it just comes down to your normal day-to-day operations. This is what we call our day two operations. In the Mist ecosystem, we like to break our telemetry down to SLEs or service level experiences. These SLEs give you insight into the health of your network, devices, links and applications. They alert you to any issues impacting the user experience and provide insights into the root cause. The SLEs are impressive and very powerful, giving you experience insights across the network. But even more powerful is your AI virtual network assistant, Marvis. Marvis Actions proactively alert you to high priority issues impacting your network. This Marvis actions page is a great page to start your day off with, a cup of coffee view, so you can know where you need to spend your attention and solve issues before your customers even know. You can also chat with Marvis to ask questions about your network. Say, for example, you're getting complaints about an application not working. You can ask Marvis if the problem is something on your network, with your ISP or on the application itself. This saves hours of investigating to prove where the problem is and reduces your MTTI or mean time to innocence. Security is also managed by Mist and Marvis. Using the IDP and enhanced web filtering features in your SessionSmart routers, you leverage the Juniper IDP signature database, providing state-of-the-art protection against the most up-to-date vulnerabilities. The database contains definitions of attack objects and application signatures defined in the form of an IDP policy rule set that is updated regularly.By automatically downloading the latest definitions and application signatures, the SSR is able to provide cutting-edge security solutions for your network. When discovered, you can either have your router alert you to the vulnerability or block the traffic, giving you the network protection that you need without the need to purchase additional hardware.
Lastly, with all of this data and all of these cool tools, how can you share this information with interested parties and extend Mist into your business intelligence? This can be done with Premium Analytics. Premium Analytics is another tool that you can use to share with any decision maker, help them get the relevant information they need. Whether it's a CIO looking at further network investment, a branch manager looking at user experience, or a facilities management executive looking at real estate optimization and occupancy management. Premium Analytics provides long-term insights into your network with intuitive graphs and charts. So that was a very brief dive into what the Juniper Network AI-driven full-stack SD branch has to offer. To summarize, the AI-driven full-stack SD branch simplifies every stage of operations, design, deployment, maintenance, and troubleshooting, allowing for the best user experience for your network architects, engineers, operations folks, and end users. There is a lot more that you can do with the Mist Cloud and Mist AI than we have time to show you here. If you'd like to try this out for yourself, sign up for a demo or POC. Thank you for watching.
Configure a detecção de ameaças baseada em IDP no dispositivo SSR Spoke
O Juniper Mist Cloud oferece suporte aos seguintes perfis de IDP:
-
Padrão — o perfil Padrão é o perfil padrão e representa o conjunto de assinaturas e regras de IDP que a Juniper Networks recomenda. Cada tipo de ataque e gravidade tem uma ação não configurável definida pela Juniper que o mecanismo de IDP aplica quando detecta um ataque. As possíveis ações são as seguintes:
-
Feche a conexão TCP do cliente e do servidor.
-
Solte o pacote atual e todos os pacotes subsequentes
-
Envie apenas um alerta (sem ação adicional).
-
-
Alerta — os perfis de alerta são adequados apenas para ataques de baixa gravidade. Quando o mecanismo IDP detecta tráfego malicioso na rede, o sistema gera um alerta, mas não toma medidas adicionais para evitar o ataque. A assinatura e as regras do IDP são as mesmas do perfil padrão.
-
Rigoroso — o perfil Rigoroso contém um conjunto semelhante de assinaturas e regras de IDP conforme o perfil padrão. No entanto, quando o sistema detecta um ataque, esse perfil bloqueia ativamente qualquer tráfego malicioso ou outros ataques detectados na rede.
Você pode aplicar um perfil de IDP a uma política de aplicativo. Cada perfil tem uma ação de tráfego associada, e essas ações definem como aplicar uma regra definida a um serviço ou a uma política de aplicativo. As ações no perfil IDP estão pré-configuradas e não estão disponíveis para os usuários configurarem.
Para configurar a detecção de ameaças baseada em IDP:
-
No portal de nuvem da Juniper Mist, clique em Organization > Modelos de borda wan e selecione um modelo para o seu dispositivo spoke.
-
Na página modelos de borda da WAN, role para baixo para o painel políticas de aplicativos . O painel exibe a lista de políticas de aplicativos existentes.
-
Na coluna IDP , selecione um perfil de IDP. Por exemplo, selecione o alerta de perfil IDP.
Figura 1: Configure um perfil de IDP (alerta) - Clique em Salvar.
O perfil de IDP selecionado é aplicado em todos os dispositivos spoke.
Certifique-se de definir a ação de política para PERMITIR; caso contrário, as configurações de IDP podem substituir a declaração DENY.
Verifique a detecção de ameaças baseada em IDP
Quando você ativa o recurso IDP pela primeira vez em um dispositivo spoke, recomendamos que você o planeje em uma janela de manutenção. O início do mecanismo de IDP e a inclusão no caminho da LAN para a WAN (isto é, o encadeamento de serviços) pode levar alguns minutos e também pode interromper as comunicações contínuas.
Você pode testar os efeitos do scanner de segurança baseado em IDP lançando ataques de amostra. Você pode usar ferramentas como o Nikto no Kali Linux, que tem uma variedade de opções disponíveis para testes de penetração de segurança.
Use uma máquina virtual (VM) desktop (desktop1) em um ambiente de sandbox ou laboratório, e instale um simples scanner de segurança para servidores web, como Nikto. Nikto é um servidor web de código aberto e scanner de aplicativos web. Por exemplo, você pode executar Nikto contra um servidor web Apache Tomcat não localizado (ou seu equivalente) que é local para o seu laboratório. Neste teste, você pode enviar solicitações DE HTTP simples ou não criptografadas para inspeção de IDP.
A amostra a seguir mostra um processo em que você instala a ferramenta, verifica a presença do servidor HTTP e, em seguida, lança os ataques.
virsh console desktop1 apt-get update apt-get install -y nikto # Using your individual Lab-Access-IP we test if the labinternal # Apache Tomcat Server of the Apache guacamole container is avail wget http://172.16.77.155:8080 –2022-09-16 15:47:32– http://172.16.77.155:8080/ Connecting to 172.16.77.155:8080… connected. HTTP request sent, awaiting response… 200 Length: unspecified [text/html] Saving to: ‘index.html’ index.html [ <=> ] 10.92K –.-KB/s in 0s 2022-09-16 15:47:32 (85.3 MB/s) – ‘index.html’ saved [11184] # Now start our security scanner for the first time nikto -h http://172.16.77.155:8080 – Nikto v2.1.5 ————————————————————————— + Target IP: 172.16.77.155 + Target Hostname: 172.16.77.155 + Target Port: 8080 + Start Time: 2022-09-16 15:48:22 (GMT0) ————————————————————————— + Server: No banner retrieved + The anti-clickjacking X-Frame-Options header is not present. + No CGI Directories found (use ‘-C all’ to force check all possible dirs) + Server leaks inodes via ETags, header found with file /favicon.ico, fields: 0xW/21630 0x1556961512000 + OSVDB-39272: favicon.ico file identifies this server as: Apache Tomcat + Allowed HTTP Methods: GET, HEAD, POST, PUT, DELETE, OPTIONS + OSVDB-397: HTTP method (‘Allow’ Header): ‘PUT’ method could allow clients to save files on the web server. + OSVDB-5646: HTTP method (‘Allow’ Header): ‘DELETE’ may allow clients to remove files on the web server. + /examples/servlets/index.html: Apache Tomcat default JSP pages present. + Cookie JSESSIONID created without the httponly flag + OSVDB-3720: /examples/jsp/snp/snoop.jsp: Displays information about page retrievals, including other users. + OSVDB-3233: /manager/manager-howto.html: Tomcat documentation found. + /manager/html: Default Tomcat Manager interface found + 6544 items checked: 1 error(s) and 10 item(s) reported on remote host + End Time: 2022-09-16 15:50:03 (GMT0) (101 seconds) ————————————————————————— + 1 host(s) tested
Você pode visualizar os eventos gerados navegando até o Site > Eventos seguros de IDP/URL de borda de WAN.

A Figura 3 mostra os eventos de IDP gerados para o Session Smart Router.

No exemplo anterior, você usou registro passivo para os eventos usando alertas do tipo de perfil IDP. Em seguida, use o tipo de perfil IDP Strict para parar ou mitigar os eventos. Quando você usa o perfil Strict, o mecanismo IDP fecha conexões TCP contra os ataques detectados.
Você pode seguir o mesmo processo mostrado na amostra. No entanto, desta vez, você altera o modelo do dispositivo spoke e muda o perfil do IDP de Alerta para Strict, conforme mostrado na Figura 4.

Execute o scanner de segurança. Você perceberá que o scanner leva mais tempo para ser executado porque detecta mais erros e menos eventos.
nikto -h http://172.16.77.155:8080 – Nikto v2.1.5 ————————————————————————— + Target IP: 172.16.77.155 + Target Hostname: 172.16.77.155 + Target Port: 8080 + Start Time: 2022-09-16 16:01:51 (GMT0) ————————————————————————— + Server: No banner retrieved + The anti-clickjacking X-Frame-Options header is not present. + No CGI Directories found (use ‘-C all’ to force check all possible dirs) + Server leaks inodes via ETags, header found with file /favicon.ico, fields: 0xW/21630 0x1556961512000 + OSVDB-39272: favicon.ico file identifies this server as: Apache Tomcat + Allowed HTTP Methods: GET, HEAD, POST, PUT, DELETE, OPTIONS + OSVDB-397: HTTP method (‘Allow’ Header): ‘PUT’ method could allow clients to save files on the web server. + OSVDB-5646: HTTP method (‘Allow’ Header): ‘DELETE’ may allow clients to remove files on the web server. + /examples/servlets/index.html: Apache Tomcat default JSP pages present. + 6544 items checked: 5657 error(s) and 6 item(s) reported on remote host + End Time: 2022-09-16 16:05:27 (GMT0) (216 seconds) ————————————————————————— + 1 host(s) tested
A Figura 5 mostra que, para alguns eventos, a ação é encerrar a sessão para mitigar as ameaças (no campo de Ação ).

Perfis de bypass de detecção e prevenção de invasões (IDP)
O IDP Bypass trabalha em conjunto com as regras do sistema de prevenção contra invasões (IPS) para evitar que alarmes desnecessários sejam gerados. Você configura o perfil de IDP quando deseja excluir um destino específico ou tipo de ataque de combinar com uma regra de IDP. Isso impede que o IDP gere alarmes desnecessários.
Um perfil de IDP pode ter vários perfis de bypass, cada um com várias regras de bypass.
Para criar um perfil de desvio de IDP:
No portal de nuvem Da Juniper Mist, selecione a Organização > WAN > Política de Aplicativos > perfis de desvio de IDP.
A página exibe uma lista de perfis de desvio de IDP (se disponível)
- Clique em Adicionar perfil de desvio para criar um perfil.
- Na janela de perfil do Create Bypass:
- Adicionar nome. Use alfanuméricos, sublinhados ou traços e não pode exceder 63 caracteres.
- Selecione o perfil base. Os perfis de base suportados são:
- Padrão
- Estrito
- Apenas crítico: SRX
Você precisa de um perfil de IDP base para criar um perfil de desvio de IDP.
- Clique em seguida. O portal abre uma página de regras onde você pode definir a regra para o perfil de desvio de IDP.
Figura 6: Regra do perfil de desvio de IDP
- Ação – Selecione a ação de tráfego associada. As opções disponíveis são — Alterar, soltar ou fechar.
- IP de destino — endereço IP do destino para tráfego que você deseja isentar. Você pode selecionar um ou mais endereço IP de destino na lista povoada ou digitar o endereço IP de destino clicando em Adicionar IP de destino.
- Nome do ataque – Selecione os ataques que deseja que o IDP isente para os endereços de destino especificados da lista exibida. Alternativamente, você pode entrar no ataque clicando em Adicionar nome de ataque. O ataque que você ingressa deve ser do tipo suportado pela Assinatura IPS da Juniper Networks.
- Clique em Salvar.
A regra que você criou aparece no painel de perfil de desvio de IDP. Em seguida, você precisa aplicar o perfil de desvio de IDP em uma política de aplicativo semelhante aplicando qualquer perfil de IDP usando as seguintes etapas:
- No portal de nuvem da Juniper Mist, clique em Organization > Modelos de borda wan e selecione um modelo para o seu dispositivo spoke.
- Na coluna IDP, selecione o perfil IDP. Por exemplo, selecione o perfil de desvio de IDP que você criou na etapa anterior.
Figura 7: Aplique o perfil de desvio de IDP na política
de aplicativos
- Clique em Salvar assim que configurar outras opções na política do aplicativo. Veja configurar políticas de aplicativos em roteadores Session Smart.
Você pode visualizar os eventos gerados navegando até o Site > Eventos seguros de IDP/URL de borda de WAN.