租户系统：安全智能和反恶意软件策略
租户系统允许您将虚拟系统资源（如内存和 CPU）分配到逻辑分组中，以创建多个虚拟防火墙。然后，每个虚拟防火墙都可以将自己标识为一个计算系统中的独立系统。从 Junos OS 18.4 开始，SRX 系列防火墙支持租户系统实施反恶意软件和安全智能 （SecIntel） 策略。当您将租户系统与瞻博网络 ATP 云中的组织关联时，该租户系统将接收为该组织配置的威胁管理功能。然后，SRX 系列防火墙将基于租户系统和关联的瞻博网络 ATP 云组织执行策略实施。
有关将租户系统与 SRX 系列防火墙配合使用的信息，请参阅 Junos 文档。
租户系统对 SecIntel 源的支持
从 Junos OS 18.4 开始，您可以为租户系统配置 SecIntel 配置文件。
在注册了关联的 SRX 系列防火墙后，租户系统将注册到 ATP 云。所有启用了反恶意软件或 SecIntel 策略的租户系统都会与其他 SRX 系列防火墙一起显示在 ATP 云的“已注册设备”页面中。
与会自动向注册的组织提交内容的物理设备不同，在使用瞻博网络 ATP 云 Web UI 中的“组织管理”页面将租户系统提交内容与组织关联之前，租户系统提交内容将被忽略。有关这些说明，请参阅 组织管理 。
请注意， root-logical-system 它会自动与注册 SRX 系列防火墙的组织相关联。默认情况下只能 root-logical-system 提交。因此，您不需要为 root-logical-system进行关联。
下面是用于租户系统 SecIntel 策略配置的 CLI 命令示例。此示例中使用的租户系统 （TSYS1） 必须与瞻博网络 ATP 云中的正确组织相关联，策略才能应用于预期设备：
set logical-systems TSYS1 services security-intelligence profile secintel_profile category CC set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 10 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 9 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then action block close set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then log set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then action permit set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 CC secintel_profile set logical-systems TSYS1 services security-intelligence profile pf1 category Infected-Hosts set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then action block drop set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 Infected-Hosts pf1
使用以下命令在 SRX 系列防火墙上为检查配置文件创建安全策略。
set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match source-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match destination-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match application any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services ssl-proxy profile-name ssl-inspect-profile-dut set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services security-intelligence-policy p1
使用以下示例命令查看租户系统的受感染主机信息源：
root@SRX> show security dynamic-address category-name Infected-Hosts logical-system TSYS1 No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
或者使用以下命令：
User1@SRX:TSYS1> show security dynamic-address category-name Infected-Hosts No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
AAMW 的租户系统支持
从 Junos OS 18.4 开始，您还可以基于每个租户系统配置反恶意软件策略。下面是租户系统反恶意软件策略配置的示例：
如前所述，此示例中使用的租户系统 （TSYS1） 必须与 ATP 云中的正确组织相关联，策略才能应用于预期设备。请参阅ATP 云 Web UI 的组织 管理 配置详细信息。
set logical-systems TSYS1 services advanced-anti-malware policy LP1 http inspection-profile ldom_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 http action block set logical-systems TSYS1 services advanced-anti-malware policy LP1 http notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 verdict-threshold 3
使用以下命令查看租户系统的反恶意软件策略。
root@SRX> show services advanced-anti-malware policy logical-systems TSYS1
Advanced-anti-malware configuration:
Policy Name: LP11
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
或者使用以下命令：
User1@SRX:TSYS1> show services advanced-anti-malware policy
Advanced-anti-malware configuration:
Policy Name: LP1
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
安全配置文件 CLI
管理员可以配置单个安全配置文件以将资源分配给特定的租户系统，对多个租户系统使用相同的安全配置文件，或者混合使用这两种方法。在运行逻辑系统的 SRX 系列防火墙上，最多可以配置 32 个安全配置文件。
通过安全配置文件，可以将不同数量的资源专用于租户系统，并允许它们竞争使用免费资源。它们还可以防止一个逻辑系统耗尽其他租户系统同时需要的资源。
以下命令将添加到安全配置文件 CLI 中。
AAMW 策略
例如：
set system security-profile <name> aamw-policy maximum 32SecIntel 策略
例如：
set system security-profile <name> secintel-policy maximum 32
使用以下命令查看安全配置文件：
show system security-profile all-resource
有关逻辑系统命令 set system security-profile 的更多信息，请参阅 Junos 文档。