租户系统：安全智能和反恶意软件策略
租户系统允许您将虚拟系统资源（如内存和 CPU）分配到逻辑分组中，以创建多个虚拟防火墙。然后，每个虚拟防火墙都可以将自己标识为一个计算系统中的独立系统。从 Junos OS 18.4 开始，SRX 系列防火墙支持租户系统的反恶意软件和安全智能策略。当您将租户系统与瞻博网络 ATP 云中的领域相关联时，该租户系统将收到为该领域配置的威胁管理功能。然后，SRX 系列防火墙将根据租户系统和关联的瞻博网络 ATP 云域执行策略实施。
有关将租户系统与 SRX 系列防火墙配合使用的信息，请参阅 Junos 文档。
SecIntel 源的租户系统支持
从 Junos OS 18.4 开始，您可以为租户系统配置安全智能配置文件。
注册关联的 SRX 系列防火墙后，租户系统将注册到 ATP 云。启用了反恶意软件或安全智能策略的所有租户系统都会与其他 SRX 系列防火墙一起显示在 ATP 云的“已注册设备”页面中。
与物理设备自动向其注册的领域提交不同，租户系统提交将被忽略，直到它们使用瞻博网络 ATP 云 Web UI 中的“领域管理”页面与某个领域关联。有关这些说明，请参阅 领域管理 。
请注意，它 root-logical-system 会自动与 SRX 系列防火墙注册到的领域相关联。默认情况下只能 root-logical-system 进行提交。因此，您无需与 建立 root-logical-system关联。
下面是租户系统安全智能策略配置的 CLI 命令示例。此示例中使用的租户系统 （TSYS1） 必须与瞻博网络 ATP 云中的正确领域相关联，策略才能应用于目标设备：
set logical-systems TSYS1 services security-intelligence profile secintel_profile category CC set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 10 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 9 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then action block close set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then log set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then action permit set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 CC secintel_profile set logical-systems TSYS1 services security-intelligence profile pf1 category Infected-Hosts set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then action block drop set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 Infected-Hosts pf1
使用以下命令在 SRX 系列防火墙上为检查配置文件创建安全策略。
set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match source-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match destination-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match application any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services ssl-proxy profile-name ssl-inspect-profile-dut set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services security-intelligence-policy p1
使用以下示例命令查看租户系统的受感染主机源：
root@SRX> show security dynamic-address category-name Infected-Hosts logical-system TSYS1 No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
或者使用以下方法：
User1@SRX:TSYS1> show security dynamic-address category-name Infected-Hosts No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
AAMW 的租户系统支持
从 Junos OS 18.4 开始，您还可以基于每个租户系统配置反恶意软件策略。下面是租户系统反恶意软件策略配置的示例：
如前所述，此示例中使用的租户系统 （TSYS1） 必须与 ATP 云中的正确领域相关联，策略才能应用于目标设备。请参阅 ATP 云 Web UI 的 领域管理 配置详细信息。
set logical-systems TSYS1 services advanced-anti-malware policy LP1 http inspection-profile ldom_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 http action block set logical-systems TSYS1 services advanced-anti-malware policy LP1 http notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 verdict-threshold 3
使用以下命令查看租户系统的反恶意软件策略。
root@SRX> show services advanced-anti-malware policy logical-systems TSYS1
Advanced-anti-malware configuration:
Policy Name: LP11
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
或者使用以下方法：
User1@SRX:TSYS1> show services advanced-anti-malware policy
Advanced-anti-malware configuration:
Policy Name: LP1
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
安全配置文件 CLI
管理员可以配置单个安全配置文件以将资源分配给特定租户系统，对多个租户系统使用相同的安全配置文件，或者混合使用这两种方法。您可以在运行逻辑系统的 SRX 系列防火墙上配置多达 32 个安全配置文件。
安全配置文件允许您将不同数量的资源专用于租户系统，并允许它们争用免费资源。它们还可以防止一个逻辑系统耗尽其他租户系统同时所需的资源。
以下命令将添加到安全配置文件 CLI 中。
AAMW-policy
例如：
set system security-profile <name> aamw-policy maximum 32保密策略
例如：
set system security-profile <name> secintel-policy maximum 32
使用以下命令查看安全配置文件：
show system security-profile all-resource
有关逻辑系统命令的详细信息set system security-profile，请参阅 Junos 文档。