IDP 策略

IDP 策略定义设备处理网络流量的方式。它允许您对遍历网络的流量实施各种攻击检测和防御技术。

策略由 rule bases组成，每个规则库包含一组 rules。您可以定义规则参数，例如流量匹配条件、作和日志记录要求，然后将规则添加到规则库中。通过在一个或多个规则库中添加规则来创建 IDP 策略后，您可以选择该策略作为设备上的活动策略。

Junos OS 允许您配置和应用多个 IDP 策略。将对配置为活动策略的 IDP 策略进行配置验证。您可以在多台设备上安装相同的 IDP 策略，也可以在网络中的每台设备上安装唯一的 IDP 策略。单个策略只能包含任何类型的规则库的一个实例。

注意：

默认情况下，IDP 功能处于启用状态。无需许可证。即使设备上未安装有效的许可证和签名数据库，也可以配置和安装 IDP 策略中的自定义攻击和自定义攻击组。

加载新的 IDP 策略时，将使用新加载的策略检查现有会话，并且不会忽略现有会话以进行 IDP 处理。

以下列表介绍了加载新策略后现有会话的 IDP 检查更改：

• 基于数据包的签名 - 使用新的 IDP 策略，继续对基于数据包的攻击进行 IDP 检查。

• 基于流的签名 - IDP 继续检查来自新 IDP 策略的基于流的攻击，最终偏移量小于为该流传递的字节数。

• 基于上下文的签名 - 加载新 IDP 策略后，检测器会继续对检测器创建的基于上下文的攻击进行 IDP 检查，但加载了新检测器的新策略除外。

支持以下 IDP 策略：

• DMZ_Services

• DNS_Services

• File_Server

• Getting_Started

• IDP_Default

• 推荐

• Web_Server

您可以执行以下作来管理 IDP 策略：

• 从头开始创建新的 IDP 策略。请参阅 示例：定义 IDP IPS 规则库的规则。

• 从瞻博网络提供的预定义模板之一开始创建 IDP 策略（请参阅 了解预定义的 IDP 策略模板）。

• 在规则库中添加或删除规则。您可以使用以下任一 IDP 对象创建规则：

  • 区

    注意：

    当 from-zone 为 any 时，您可以配置源地址和源非地址，类似地，当 to-zone 为 any 时，您可以配置目标地址和目标非地址。

  • 基本系统中可用的网络对象

  • 瞻博网络提供的预定义服务对象

  • 自定义应用程序对象

  • 瞻博网络提供的预定义攻击对象

• 创建自定义攻击对象（请参阅 示例：配置基于 IDP 签名的攻击 ）。

• 更新瞻博网络提供的签名数据库。此数据库包含所有预定义对象。

• 维护多个 IDP 策略。任何一个策略都可以应用于设备。

每个用户逻辑系统的 IDP 策略将编译在一起并存储在数据平面内存中。要估计配置的足够数据平面内存，请考虑以下两个因素：

• 应用于每个用户逻辑系统的 IDP 策略被视为唯一实例，因为每个用户逻辑系统的 ID 和区域都不同。估算需要考虑所有用户逻辑系统的组合内存需求。

• 随着应用数据库的增加，编译的策略需要更多内存。内存使用量应保持在可用数据平面内存以下，以允许数据库增加。

借助统一安全策略中的 IDP 策略支持：

• 使用 set security policies from-zone <zone-name> to-zone <zone-name> policy <policy-name> then permit application-services idp-policy <idp-policy-name> 命令激活 IDP 策略。

• 当 IDP 策略在统一安全策略中可用时，除非定义了显式源、目标或应用程序（传统策略），否则所有 IDP 匹配都将在统一策略中处理。

• 您还可以在 IDP 中另外配置匹配条件，以实现额外的检测粒度。

• 统一策略不需要配置源地址或目标地址、源地址和目标地址（源和目标除外）、从区域到区域或应用程序，因为匹配发生在安全策略本身中。

• 第 7 层应用可能会在会话生存期内发生更改，并且此应用更改可能会导致会话的 IDP 服务被禁用。

• 初始安全策略匹配可能会导致单个或多个策略匹配。作为会话兴趣检查的一部分，如果任何匹配的规则中存在 IDP 策略，则将启用 IDP。

如果配置了传统安全策略（具有 5 元组匹配条件或配置为无的动态应用程序）和统一策略（具有 6 元组匹配条件），则传统安全策略会先匹配流量，然后再匹配统一策略。

将动态应用程序作为匹配条件之一配置统一策略时，该配置消除了 IDP 策略配置中涉及的其他步骤。所有 IDP 策略配置都在统一的安全策略内进行处理，简化了配置 IDP 策略以检测给定会话的任何攻击或入侵的任务。

安全设备配置统一策略后，您可以配置多个 IDP 策略，并将其中一个策略设置为默认 IDP 策略

如果为一个会话配置了多个 IDP 策略，并且当发生策略冲突时，设备将为该会话应用默认 IDP 策略，从而解决任何策略冲突。

注意：

如果在统一安全策略中配置了两个或多个 IDP 策略，则必须配置默认 IDP 策略。

要将 IDP 策略配置为默认策略，请使用命令 set security idp default-policy policy-name 。

在识别动态应用之前进行的初始安全策略查找阶段可能会导致多个潜在的策略匹配。如果至少一个匹配的安全策略配置了 IDP 策略，则在会话上启用 IDP。

如果潜在策略列表中仅配置了一个 IDP 策略，则该 IDP 策略将应用于会话。

如果在潜在策略列表中为某个会话配置了多个 IDP 策略，则设备会应用配置为默认 IDP 策略的 IDP 策略。

识别会话的动态应用程序后，如果最终匹配策略配置的 IDP 策略与默认 IDP 策略不同，则会执行策略重新查找，并应用为最终匹配策略配置的 IDP 策略。

如果最终匹配的安全策略具有在初始安全策略查找期间配置的相同 IDP 策略，则该 IDP 策略将应用于会话。

如果最终匹配的安全策略未配置 IDP 策略，则禁用会话的 IDP 处理。

本主题详细介绍了统一策略的 IDP 策略选择。

• 使用单个 IDP 策略选择 IDP 策略
• 具有多个 IDP 策略的 IDP 策略选择

要使传输流量通过 IDP 检查，请配置安全策略并在要检查的所有流量上启用 IDP 应用程序服务。

此示例说明如何配置安全策略，以便首次在设备上的流量上启用 IDP 服务。

不推荐对所有 SRX 系列防火墙规则 set security idp active-policy 使用一个活动 IDP 策略名称的传统策略样式。

相反，传统策略的配置样式遵循与统一策略相同的方法，即引用安全策略中的 IDP 策略。这是使用 set security policies from-zone <zone-name> to-zone <zone-name> policy <policy-name> then permit application-services idp-policy idp-policy-name 命令实现的。

此示例说明如何配置两个安全策略，以便在 SRX 系列防火墙上双向流动的所有 HTTP 和 HTTPS 流量上启用 IDP 服务。这种类型的配置可用于监控进出内部网络安全区域的流量，作为机密通信的附加安全措施。

注意：

在此示例中， Zone2 是内部网络的一部分。

• 目的
• 行动
• 意义