IDP 传感器配置

传感器配置选项用于：

• 在接近 IDP 会话容量和内存限制时记录运行条件。

• 当超出限制时，分析 IDP 和应用识别丢弃的流量。

您可以配置可用于保存一个 TCP 或 UDP 会话的应用程序识别数据包的最大内存字节量。您还可以为应用程序识别配置全局内存使用限制。在系统达到会话的指定内存限制后，会话将禁用 AppID。但是，IDP 会继续匹配模式。匹配的应用程序将保存到缓存中，以便下一个会话可以使用它。这可以保护系统免受攻击者试图通过故意发送大型客户端到服务器数据包来绕过 AppID。

虽然无法使用 IDP 签名数据库创建应用程序签名，但可以配置以下传感器设置来限制运行应用程序识别的会话数，并限制应用程序识别的内存使用情况：

• max-tcp-session-packet-memory—要为 IDP AppID 服务配置内存和会话限制，请运行 set security idp sensor-configuration application-identification max-tcp-session-packet-memory 5000 命令。

• memory-limit-percent- 要为系统中可用于 IDP 分配的数据平面设置内存限制百分比，请运行命令 set security idp sensor-configuration global memory-limit-percent 。支持的百分比值为 10 到 90。

• drop-if-no-policy-loaded— 如果尚未加载 IDP 策略，则在启动时，IDP 默认忽略流量。该 drop-if-no-policy-loaded 选项会更改此行为，以便在加载 IDP 策略之前丢弃所有会话。

  命令输出的 show security idp counters flow 以下计数器用于分析由于该 drop-if-no-policy-loaded 选项而丢弃的流量：

• drop-on-failover- 默认情况下，IDP 会忽略机箱群集部署中的故障切换会话。该 drop-on-failover 选项会更改此行为，并在发生到辅助节点的故障切换时自动删除主节点上正在检查的会话。

  命令输出的 show security idp counters flow 以下计数器用于分析由于该 drop-on-failover 选项而丢弃的故障切换流量：

• drop-on-limit- 默认情况下，如果超过 IDP 会话限制或资源限制，则不会丢弃会话。在这种情况下，只有当设备的会话容量或资源耗尽时，才会丢弃 IDP 和其他会话。该 drop-on-limit 选项会更改此行为，并在超过资源限制时丢弃会话。

  命令输出的 show security idp counters flow 以下计数器会分析由于该 drop-on-limit 选项而丢弃的 IDP 流量：

  命令输出的 show security idp counters application-identification 以下计数器会分析由于该 drop-on-limit 选项而丢弃的 AppID 流量：

  以下选项用于触发有关当前运行条件的信息日志消息。设置后，无论是否设置该 drop-on-limit 选项，都会触发日志消息。

• max-sessions-offset- 该 max-sessions-offset 选项设置最大 IDP 会话限制的偏移量。当 IDP 会话数超过最大会话限制时，将记录一条警告，说明存在可能丢弃 IDP 会话的情况。当 IDP 会话数低于最大 IDP 会话限制减去偏移量值时，将记录一条消息，表明情况已恢复正常。

• min-objcache-limit-lt- 该 min-objcache-limit-lt 选项为可用高速缓存设置较低的阈值。阈值表示为可用 IDP 高速缓存的百分比。如果可用缓存内存降至较低阈值级别以下，则会记录一条消息，指出存在由于内存分配失败而可能丢弃 IDP 会话的情况。例如，以下消息显示 IDP 缓存内存已降至下限阈值以下，并且已丢弃多个会话：

• min-objcache-limit-ut- 该 min-objcache-limit-ut 选项设置可用高速缓存的上限阈值。阈值表示为可用 IDP 高速缓存的百分比。如果可用 IDP 缓存内存返回到上限阈值级别，则会记录一条消息，指出可用缓存内存已恢复正常。例如，以下消息显示可用的 IDP 缓存已增加到上限阈值以上，并且运行正常：

  仅当可用内存低于下限阈值，然后高于上限阈值时，才会触发该消息。内存波动超过下限阈值不会触发此消息。

在 IDP 智能绕过默认配置中，无论 CPU 利用率如何，IDP 都会尝试检查新的会话和现有会话。这可能会导致在 CPU 使用率过高的事件期间导致数据包丢失、延迟以及整个系统不稳定。为了克服不可预测的 IDP 数据包处理行为，您可以启用 IDP 智能绕过功能。此功能使您可以灵活地绕过 IDP 或在系统 CPU 利用率达到高级别时丢弃数据包，也称为“失败打开”（允许数据包）或“失败关闭”（丢弃数据包）。默认情况下，未启用 IDP 智能绕过功能。以下选项用于配置 IDP 智能绕路功能。

• idp-bypass-cpu-usage-overload— 默认情况下，IDP 可能会占用 100% 的可用 CPU，并且可能会无意中开始丢弃所有会话的数据包。要处理系统CPU使用率达到高阈值时的IDP数据包处理行为，可以开启IDP智能绕路功能。要启用 IDP 智能旁路功能，请发出 set security idp sensor-configuration flow idp-bypass-cpu-overload 命令。默认情况下，未启用 IDP 智能绕过功能。

• idp-bypass-cpu-threshold— 当 CPU 利用率达到定义的阈值时，IDP 停止检查新会话。默认阈值 CPU 利用率值为 85%。当 CPU 利用率达到阈值时，IDP 会继续绕过新会话，直到 CPU 利用率低于下限阈值。或者，如果设置 drop-on-limit，则 IDP 将丢弃新会话，直到 CPU 利用率低于下限阈值。要配置阈值，请发出 set security idp sensor-configuration flow idp-bypass-cpu-threshold 命令。您可以在 0 到 99 的范围内设置阈值。此阈值以百分比表示。

• idp-bypass-cpu-tolerance- 要配置容差值，请发出命令 set security idp sensor-configuration flow idp-bypass-cpu-tolerance 。可以在 1 到 99 的范围内设置公差值。默认公差值为 5。此公差值以百分比表示。

您可以使用以下公式计算 CPU 的上限和下限阈值：

CPU 上限阈值 = CPU 阈值 + CPU 容差值。

CPU 下限阈值 = CPU 阈值 - CPU 容差值。

当系统CPU利用率超过阈值时，IDP将停止检测新会话，但仍会继续检测现有会话。在此状态下，如果设置，则 drop-on-limit IDP 开始丢弃新会话。将触发日志消息以指示新会话已丢弃。例如，以下消息指出 IDP CPU 利用率已超过阈值，并且 IDP 可能会丢弃新会话：

当系统CPU利用率超过上限阈值时，IDP将停止检查现有会话和新会话的数据包。在此状态下，任何数据包都无法通过 IDP 检测。如果 drop-on-limit 设置，IDP 将丢弃所有会话。将触发日志消息以指示所有会话均已丢弃。例如，以下消息指出 IDP CPU 利用率已超过上限阈值，并且 IDP 停止检查现有会话和新会话的数据包：

当系统CPU利用率低于下限阈值时，IDP开始检查新会话并返回正常模式。IDP 不会检查现有的已丢弃会话。系统会触发日志消息，指示 IDP 开始检查新会话并返回正常模式。例如，以下消息指出 IDP CPU 利用率低于下限阈值，并且 IDP 将返回正常模式：

此示例说明了如何通过配置 IDP 传感器配置选项来改进日志记录和流量分析。此外，您可以使用这些选项在接近 IDP 会话容量和内存限制时记录运行条件，并在超过这些限制时分析 IDP 和应用程序标识丢弃的流量。