内容过滤

基于文件类型的内容过滤

以前，执行内容过滤是基于 MIME 类型、文件扩展名和协议命令阻止或允许某些类型的流量。内容过滤器根据配置的过滤器列表检查流量，从而控制跨网关的文件传输。这种基于文件类型的评估仅在早于 Junos OS 21.4R1 版的 Junos OS 版本上受支持。

从 Junos OS 21.4R1 版开始，会基于文件内容进行内容评估。基于文件类型的内容评估被弃用，相关配置被隐藏。

如果您不想迁移到增强的内容过滤功能，则可以使用旧有功能。您将被允许使用旧有配置，但所有旧式配置旋钮均已弃用和隐藏。此外，在使用传统配置选项时，还会收到系统日志和错误消息警告。

在这种评估中，内容过滤器模块在所有其他内容安全模块（Web 过滤除外）之前评估流量。因此，如果流量满足在内容过滤器中配置的标准，则内容过滤器会首先对此类流量起作用。

您可以配置以下类型的内容过滤器：

• MIME 模式过滤器 — MIME 模式用于识别 HTTP 和 MAIL 协议中的流量类型。内容过滤器使用两个 MIME 模式列表来确定要执行的操作。阻止 MIME 列表包含由内容过滤器阻止的 MIME 类型流量列表。MIME 例外列表包含的 MIME 模式不会被内容过滤器阻止，通常是阻止列表中项目的子集。请注意，例外列表的优先级高于阻止列表。如果两个列表中都显示 MIME 条目，则内容过滤器不会阻止这些 MIME 类型，因为例外列表具有优先级。因此，在将项目添加到例外列表时，您的优势是具体化。

• 阻止扩展列表 — 由于文件名在文件传输期间可用，因此使用文件扩展名是阻止或允许文件传输的一种非常实用的方法。内容过滤器列表包含要阻止的文件扩展名列表。所有协议都支持使用块扩展列表。

• 协议命令阻止和允许列表 — 不同的协议使用不同的命令在服务器和客户端之间进行通信。通过阻止或允许某些命令，可以在协议命令级别上控制流量。

  阻止和允许命令列表旨在组合使用，允许列表用作阻止列表的例外列表。

  如果协议命令同时出现在允许列表和阻止列表中，则命令是允许的。

  从 Junos OS 15.1X49-D100 版开始，内容安全功能的 Web 过滤和内容过滤安全功能支持 HTTP、FTP、SMTP、POP3、IMAP 协议的 IPv6 直通流量。

由于并非所有有害文件或组件都可以由 MIME 类型或文件扩展名控制，因此您也可以使用内容过滤器模块来阻止 ActiveX、Java Applet 和其他类型的内容。仅 HTTP 支持以下类型的内容阻止：

• 阻止 ActiveX

• 阻止 Java 小程序

• 阻止 Cookie

• 阻止 EXE 文件

• 阻止 ZIP 文件

基于文件内容的内容过滤

之前会根据文件类型、mime 类型、内容类型和协议命令执行内容过滤。使用 MIME 类型、协议命令过滤器或文件扩展名过滤器进行的文件检测并不总是可靠。识别文件类型的最简单方法是使用文件扩展名，但它不是正版的，因为任何类型的文件都可以获得任何扩展名。

从 Junos OS 21.4R1 版开始，内容安全会执行内容过滤，以确定基于文件内容而不是文件扩展名的文件类型。首先分析文件内容以准确确定文件类型。此功能是对应用程序识别（应用程序 ID）的补充，允许您配置防火墙以识别和控制对 Web（HTTP 和 HTTPS） 流量的访问，并保护您的网络免遭攻击。当应用程序 ID 确认最终应用程序匹配时，将考虑将匹配的内容安全策略用于内容过滤。

基于文件内容的内容过滤如下所示：

• 文件标识：对于每种文件类型，都定义了一些规则来检查内容并确定文件类型。内容安全进程使用文件内容，并将其与为确定文件类型所定义的规则进行匹配。

• 为流量方向定义内容过滤规则：内容安全过程从 CLI 中读取配置，解析和解释规则集和规则。您可以定义内容过滤规则并实施规则来引导流量。

  规则集和规则配置会添加到层次结构级别下 [edit security utm utm-policy <utm-policy-name> content-filtering] 。

  您可以在内容过滤器规则中配置连接重置选项。当检测到规则中列出的内容时，协议处理者会根据策略中的配置对客户端和服务器执行 TCP 连接重置。

  注意：

  不支持基于 mime 类型、内容类型和协议命令的内容过滤选项。升级到 Junos OS 21.4R1 版后，不支持以前基于文件扩展名和[edt security utm feature-profile content-filtering profile <profile-name>层次结构下的内容过滤选项[edit security utm utm-policy <utm-policy-name> content-filtering]。

• 使用为内容过滤定义的规则和规则集：可以使用以上从 [edit security utm default-configuration content-filtering 层次结构中定义的规则和规则集。这些规则和规则集允许您配置方向特定的内容过滤器和连接重置。

• 内容过滤的内容安全策略选择：应用程序 ID 确认最终应用程序匹配后，将选择定义内容过滤规则的匹配潜在内容安全策略进行处理。

  对于每个 Content Security 策略，都会创建一个包含规则集节点列表的链，在规则集下配置的所有规则都会添加到列表中，然后附加至相应的规则集节点。

  传递所有检查后，都会为用于在本地内存中保留和组织相应信息的规则集和规则分配一个唯一 ID。需要本地内存中的此存储来跟踪您做出的配置更改并同步更新。

• 验证：使用以下命令查看内容过滤系统统计信息和错误。

  • 要显示根逻辑系统内策略中的内容过滤统计信息， show security utm content-filtering statistics utm policy <utm policy name> 请使用和 show security utm content-filtering statistics root-logical-system utm-policy <utm policy name> 命令。

  • 要显示指定逻辑系统内策略中的内容过滤统计信息， show security utm content-filtering statistics logical-system <logical-system-name> utm-policy <utm policy name> 请使用命令。

如果迁移到此新功能，并且配置中存在传统选项，您将收到以下错误消息，提交将失败。

弃用的功能不能与增强型内容过滤（规则集/规则）一起使用\n“）;删除标记为弃用的配置，以继续前进（有关详细信息：显示 security utm）\n“）

如果您不想迁移到增强的内容过滤功能，则可以使用旧有的内容过滤功能。旧有配置选项将弃用并隐藏。使用已弃用的传统选项时，您将收到以下错误消息。

ERRMSG（“配置 \'%s\' 已弃用”、“安全 utm utm 策略<> content-过滤 http-profile”）

HTTP 支持

HTTP 协议支持所有内容过滤功能。使用 HTTP 时，内容过滤器保留在网关中，检查 HTTP 客户端和服务器之间的每个请求和响应。

如果由于内容过滤而丢弃 HTTP 请求，客户端将收到如下响应：

因此，消息可能出现如下：

FTP 支持

FTP 协议不支持所有内容过滤功能。它仅支持以下内容：阻止扩展列表和协议命令阻止列表。

当内容过滤阻止 FTP 请求时，将通过控制通道发送以下响应：

因此，消息可能出现如下：

电子邮件支持

电子邮件协议（SMTP、IMAP、POP3）对以下功能的内容过滤支持有限：阻止扩展列表、协议命令阻止列表和 MIME 模式过滤。出于以下原因，电子邮件协议支持有限：

• 内容过滤器仅扫描一个级别的电子邮件标头。因此，不会扫描递归电子邮件标头和加密的附件。

• 如果整封电子邮件采用 MIME 编码，则内容过滤器只能扫描 MIME 类型。

• 如果电子邮件的任何部分因内容过滤而被阻止，原始电子邮件将被丢弃，代之以文本文件，并解释电子邮件被阻止的原因。

从 Junos OS 19.4R1 版开始，防病毒和内容过滤功能支持隐式和显式 SMTPS、IMAPS 和 POP3S 协议，并且仅支持显式被动模式 FTPS。

隐式模式 — 使用安全通道连接到 SSL/TLS 加密端口。

显式模式 — 首先连接到不安全的通道，然后通过发出 STARTTLS 命令保护通信。对于 POP3S，请使用 STLS 命令。

目的

查看内容过滤统计信息。

行动

要查看 CLI 中的内容过滤统计信息，请输入 user@host > show security utm content-filtering statistics 命令。

内容过滤 show statistics 命令显示以下信息：

要使用 J-Web 查看内容过滤统计信息：

1. 选择 清除内容过滤统计信息监控>安全性>UTM>内容过滤监控>安全性>UTM>内容过滤。

   以下统计信息可在右侧面板中查看。

2. 您可以单击 清除内容过滤统计数据 以清除当前所有可查看的统计信息并开始收集新统计信息。