安全性策略规则概述

安全性策略规则定义了流量在通过网络时如何进行检查、允许、拒绝或重定向。每个规则均指定匹配条件，例如源区域和目标区域、地址、应用程序和用户，以及当流量与这些条件匹配时系统会采取的操作。

安全性策略将安全策略规则应用于上下文中的网络流量，例如从区域到到区域。网络流量通过匹配安全策略规则进行分类。每个安全策略都与以下安全策略规则特征相关联：

表 1：安全性策略规则特征
背景	元素
原文	IP 地址或子网通过目录服务（如 Active Directory）的用户或组标识源区域、VLAN 或接口
最终目标	IP 地址、FQDN 或子网目标区域或接口 URL 类别或特定 URL
应用和服务	服务定义，例如 HTTPS、DNS、自定义端口应用和应用组，如社交媒体应用
行动和处理	允许、拒绝、丢弃或重置在允许的情况下解密并检查 SSL 和 TLS 流量应用 IPS 和 IDS、反恶意软件、沙盒或 DLP 配置文件具有指定日志级别和日志目标的日志流量
时间和日程	仅在特定时间或日期适用的策略
安全性态势和 QoS	某些应用的带宽限制或 QoS 标记会话限制或连接速率限制

这些特征称为匹配标准。每个策略还有与之关联的操作：允许、拒绝、拒绝、计数、记录和 VPN 隧道。配置安全策略、源地址、目标地址和应用名称时，必须指定匹配条件参数。

安全性策略规则类型

在 Juniper Security Director Cloud 中，规则分为两种类型：基于区域的规则和全局规则。

基于区域的规则	全局规则
基于区域的规则适用于在特定源区域和目标区域之间流动的流量。要求同时定义源区域和目标区域。用于区域内和区域间的流量控制。提供精细化的分段和实施。常见于分支机构到现在的中心流量、信任到不信任过滤以及东西向分段。	无论区域上下文如何，全局规则都适用于流量。不需要特定于区域的匹配。评估为包罗万象或总体规则。对于实施组织范围内的安全策略很有用。通常用于全局阻止已知恶意应用、应用基准安全控制、定义默认拒绝或允许行为。

基于区域的规则

全局规则

基于区域的规则适用于在特定源区域和目标区域之间流动的流量。

要求同时定义源区域和目标区域。
用于区域内和区域间的流量控制。
提供精细化的分段和实施。
常见于分支机构到现在的中心流量、信任到不信任过滤以及东西向分段。

无论区域上下文如何，全局规则都适用于流量。

不需要特定于区域的匹配。
评估为包罗万象或总体规则。
对于实施组织范围内的安全策略很有用。
通常用于全局阻止已知恶意应用、应用基准安全控制、定义默认拒绝或允许行为。

安全性策略规则工作流程

此工作流程说明如何创建安全策略规则。

类别	任务	更多信息
选择安全策略规则类型	根据所需的实施范围，确定安全策略规则是基于区域的规则还是全局规则。	添加和管理安全性策略规则
配置源区域	指定流量源自的区域。源区域定义策略的应用位置。
配置目标区域	指定流量定向的区域。目标区域有助于确定流量和策略评估。
定义源地址和目标地址	选择地址对象、地址组或任何用于标识流量端点的预定义地址。
指定应用和服务	配置特定的应用或应用组，以根据应用身份匹配和控制流量。指定规则在评估流量时应匹配的服务、端口或协议。
选择规则操作	配置流量与规则匹配时要执行的操作，如允许、拒绝、拒绝、重定向或隧道。
附加安全配置文件	关联 IPS、内容安全性、SSL 代理或其他安全配置文件，以检查和保护允许的流量。
配置可选计划	应用计划以仅在指定的日期或时间段内激活规则。
配置日志记录选项	启用会话启动、会话关闭或其他日志记录设置，以提高可见性和审计能力。
在策略中放置规则	在规则库中适当安排规则，因为系统会按顺序评估安全策略。	重新排序安全性策略规则
查看规则配置	验证区域、地址、应用、服务、操作和安全配置文件配置是否正确。	—

安全性策略规则字段说明

您可以查看和管理与 SRX 系列防火墙关联的安全策略规则。要访问此页面，请单击安全性 > 安全性策略，然后单击安全策略规则。

您可以过滤安全策略规则，以便更好地了解要配置的内容。您可以按字段（如“名称”、“操作”、“源区域”、“目标区域”、“应用程序”、“服务”）和其他安全策略字段过滤安全策略规则。这些过滤器可帮助您搜索、查看和审核大型策略规则库。

表 2：“安全性策略规则”页面上的字段
字段	描述
序列	策略的订单号。安全策略查找将按照配置策略的顺序执行。将使用与流量匹配的第一个策略。
命中次数	基于流量使用策略的次数。命中计数是自上次重置以来的命中次数。例如，当您使用大型策略集并希望验证哪些规则经常使用，哪些规则很少使用时，命中计数非常有用。如果发现某些规则未被使用，可以验证这些规则是否没有受到其他策略的影子。这有助于您管理设备，而无需手动生成流量。
姓名	安全策略规则的名称。
来源	安全策略规则应用到的源端点。源端点由区域、地址和身份组成。
目的地	应用安全策略规则的目标端点。目标端点可以是区域、地址和 URL 类别。
应用/服务	与安全策略关联的应用和服务。
行动	适用于符合指定条件的所有流量的操作。允许 — 设备允许使用应用于策略的安全身份验证类型的流量。拒绝 — 设备以静默方式丢弃会话的所有数据包，并且不发送任何活动控制消息，如 TCP 重置或 ICMP 无法访问。拒绝 — 如果协议为 TCP，设备将发送 TCP 重置消息。如果协议是 UDP、ICMP 或任何其他 IP 协议，设备将发送 ICMP 重置。在处理可信资源时，此选项很有用，这样应用程序就不会浪费时间等待超时，而是获取活动消息。重定向 — 当 HTTP 请求被阻止时，设备会将流量重定向到配置的重定向 URL，或显示自定义消息。隧道 — 设备允许使用应用于策略的 VPN 隧道选项类型进行流量传输。
安全性订阅	应用于安全策略规则的安全订阅配置文件。 IPS — 用于监控和防止入侵的 IPS 配置文件。内容安全性 - 内容安全性配置文件，用于防范多种威胁类型（例如垃圾邮件和恶意软件），并控制对未经批准的网站和内容的访问。要选择瞻博网络下一代内容安全性配置文件，您的设备需要安装 Junos OS 版本 23.3R1 或更高版本。解密配置文件 — 用于对客户端与服务器之间的 SSL 连接进行加密和解密以获取精细应用信息的解密配置文件。此配置文件使您能够应用高级安全订阅保护并检测威胁。基于流的 AV — 基于流的防病毒配置文件，用于实时扫描有效负载内容中的数据包以查找威胁，并在检测到威胁时阻止该内容。反恶意软件配置文件 — 反恶意软件配置文件，用于定义要发送到 ATP 云进行检查的文件以及检测到恶意软件时要执行的操作。 SecIntel 配置文件组 - 用于添加 SecIntel 配置文件（例如 C&C、DNS 和受感染主机）的 SecIntel 配置文件组。
选项	适用于安全策略规则的调度、日志记录和规则选项。
部署状态	安全策略规则的部署状态。

本页内容

安全性策略规则概述

安全性策略规则类型

安全性策略规则工作流程

安全性策略规则字段说明

相关文档