Überwachen von Sicherheitsflusssitzungen

Mit Junos OS können Sie die Überwachung von Flow-Sitzungen mithilfe von Befehlen für den Betriebsmodus konfigurieren und starten. So können Sie debuggen, ohne Ihre laufende Konfiguration bestätigen oder ändern zu müssen. Dieser Ansatz kann besonders nützlich sein, wenn Sie den Status Ihres Geräts nicht ändern möchten, indem Sie die Konfiguration zum Aktivieren von Ablaufverfolgungsoptionen festlegen.

Um die Überwachung von Flow-Sitzungen zu konfigurieren, müssen Sie Flow-Filter definieren, die Ausgabedatei angeben und die Überwachung starten. Die Überwachung von Flow-Sitzungen wird erst gestartet, wenn ein Filter (mindestens einer) und eine Ausgabedatei angegeben sind. Außerdem löst das Definieren der Filter selbst keine Überwachung aus. Sie müssen die monitor security flow start Befehle and monitor security flow stop explizit verwenden, um die Überwachung zu aktivieren bzw. zu deaktivieren.

• Definieren von Flow-Filtern: Definieren Sie die Flow-Sitzungen, die Sie überwachen möchten, mithilfe von Kombinationen von Übereinstimmungskriterien, z. B. Quelladresse, Zieladresse, Quellport, Zielport, IP-Protokollnummer, Name der ein- oder ausgehenden Schnittstelle und der Name des logischen Systems. Sie können Filter mit dem clear monitor security flow filter Befehl löschen.

  Anmerkung:

  Im Gegensatz zu Filtern, die im Konfigurationsmodus definiert sind, werden Filter, die mit Befehlen für den Betriebsmodus definiert wurden, gelöscht, wenn Sie Ihr System neu starten.

• Geben Sie die Ausgabedatei an: Erstellen Sie eine Ausgabedatei, in der die Informationen zur Überwachung des Sicherheitsdatenflusses gespeichert werden sollen. Diese Datei wird im /var/log/ Verzeichnis gespeichert. Sie können den Inhalt dieser Datei anzeigen, indem Sie den show log filename Befehl verwenden. Verwenden Sie den Befehl, um die monitor security flow file Eigenschaften der Ausgabedatei anzugeben, z. B. die maximale Größe, die maximale Anzahl und den Typ.

• Überwachung starten: Verwenden Sie den Befehl, um die monitor security flow start Überwachung zu starten. Sobald die Überwachung startet, wird der Datenverkehr, der den Filtern entspricht, in der angegebenen Ausgabedatei im /var/log/ Verzeichnis gespeichert. Das basic-datapath-Flag ist das Standardflag und wird aktiviert, wenn die Überwachung beginnt.

  Verwenden Sie den Befehl, um die monitor security flow stop Überwachung zu beenden. Sobald die Überwachung beendet ist, wird das Flag basic-datapath gelöscht.

• Monitoring-Flow-Informationen anzeigen: Verwenden Sie den show monitoring security flow Befehl, um Details zum Monitoring-Vorgang anzuzeigen.

Sie können Informationen zu den auf Ihrem Gerät aktiven Sitzungen und Paketflüssen abrufen, einschließlich detaillierter Informationen zu bestimmten Sitzungen. (Die Firewall der SRX-Serie zeigt auch Informationen zu fehlgeschlagenen Sitzungen an.) Sie können diese Informationen anzeigen, um Aktivitäten zu beobachten und zu Debugging-Zwecken. Sie können z. B. den Befehl show security flow session verwenden:

• So zeigen Sie eine Liste der eingehenden und ausgehenden IP-Datenströme, einschließlich der Dienste an

• So zeigen Sie die Sicherheitsattribute an, die einem Datenfluss zugeordnet sind, z. B. die Richtlinien, die für Datenverkehr gelten, der zu diesem Datenfluss gehört

• So zeigen Sie den Sitzungstimeoutwert an, wann die Sitzung aktiv wurde, wie lange sie aktiv war und ob in der Sitzung aktiver Datenverkehr vorhanden ist

Sitzungsinformationen können auch protokolliert werden, wenn eine entsprechende Richtlinienkonfiguration die Protokollierungsoption enthält. Für das Flow-Sitzungsprotokoll auf allen Firewalls der SRX-Serie wurde die Richtlinienkonfiguration verbessert. Informationen über den Schnittstellenparameter für eingehende Pakete im Sitzungsprotokoll für session-init und session-close sowie für den Fall, dass eine Sitzung von einer Richtlinie oder von der Anwendungsfirewall verweigert wird, werden bereitgestellt, um die Einhaltung der Common Criteria (CC) Medium Robustness Protection Profiles (MRPP) zu gewährleisten:

Richtlinienkonfiguration – So konfigurieren Sie die Richtlinie für die Sitzung, für die Sie Übereinstimmungen als Protokoll protokollieren möchten, oder session-close um Sitzungen im Syslog session-init aufzuzeichnen:

• set security policies from-zone untrustZone to-zone trust zone policy policy13 match source-address extHost1

• set security policies from-zone untrustZone to-zone trustZone policy policy13 match application junos-ping

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then permit

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-init

• set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-close

Example : Die Flow-Übereinstimmungsrichtlinie13 zeichnet die folgenden Informationen im Protokoll auf:

<14>1 2010-09-30T14:55:04.323+08:00 mrpp-srx550-dut01 RT_FLOW - RT_FLOW_SESSION_CREATE [junos@2626.192.0.2.1.40 source-address="192.0.2.1" source-port="1" destination-address="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address="192.0.2.1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port="46384" src-nat-rule-name="Keine" dst-nat-rule-name="Keine" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name="untrustZone" session-id-32="41" packet-incoming-interface="ge-0/0/1.0"] Sitzung erstellt 192.0.2.1/1-->198.51.100.12/46384 icmp 192.0.2.1/1-->198.51.100.12/46384 Keine Keine 1 policy1 trustZone untrustZone 41 ge-0/0/1.0

<14>1 2010-09-30T14:55:07.188+08:00 mrpp-srx550-dut01 RT_FLOW - RT_FLOW_SESSION_CLOSE [junos@2626.192.0.2.1.40 reason="Antwort erhalten" source-address="192.0.2.1" source-port="1" destination-address="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address="192.0.2.1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port="46384" src-nat-rule-name="Keine" dst-nat-rule-name="Keine" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name="untrustZone" session-id-32="41" packets-from-client="1" bytes-from-client="84" packets-from-server="1" bytes-from-server="84" elapsed-time="0" packet-incoming-interface="ge-0/0/1.0"] Sitzung geschlossen Antwort erhalten: 192.0.2.1/1-->198.51.100.12/46384 ICMP 192.0.2.1/1-->198.51.100.12/46384 Keine Keine 1 policy1 trustZone untrustZone 41 1(84) 1(84) 0 ge-0/0/1.0

• Zweck
• Aktion
• Bedeutung

• Zweck
• Aktion

• Zweck
• Aktion

• Zweck
• Aktion

• Zweck
• Aktion

Sitzungsprotokolleinträge sind an die Richtlinienkonfiguration gebunden. Jedes Hauptsitzungsereignis – Erstellen, Schließen und Ablehnen – erstellt einen Protokolleintrag, wenn die steuernde Richtlinie die Protokollierung aktiviert hat.

Es werden verschiedene Felder für Sitzungserstellungs-, Sitzungsschließungs- und Sitzungsverweigerungsereignisse protokolliert, wie in Tabelle 1, Tabelle 2 und Tabelle 3 dargestellt. Der gleiche Feldname unter jedem Typ gibt an, dass die gleichen Informationen protokolliert werden, aber jede Tabelle ist eine vollständige Liste aller Daten, die für diesen Typ von Sitzungsprotokoll aufgezeichnet wurden.

In der folgenden Tabelle sind die Felder definiert, die in Sitzungsprotokolleinträgen angezeigt werden.

Ab Junos OS Version 12.1X47-D20 und Junos OS Version 17.3R1 enthält das Systemprotokoll Informationen zum NAT-Regeltyp. In der NAT-Regelsitzung werden zwei neue Felder vom Typ "src-nat-rule-type" und "dst-nat-rule-type" eingeführt.