URL-Filterung

Nützt

Die DNS-Filterung leitet DNS-Anfragen für nicht zulässige Website-Domänen an Sinkhole-Server weiter und verhindert, dass jeder, der das System betreibt, die Liste der unzulässigen Domänen sieht. Dies liegt daran, dass die unzulässigen Domainnamen in einem verschlüsselten Format vorliegen.

Unzulässige Domänenfilter-Datenbankdatei

Für das Filtern von DNS-Anforderungen ist eine Datenbank .txt Datei für Filter für unzulässige Domänen erforderlich, die jeden unzulässigen Domänennamen, die Aktion, die für eine DNS-Anforderung für die unzulässige Domäne ausgeführt werden soll, und die IP-Adresse oder den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) eines DNS-Sinkholeservers identifiziert.

DNS-Filterprofil

Sie konfigurieren ein DNS-Filterprofil, um anzugeben, welche Datenbankdatei für unzulässige Domänenfilter verwendet werden soll. Sie können auch die Schnittstellen angeben, auf denen die DNS-Anforderungsfilterung ausgeführt wird, die Filterung auf Anforderungen für bestimmte DNS-Server beschränken und die Filterung auf Anforderungen von bestimmten Quell-IP-Adresspräfixen beschränken.

Überblick

Ab Junos OS Version 21.1R1 können Sie benutzerdefinierte Domänen-Feeds pro Kunde oder IP-Untergruppe konfigurieren. Sie können:

• Konfigurieren Sie Domänennamen und Aktionen für mehrere Mandanten, sodass Domänen-Feeds auf Mandantenbasis verwaltet werden können.
• Konfigurieren Sie die hierarchische Verwaltung von Domain-Feeds pro Profil, pro dns-filter-template oder pro dns-filter-term.
• Ausgenommen sind Domänen-Feeds auf IP-, Subnetz- oder CIDR-Ebene.

Um die mutiltenant-Unterstützung für die DNS-Filterung zu implementieren, wird das Erstellen der Domänenfilter-Datenbankdatei auf Vorlagen- oder Profilebene deaktiviert. Sie müssen keine Datei auf Vorlagen- oder Profilebene angeben. Ab Junos OS 21.1R1 ist standardmäßig eine globale Datei mit einem festen Namen, nsf_multi_tenant_dn_custom_file.txt (Nur-Text-Format) oder dnsf_multi_tenant_dn_custom_file_hashed.txt (verschlüsselte Datei) verfügbar.

Jeder Eintrag in der Datenbankdatei enthält die folgenden Elemente:

hashed-domain-name, IPv4-Sinkhole-Adresse, IPv6-Sinkhole-Adresse, Sinkhole-FQDN, ID, Aktion, Feed-Name.

Der Datei-Hash wird berechnet und an die Liste der Domänennameneinträge in der Datei angehängt. Der Datei-Hash wird mit einem globalen Schlüssel und einer globalen Methode berechnet, die mit dem Datei-Hash validiert wird, der mit dem in der [edit services web-filter] Hierarchie konfigurierten Hash-Schlüssel berechnet wird. Die Dateivalidierung ist nur dann erfolgreich, wenn der berechnete Datei-Hash mit dem in der Datei vorhandenen Datei-Hash übereinstimmt.

Jeder Eintrag in nsf_multi_tenant_dn_custom_file.txt Datei besteht aus einem zusätzlichen Feld namens feed-name. Dieser Feedname wird als Indikator verwendet, um eine Gruppe von Domänennamen zu gruppieren und sie einem Mandanten (Profil, Vorlage, Begriff oder IP-Adresse) zuzuordnen.

Wenn die DNS-Pakete von einer bestimmten SRC-IP-Adresse empfangen werden, wird der entsprechende Feed-Name abgerufen, und die Suche erfolgt anhand der Domänennamen, die dem Feed-Namen zugeordnet sind, der dem Begriff zugeordnet ist. Wenn der Feedname für diese IP-Adresse nicht bereitgestellt wird, wird auf den auf Vorlagenebene konfigurierten Feednamen zurückgegriffen, und die Suche erfolgt anhand der Domänennamen, die dem der Vorlage zugeordneten Feednamen zugeordnet sind. Wenn der Feedname in der Vorlage nicht konfiguriert ist, erfolgt die Suche anhand der Domänennamen, die dem Feednamen zugeordnet sind, der dem Profil zugeordnet ist.

Nützt

• Vereinfacht die Bereitstellung und verbessert die Anti-Threat-Funktionen bei Integration in die MX-Router.

• Bietet Schutz vor "Zero-Day"-Bedrohungen durch eine Kombination von Tools, um eine robuste Abdeckung gegen ausgeklügelte, verschleierte Bedrohungen zu bieten.

• Prüft ein- und ausgehenden Datenverkehr mit erweiterten Richtlinien, die es Benutzern ermöglichen, Malware zu stoppen, infizierte Systeme unter Quarantäne zu stellen, Datenexfiltration zu verhindern und laterale Bewegungen zu unterbrechen.

• Unterstützt Hochverfügbarkeit für einen unterbrechungsfreien Service.

• Bietet Skalierbarkeit für steigende Lasten, die mehr Rechenressourcen, eine erhöhte Netzwerkbandbreite, um mehr Kundeneinsendungen zu empfangen, und einen großen Speicher für Malware erfordern.

• Bietet umfassende Prüfungen, umsetzbare Berichte und Inline-Malware-Blockierung.

• Bietet die Möglichkeit, Mandanteninformationen mithilfe von VRF-Informationen in Protokollen bereitzustellen

Informationen zu Policy Enforcer und Juniper ATP-Cloud

Juniper Networks Security Director umfasst eine Funktion namens Policy Enforcer (PE), mit der die IT aus Bedrohungsbedingungen lernen, die Richtlinienerstellung automatisieren und die Durchsetzung dynamisch auf Juniper Geräten im Netzwerk bereitstellen kann.

Abbildung 4 veranschaulicht den Datenverkehrsfluss zwischen der PE, der Juniper ATP-Cloud und dem MX-Router, der als Firewall fungiert.

• Policy Enforcer (PE) lernt aus Bedrohungsbedingungen, automatisiert die Richtlinienerstellung und setzt die Durchsetzung auf Juniper Geräten im Netzwerk ein.

• Juniper Advanced Threat Prevention (Juniper ATP Cloud) schützt alle Hosts in Ihrem Netzwerk durch den Einsatz einer Cloud-basierten Bedrohungserkennungssoftware mit einem Firewall-System der nächsten Generation.

• Der MX-Router ruft die Bedrohungserkennungs-Feeds vom Policy Enforcer (PE) ab und implementiert diese Richtlinien, um kompromittierte Hosts unter Quarantäne zu stellen. Es besteht aus den folgenden wichtigen Komponenten:

  • Security Intelligence-Prozess

  • Webfilterungsprozess

  • Firewall-Prozess

Abbildung 4: Systemarchitektur

Um die Funktionalität der Systemarchitektur zu verstehen, betrachten wir das folgende Beispiel: Wenn ein Benutzer eine Datei aus dem Internet herunterlädt und diese Datei eine MX-Firewall passiert, kann die Datei zur Malware-Prüfung an die Juniper ATP-Cloud-Cloud gesendet werden (abhängig von Ihren Konfigurationseinstellungen). Wenn festgestellt wird, dass es sich bei der Datei um Malware handelt, identifiziert PE die IP-Adresse und MAC-Adresse des Hosts, der die Datei heruntergeladen hat. Basierend auf einer benutzerdefinierten Richtlinie kann dieser Host in ein VLAN unter Quarantäne gestellt oder für den Zugriff auf das Internet gesperrt werden.

Router der MX-Serie können in die Juniper ATP Cloud integriert werden, um zu verhindern, dass kompromittierte Hosts (Botnets) mit Command-and-Control-Servern kommunizieren:

• Ab Junos OS Version 18.4R1 mit den Adaptive Services als Inline-Sicherheitsfunktion

• Ab Junos OS Version 19.3R2 mit den Services der nächsten Generation als Inline-Sicherheitsfunktion

Router der MX-Serie können C&C und Geo-IP von einer der folgenden Methoden herunterladen:

• Indirekte Methode: Der Policy Enforcer fungiert wie ein Feed-Proxy für alle Geräte, die sich in einer definierten Umgebung befinden. Diese Methode ist vorteilhaft, da verhindert wird, dass einzelne Geräte auf Juniper ATP-Cloud-Services im Internet zugreifen. Dadurch wird die Anfälligkeit der Geräte, die sich mit dem Internet verbinden, verringert.

• Direkte Methode-Router der MX-Serie registrieren sich direkt bei der Juniper ATP-Cloud, um die C&C- und Geo-IP-Feeds herunterzuladen.

Security Intelligence (SecIntel) – Überblick

Der Security Intelligence-Prozess (IPFD) ist für das Herunterladen der Security Intelligence-Feeds und das Parsen vom Feed-Connector oder ATP-Cloud-Cloud-Feed-Server verantwortlich. Der IPFD-Prozess auf den MX-Plattformen ruft die IPv4/IPv6-Feeds für Command and Control vom Policy Enforcer ab. C&C-Feeds sind im Wesentlichen eine Liste von Servern, die als Command-and-Control-Server für Botnets bekannt sind. Die Liste enthält auch Server, die bekannte Quellen für Malware-Downloads sind. Die so abgerufenen Informationen werden in einer Datei (urlf_si_cc_db.txt) gespeichert, die im Verzeichnis /var/db/url-filterd erstellt wird.

Das Dateiformat der unzulässigen IP-Adressen, die von IPFD an den Webfilterungsprozess gesendet werden, lautet wie folgt:

IPv4 address | IPv6 address, threat-level.

Bei handelt threat-level es sich um eine ganze Zahl zwischen 1 und 10, die den Bedrohungsgrad von Dateien angibt, die auf Malware und infizierte Hosts gescannt werden. Hier steht 1 für die niedrigste Bedrohungsstufe und 10 für die höchste Bedrohungsstufe.

Beispiel: 178.10.19.20, 4

Hier gibt 178.10.19.20 die unzulässige IP und 4 die threat-levelan.

Die C&C-Feed-Datenbank wird mit der Backup-Routing-Engine synchronisiert. IPFD gibt die Informationen dann an den Webfilterungsprozess weiter (URL-gefiltert). Der Webfilterungsprozess liest den Dateiinhalt und konfiguriert die Filter entsprechend.

Webfilterung (URL-gefiltert) – Übersicht

Der Webfilterungsprozess liest den von der IPFD abgerufenen Dateiinhalt und konfiguriert die Filter der Packet Forwarding Engine entsprechend. Der Webfilterungsprozess erzwingt die Befehls- und Steuerungsfeeds, indem er die Filter in der Packet Forwarding Engine so programmiert, dass sie die Pakete blockieren, die für die blockierten IP-Adressen bestimmt sind, und Protokolle für die Meldung des Vorfalls generieren.

Abbildung 5 zeigt die Art und Weise, wie C&C-Feeds von der IPFD abgerufen und dann vom Webfilterungsprozess verarbeitet werden.

Abbildung 5: Webfilterung

Das Webfilterprofil kann mehr als eine Vorlage enthalten. Jede Vorlage besteht aus einem Satz konfigurierter logischer Schnittstellen für die Webfilterung und einem oder mehreren Begriffen. Ein Begriff ist eine Reihe von Übereinstimmungskriterien mit Aktionen, die ausgeführt werden müssen, wenn die Übereinstimmungskriterien erfüllt sind. Um das Webfilterprofil für die Verwendung dynamisch abgerufener C&C-Feeds zu konfigurieren, können Sie den security-intelligence-policy Befehl unter der [edit services web-filter profile profile-name Hierarchieebene konfigurieren. Sie müssen keinen Begriff für ein basiertes security-intelligence-policy Webfilterprofil konfigurieren.

Sie können die folgenden Bedrohungsstufenaktionen für das Webfilterprofil auf Hierarchieebene edit web-filter profile profile-name security-intelligence-policy threat-level threat-level threat-action konfigurieren:

• drop

• drop-and-log

• log

Sie können für threat-action jede threat level. Wenn die nicht für eine bestimmte threat levelkonfiguriert ist, ist der threat-action Standardwert threat-action .accept

Ab Junos OS Version 24.4R1 werden bei Bedrohungen, die mit log Aktion konfiguriert sind, die Bedrohungsstufe und die Mandanten- oder VRF-Informationen in die ausgehenden Syslogs eingebettet. Die Class-of-Service-Richtlinienzuordnungen wurden um ein neues user-attribute integer Schlüsselwort zum Speichern und Angeben der Bedrohungsstufe erweitert.

Sie können die user-attribute integer in der [editi class-of-service policy-map policy-name] Hierarchie konfigurieren.

Die Richtlinienzuordnung wird in jeder Konfiguration der Bedrohungsstufe referenziert, um das neue Benutzerattribut<> dem dfw-Filterbegriff zuzuordnen, der die konfigurierte Aktion für jede Bedrohungsstufe steuert. Die Richtlinienzuordnung wird in der [edit services web-filter profile profile-name security-intelligence-policy threat level integer policy-map policy-name] Hierarchie oder [edit services web-filter profile profile-name url-filter-template template-name security-intelligence-policy threat level integer policy-map policy-name] Hierarchie verwendet, um die Bedrohungsstufe einem Benutzerattribut zuzuordnen.

Zum Beispiel

Zuordnen einer Sampling-Instanz zum FPC

Um die definierte Instanz einer bestimmten FPC, MPC oder DPC zuzuordnen, schließen Sie die sampling-instance Anweisung auf der [edit chassis fpc number] Hierarchieebene ein, wie im folgenden Beispiel gezeigt:

Konfigurieren Sie eine Samplinginstanz, und ordnen Sie die Vorlage der Samplinginstanz zu.

Um die Vorlageneigenschaften für die Inline-Datenstromüberwachung zu konfigurieren, schließen Sie die folgenden Anweisungen auf Hierarchieebene edit services flow-monitoring ein, wie im folgenden Beispiel gezeigt:

Konfigurieren Sie die Beispielinstanz, und ordnen Sie die IP-Adresse des Flow-Servers und andere Parameter zu.

So konfigurieren Sie eine Samplinginstanz und ordnen die IP-Adresse des Flow-Servers und andere Parameter zu. Fügen Sie die folgenden Anweisungen in die Hierarchie [edit forwarding-options] ein, wie im folgenden Beispiel gezeigt:

Beispiel: Konfigurieren des Webfilterprofils zum Definieren verschiedener Bedrohungsstufen

Überblick

Bei den GeoIP-Feeds handelt es sich im Wesentlichen um eine Liste von Zuordnungen von IP-Adressen zu Ländervorwahlen. Ab Junos OS 21.4R1 können Sie IP-basierte geografische Standorte auf Routern der MX-Serie konfigurieren, um die GeoIP-Feeds von Policy Enforcer abzurufen. Durch die Bereitstellung der GeoIP-Feeds können Sie das Netzwerk so aktivieren, dass Geräte nicht mit IP-Adressen kommunizieren, die zu bestimmten Ländern gehören.

Sie können den Security Intelligence Process (IPFD) auf Routern der MX-Serie so konfigurieren, dass die GeoIP-Feeds von Policy Enforcer abgerufen werden. Ähnlich wie bei bestehenden C&C-IP- oder IPv6-Feeds lädt IPFD die GeoIP-Feeds vom Policy Enforcer herunter. IPFD übersetzt den Feed in das Dateiformat, das anschließend vom Webfilterungsprozess verarbeitet wird (URL-filterd).

Ab Junos OS 22.1R1 können Sie den Security Intelligence Process (IPFD) auf Routern der MX-Serie so konfigurieren, dass die GeoIP-Feeds aus der Juniper ATP-Cloud abgerufen werden. Ähnlich wie bei bestehenden C&C-IP- oder IPv6-Feeds lädt IPFD die GeoIP-Feeds aus der Juniper ATP-Cloud herunter.

So konfigurieren Sie die GeoIP-Filterung auf Routern der MX-Serie

Die von der IPFD abgerufenen Informationen werden in einer Datei (urlf_si_geoip_db.txt) gespeichert, die am Speicherort /var/db/url-filterd erstellt wird.

Das Format der Datei, die von IPFD an den Webfilterungsprozess gesendet wird, ist wie folgt:

IPv4 address|IPv6 address,Prefix,threat-level,VRF-name,Gen-num. Gen-num ist immer 0. VRF-name bezieht sich auf einen Ländercode.

Beispiel: 178.10.19.22,12,255,US,0

IPFD und der Webfilterungsprozess unterhalten eine pconn-Verbindung für die Kommunikation über die Erstellung oder Aktualisierung von Dateien, die GeoIP-Feeds enthalten. Der Webfilterungsprozess erzwingt die GeoIP-Feeds, indem er die Filter in der PFE so programmiert, dass sie die Pakete blockieren, die für die blockierten Länder bestimmt sind. Die von liburlf bereitgestellten APIs werden verwendet, um die Dateien zu validieren und zu analysieren.

Der Webfilterungsprozess liest die Datei, die die Liste der IP-Adressen enthält, und die PFE-Filter werden mit den im Feed aufgeführten Ziel-IP-Adressen und der für das zugeordnete Land konfigurierten Aktion programmiert.

• Globaler Filter: Länder werden innerhalb eines Profils nach einer globalen Regel konfiguriert. Alle IP-Adressen für Länder, die für diese globale Regel spezifisch sind, werden in einem einzigen Filter programmiert und auf alle Vorlagen im Profil angewendet. Sie können ein Profil für das dynamische Abrufen von GeoIP-Feeds konfigurieren, indem Sie in der [edit services web-filter profile profile-name security-intelligence-policy] Hierarchie konfigurierengeo-ip rule match country country-name.

• Gruppenfilter: Ländergruppen werden unter einer Vorlage konfiguriert. Alle IP-Adressen, die den Ländern für eine Gruppe zugeordnet sind, werden in einem Gruppenfilter programmiert, der auf die Vorlagen angewendet wird, unter denen diese Gruppe konfiguriert ist. Gruppe ist eine Liste von Ländern, die in einer JSON-Datei definiert sind, die von liburlf analysiert wird.

  Um einen Gruppenfilter zu konfigurieren, müssen Sie eine JSON-Datei am Speicherort /var/db/url-filterd konfigurieren, in dem die group.json Datei die Gruppenzuordnungen enthält.

  Das Format der JSON-Datei ist wie folgt:

  [

  {

  "group_name" : "group1",

  "country" : ["ZA","YE"]

  },

  {

  "group_name" : "group2",

  "country" : ["YT"]

  }

  ]

  Zum dynamischen Abrufen von GeoIP-Feeds können Sie einen globalen Filter mit einem einzelnen Profil oder mehrere Gruppenfilter mithilfe von Vorlagen konfigurieren. Beide Konfigurationen werden nicht zusammen unterstützt.

  Auf die in der JSON-Datei erstellten Gruppen wird in der in der [edit services web-filter profile profile-name url-filter-template template-name security-intelligence-policy geo-ip rule match group group-name] Hierarchie definierten GeoIP-Übereinstimmungsklausel verwiesen.

Sie können den IP-Feed anpassen, indem Sie Ihre eigene Zulassungs- und Sperrliste hinzufügen. Dies kann hilfreich sein, um Intelligence-Feeds zu verwalten, die auf Ihre Sicherheitszentrale zugeschnitten sind, oder als vorübergehende Maßnahme für Fehlalarme. Ab Junos OS Version 21.4R1 können Sie bestimmte IP-Adressen basierend auf der Konfiguration über eine CLI oder eine Datei zulassen oder blockieren. Sie können entweder eine separate Liste für die Zulassungsliste und eine separate Liste für die Sperrliste konfigurieren oder die IP-Adressen in eine Datei aufnehmen und den Dateinamen in die CLI-Konfiguration aufnehmen.

Sie können eine IP-address-list in der Hierarchie [edit services web-filter] anlegen. Hier ist die Liste der IP-Adressen enthalten, IP-address-list die zugelassen oder blockiert werden müssen. Sie können auch eine Datei erstellen, die die IP-Adressen enthält, die am Speicherort /var/db/url-filterd zugelassen oder blockiert werden müssen. Die IP-Adressen, die als Teil der Datei- oder IP-Adressliste konfiguriert sind, werden als Teil des globalen Filters programmiert, der an alle Vorlagen angehängt ist.

Sie können eine globale Zulassungsliste definieren, indem Sie die Konfiguration in der Hierarchie edit services web-filter profile profile-name security-intelligence-policy vornehmenwhite-list (IP-address-list | file-name) . Sie können eine globale Blockliste definieren, indem Sie die in black-list (IP-address-list | file-name) der edit services web-filter profile profile-name security-intelligence-policy Hierarchie konfigurieren. Hier bezieht sich , IP-address-listauf den Namen der IP-Adressliste, die in der Hierarchie [edit services web-filter] angegeben ist. Das file-name bezieht sich auf den Namen der Datei, die die Liste der IP-Adressen enthält, die zugelassen oder blockiert werden müssen. Die Datei muss sich im Speicherort /var/db/url-filterd befinden und den gleichen Namen wie in der Konfiguration haben.

Das Format der globalen Zulassungslistendatei lautet wie folgt:

Das Format der globalen Blocklistendatei lautet wie folgt:

Bei der Webfilterung wird die Liste der IP-Adressen auf der globalen Zulassungsliste oder der globalen Sperrliste analysiert und die impliziten Filterbegriffe mit den konfigurierten IP-Adressen programmiert, um die Pakete entweder zuzulassen oder zu blockieren.