URL-Filterung

Vorteile

Die DNS-Filterung leitet DNS-Anfragen für nicht zulässige Website-Domänen an Sinkhole-Server weiter und verhindert, dass jemand, der das System betreibt, die Liste der unzulässigen Domänen sieht. Dies liegt daran, dass die unzulässigen Domainnamen in einem verschlüsselten Format vorliegen.

Unzulässige Domain-Filter-Datenbankdatei

Das DNS-Anforderungsfiltern erfordert eine Datenbank .txt Datei für nicht zulässige Domänenfilter, die jeden nicht zulässigen Domänennamen, die Aktion, die bei einer DNS-Anforderung für die nicht zulässige Domäne ausgeführt werden soll, und die IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) eines DNS-Sinkhole-Servers identifiziert.

DNS-Filterprofil

Sie konfigurieren ein DNS-Filterprofil, um anzugeben, welche nicht zulässige Domänenfilter-Datenbankdatei verwendet werden soll. Sie können auch die Schnittstellen angeben, auf denen die DNS-Anforderungsfilterung ausgeführt wird, die Filterung auf Anforderungen für bestimmte DNS-Server beschränken und die Filterung auf Anforderungen von bestimmten Quell-IP-Adresspräfixen beschränken.

Überblick

Ab Junos OS Version 21.1R1 können Sie benutzerdefinierte Domain-Feeds pro Kunde oder IP-Untergruppe konfigurieren. Sie können:

• Konfigurieren Sie Domänennamen und -aktionen für mehrere Mandanten so, dass Domänenfeeds auf Mandantenbasis verwaltet werden können.
• Konfigurieren Sie die hierarchische Domänenfeedverwaltung pro Profil, per DNS-Filtervorlage oder pro DNS-Filterterm.
• Ausgenommen Domänen-Feeds auf IP-, Subnetz- oder CIDR-Ebene.

Um die mutiltenant-Unterstützung für die DNS-Filterung zu implementieren, ist das Erstellen der Domänenfilter-Datenbankdatei auf Vorlagen- oder Profilebene deaktiviert. Sie müssen keine Datei auf Vorlagen- oder Profilebene angeben. Ab Junos OS 21.1R1 ist standardmäßig eine globale Datei mit einem festen Namen, nsf_multi_tenant_dn_custom_file.txt (Nur-Text-Format ) oder dnsf_multi_tenant_dn_custom_file_hashed.txt (verschlüsselte Datei) verfügbar.

Jeder Eintrag in der Datenbankdatei enthält die folgenden Elemente:

hashed-domain-name, IPv4-Sinkhole-Adresse, IPv6-Sinkhole-Adresse, Sinkhole-FQDN, ID, Aktion, Feed-Name.

Der Dateihash wird berechnet und an die Liste der Domainnameneinträge in der Datei angehängt. Der Dateihash wird mit einem globalen Schlüssel und einer globalen Methode berechnet, die mit dem Dateihash überprüft werden, der mit dem in der [edit services web-filter] Hierarchie konfigurierten Hashschlüssel berechnet wird. Die Dateivalidierung ist nur dann erfolgreich, wenn der berechnete Dateihash mit dem in der Datei vorhandenen Dateihash übereinstimmt.

Jeder Eintrag in nsf_multi_tenant_dn_custom_file.txt Datei besteht aus einem zusätzlichen Feld namens feed-name. Dieser Feedname wird als Indikator verwendet, um eine Gruppe von Domänennamen zu gruppieren und sie einem Mandanten (Profil, Vorlage, Begriff oder IP-Adresse) zuzuordnen.

Wenn die DNS-Pakete von einer bestimmten SRC-IP-Adresse empfangen werden, wird der entsprechende Feed-Name abgerufen und es erfolgt eine Suche nach den Domainnamen, die dem mit dem Begriff verknüpften Feed-Namen zugeordnet sind. Wenn der Feedname nicht für diese IP-Adresse bereitgestellt wird, wird auf den auf Vorlagenebene konfigurierten Feednamen zurückgegriffen, und die Suche erfolgt anhand der Domänennamen, die dem Feednamen zugeordnet sind, der der Vorlage zugeordnet ist. Wenn der Feedname nicht in der Vorlage konfiguriert ist, erfolgt die Suche nach den Domainnamen, die dem mit dem Profil verknüpften Feednamen zugeordnet sind.

Vorteile

• Vereinfacht die Bereitstellung und verbessert die Anti-Bedrohungsfunktionen, wenn sie in die MX-Router integriert sind.

• Bietet Schutz vor "Zero-Day"-Bedrohungen mithilfe einer Kombination von Tools, die eine robuste Abdeckung gegen ausgeklügelte, ausweichende Bedrohungen bieten.

• Überprüft eingehenden und ausgehenden Datenverkehr mit Richtlinienerweiterungen, die es Benutzern ermöglichen, Malware zu stoppen, infizierte Systeme unter Quarantäne zu stellen, Datenexfiltration zu verhindern und laterale Bewegungen zu unterbrechen.

• Unterstützt Hochverfügbarkeit für einen unterbrechungsfreien Service.

• Bietet Skalierbarkeit zur Bewältigung steigender Lasten, die mehr Rechenressourcen, eine erhöhte Netzwerkbandbreite für den Empfang von mehr Kundenbeiträgen und einen großen Speicher für Malware erfordern.

• Bietet eine gründliche Prüfung, umsetzbare Berichte und Inline-Malware-Blockierung.

• Bietet die Möglichkeit, Mandanteninformationen mithilfe von VRF-Informationen in Protokollen bereitzustellen

Policy Enforcer und Juniper ATP Cloud verstehen

Juniper Networks Security Director umfasst eine Funktion namens Policy Enforcer (PE), die es ihm ermöglicht, aus Bedrohungssituationen zu lernen, die Richtlinienerstellung zu automatisieren und die Durchsetzung dynamisch auf Juniper-Geräten im Netzwerk bereitzustellen.

Abbildung 4 veranschaulicht den Datenverkehrsfluss zwischen dem PE, der Juniper ATP-Cloud und dem MX-Router, der als Firewall fungiert.

• Policy Enforcer (PE) lernt aus Bedrohungssituationen, automatisiert die Richtlinienerstellung und stellt die Durchsetzung auf Juniper Geräten im Netzwerk bereit.

• Juniper Advanced Threat Prevention (Juniper ATP Cloud) schützt alle Hosts in Ihrem Netzwerk durch den Einsatz von Cloud-basierter Software zur Erkennung von Bedrohungen mit einem Firewall-System der nächsten Generation.

• Der MX-Router ruft die Bedrohungserkennungs-Feeds von Policy Enforcer (PE) ab und implementiert diese Richtlinien, um gefährdete Hosts unter Quarantäne zu stellen. Es besteht aus den folgenden wichtigen Komponenten:

  • Sicherheit Intelligence-Prozess

  • Web-Filter-Prozess

  • Firewall-Prozess

Abbildung 4: Systemarchitektur

Um die Funktionalität der Systemarchitektur zu verstehen, betrachten Sie das folgende Beispiel: Wenn ein Benutzer eine Datei aus dem Internet herunterlädt und diese Datei eine MX-Firewall passiert, kann die Datei zur Malware-Prüfung an die Juniper ATP-Cloud-Cloud gesendet werden (abhängig von Ihren Konfigurationseinstellungen). Wenn die Datei als Malware eingestuft wird, identifiziert PE die IP-Adresse und die MAC-Adresse des Hosts, der die Datei heruntergeladen hat. Basierend auf einer benutzerdefinierten Richtlinie kann dieser Host in ein Quarantäne-VLAN versetzt oder für den Zugriff auf das Internet gesperrt werden.

Die Router der MX-Serie können in die Juniper ATP-Cloud integriert werden, um zu verhindern, dass kompromittierte Hosts (Botnets) mit Command-and-Control-Servern kommunizieren:

• Ab Junos OS Version 18.4R1 mit den Adaptive Services als Inline-Sicherheitsfunktion

• Ab Junos OS Version 19.3R2 mit den Services der nächsten Generation als Inline-Sicherheitsfunktion

Router der MX Sseries-Serie können C&C und Geo-IP auf eine der folgenden Methoden herunterladen:

• Die indirekte Methode - Policy Enforcer fungiert wie ein Feed-Proxy für alle Geräte in einer definierten Umgebung. Diese Methode ist vorteilhaft, um zu vermeiden, dass einzelne Geräte über das Internet auf die ATP-Cloud-Services von Juniper zugreifen. Dadurch wird die Anfälligkeit der Geräte, die mit dem Internet verbunden sind, verringert.

• Router der MX-Serie mit direkter Methode registrieren sich direkt bei der Juniper ATP-Cloud, um die C&C- und Geo-IP-Feeds herunterzuladen.

Sicherheit Intelligenz (SecIntel) – Übersicht

Der Sicherheit-Intelligence-Prozess (IPFD) ist für das Herunterladen der Security Intelligence-Feeds und das Parsen vom Feed-Connector oder ATP-Cloud-Cloud-Feed-Server verantwortlich. Der IPFD-Prozess auf den MX-Plattformen ruft die IPv4/IPv6-Feeds aus dem Policy Enforcer ab. C&C-Feeds sind im Wesentlichen eine Liste von Servern, die als Command-and-Control-Server für Botnets bekannt sind. Die Liste enthält auch Server, die bekannte Quellen für Malware-Downloads sind. Die so abgerufenen Informationen werden in einer Datei (urlf_si_cc_db.txt) gespeichert, die im Verzeichnis /var/db/url-filterd erstellt wurde.

Das Dateiformat der nicht zulässigen IPs, die von IPFD an den Webfilterprozess gesendet werden, lautet wie folgt:

IPv4 address | IPv6 address, threat-level.

Das threat-level ist eine ganze Zahl im Bereich von 1 bis 10, um die Bedrohungsstufe von Dateien anzugeben, die auf Malware und infizierte Hosts gescannt wurden. Hier steht 1 für die niedrigste Bedrohungsstufe und 10 für die höchste Bedrohungsstufe.

Zum Beispiel: 178.10.19.20, 4

Hier gibt 178.10.19.20 die nicht zulässige IP an und 4 die threat-level.

Die C&C-Feeddatenbank wird mit der Backup-Routing-Engine synchronisiert. IPFD gibt die Informationen dann an den Webfilterprozess weiter (URL-gefiltert). Die Webfilterung liest den Dateiinhalt und konfiguriert die Filter entsprechend.

Webfilterung (URL-gefiltert) – Übersicht

Die Webfilterung liest den vom IPFD abgerufenen Dateiinhalt und konfiguriert die Filter auf der Packet Forwarding Engine entsprechend. Die Webfilterung erzwingt die Befehls- und Steuerfeeds, indem die Filter in der Packet Forwarding Engine so programmiert werden, dass sie die Pakete blockieren, die für die blockierten IP-Adressen bestimmt sind, und Protokolle für die Meldung des Vorfalls generieren.

Abbildung 5 veranschaulicht, wie der C&C-Feed vom IPFD abgerufen und dann vom Webfilterprozess verarbeitet wird.

Abbildung 5: Webfilterung

Das Webfilterprofil kann mehr als eine Vorlage enthalten. Jede Vorlage besteht aus einer Reihe konfigurierter logischer Schnittstellen für die Webfilterung und einem oder mehreren Begriffen. Ein Begriff ist eine Reihe von Übereinstimmungskriterien mit Aktionen, die ausgeführt werden sollen, wenn die Übereinstimmungskriterien erfüllt sind. Um das Webfilterprofil für die Verwendung des dynamisch abgerufenen C&C-Feeds zu konfigurieren, können Sie den security-intelligence-policy Befehl unter der [edit services web-filter profile profile-name Hierarchieebene konfigurieren. Sie müssen keinen Begriff für ein security-intelligence-policy basiertes Webfilterprofil konfigurieren.

Sie können die folgenden Aktionen der Bedrohungsstufe für das Webfilterprofil auf Hierarchieebene edit web-filter profile profile-name security-intelligence-policy threat-level threat-level threat-action konfigurieren:

• drop

• drop-and-log

• log

Sie können jeweils nur eine threat-action konfigurierenthreat level. Wenn die threat-action nicht für einen bestimmten threat levelkonfiguriert ist, ist acceptder Standardwert threat-action .

Ab Junos OS Version 24.4R1 werden für Bedrohungen, die mit log Action konfiguriert sind, die Bedrohungsstufe und die Mandanten- oder VRF-Informationen in die ausgehenden Syslogs eingebettet. Die Class-of-Service-Richtlinienzuordnungen wurden um ein neues user-attribute integer Schlüsselwort erweitert, um die Bedrohungsstufe zu speichern und anzugeben.

Sie können die user-attribute integer in der [editi class-of-service policy-map policy-name] Hierarchie konfigurieren.

Auf die Richtlinienzuordnung wird in jeder Konfiguration der Bedrohungsstufe verwiesen<> um das neue Benutzerattribut dem dfw-Filterbegriff zuzuordnen, der die konfigurierte Aktion für jede Bedrohungsstufe steuert. Die Richtlinienzuordnung wird in der [edit services web-filter profile profile-name security-intelligence-policy threat level integer policy-map policy-name] Hierarchie oder [edit services web-filter profile profile-name url-filter-template template-name security-intelligence-policy threat level integer policy-map policy-name] Hierarchie verwendet, um die Bedrohungsstufe einem Benutzerattribut zuzuordnen.

Zum Beispiel

Zuordnen einer Samplinginstanz zum FPC

Um die definierte Instanz einem bestimmten FPC, MPC oder DPC zuzuordnen, schließen Sie die sampling-instance Anweisung auf Hierarchieebene [edit chassis fpc number] ein, wie im folgenden Beispiel gezeigt:

Konfigurieren Sie eine Samplinginstanz, und ordnen Sie die Vorlage der Samplinginstanz zu.

Um die Vorlageneigenschaften für die Inline-Flussüberwachung zu konfigurieren, fügen Sie die folgenden Anweisungen auf Hierarchieebene edit services flow-monitoring ein, wie im folgenden Beispiel gezeigt:

Konfigurieren Sie die Beispielinstanz und ordnen Sie die IP-Adresse des Flussservers und andere Parameter zu.

So konfigurieren Sie eine Sampling-Instanz und ordnen die IP-Adresse des Flussservers und andere Parameter zu. Fügen Sie die folgenden Anweisungen in die [edit forwarding-options] Hierarchie ein, wie im folgenden Beispiel gezeigt:

Beispiel: Webfilterprofil konfigurieren, um verschiedene Bedrohungsstufen zu definieren

Überblick

Die GeoIP-Feeds sind im Wesentlichen eine Liste der Zuordnungen von IP-Adressen zu Ländercodes. Ab Junos OS 21.4R1 können Sie IP-basierte Geo-Standorte auf Routern der MX-Serie konfigurieren, um die GeoIP-Feeds von Policy Enforcer abzurufen. Durch die Bereitstellung der GeoIP-Feeds können Sie das Netzwerk aktivieren, um zu verhindern, dass Geräte mit IP-Adressen kommunizieren, die zu bestimmten Ländern gehören.

Sie können den IPFD-Prozess (Security Intelligence Process) auf Routern der MX-Serie so konfigurieren, dass er die GeoIP-Feeds von Policy Enforcer abruft. Ähnlich wie bei bestehenden C&C IP- oder IPv6-Feeds lädt IPFD die GeoIP-Feeds vom Policy Enforcer herunter. IPFD übersetzt den Feed in das Dateiformat, das anschließend durch den Webfilterprozess (URL-gefiltert) verarbeitet wird.

Ab Junos OS 22.1R1 können Sie den Security Intelligence-Prozess (IPFD) auf Routern der MX-Serie so konfigurieren, dass die GeoIP-Feeds aus der Juniper ATP-Cloud abgerufen werden. Ähnlich wie bei bestehenden C&C IP- oder IPv6-Feeds lädt IPFD die GeoIP-Feeds aus der Juniper ATP-Cloud herunter.

So konfigurieren Sie die GeoIP-Filterung auf Routern der MX-Serie

Die vom IPFD abgerufenen Informationen werden in einer Datei (urlf_si_geoip_db.txt) gespeichert, die am Speicherort /var/db/url-filterd erstellt wurde.

Das Format der Datei, die von IPFD an den Webfilterprozess gesendet wird, lautet wie folgt:

IPv4 address|IPv6 address,Prefix,threat-level,VRF-name,Gen-num. Gen-num ist immer 0. VRF-name bezieht sich auf eine Landesvorwahl.

Beispiel: 178.10.19.22,12,255,US,0

IPFD und der Webfilterprozess unterhalten eine pconn-Verbindung, um die Erstellung oder Aktualisierung von Dateien mit GeoIP-Feeds zu kommunizieren. Der Webfilterungsprozess erzwingt die GeoIP-Feeds, indem die Filter in der PFE so programmiert werden, dass die Pakete blockiert werden, die für die blockierten Länder bestimmt sind. Die von liburlf bereitgestellten APIs werden verwendet, um die Dateien zu validieren und zu analysieren.

Der Webfilterprozess liest die Datei mit der Liste der IP-Adressen, und die PFE-Filter werden mit den im Feed aufgeführten Ziel-IP-Adressen und der für das zugeordnete Land konfigurierten Aktion programmiert.

• Globaler Filter: Länder werden unter globaler Regel innerhalb eines Profils konfiguriert. Alle IP-Adressen für Länder, die für diese globale Regel spezifisch sind, werden in einem einzigen Filter programmiert und auf alle Vorlagen im Profil angewendet. Sie können ein Profil zum dynamischen Abrufen des GeoIP-Feeds konfigurieren, indem Sie es in der [edit services web-filter profile profile-name security-intelligence-policy] Hierarchie konfigurierengeo-ip rule match country country-name.

• Gruppenfilter: Ländergruppen werden unter einer Vorlage konfiguriert. Alle IP-Adressen, die den Ländern für eine Gruppe zugeordnet sind, werden in einem Gruppenfilter programmiert, der auf die Vorlagen angewendet wird, unter denen diese Gruppe konfiguriert ist. Gruppe ist eine Liste von Ländern, die in einer JSON-Datei definiert sind, die von liburlf analysiert wird.

  Um einen Gruppenfilter zu konfigurieren, müssen Sie eine JSON-Datei am Speicherort /var/db/url-filterd konfigurieren, wo die group.json Datei die Gruppenzuordnungen enthält.

  Das Format der JSON-Datei lautet wie folgt:

  [

  {

  "group_name" : "group1",

  "country" : ["ZA","YE"]

  },

  {

  "group_name" : "group2",

  "country" : ["YT"]

  }

  ]

  Um GeoIP-Feeds dynamisch abzurufen, können Sie einen globalen Filter mit einem einzelnen Profil konfigurieren oder mehrere Gruppenfilter mithilfe von Vorlagen konfigurieren. Wir unterstützen nicht beide Konfigurationen zusammen.

  Auf die in der JSON-Datei erstellten Gruppen wird in der in der [edit services web-filter profile profile-name url-filter-template template-name security-intelligence-policy geo-ip rule match group group-name] Hierarchie definierten GeoIP-Übereinstimmungsklausel verwiesen.

Sie können den IP-Feed anpassen, indem Sie Ihre eigene Zulassungs- und Sperrliste hinzufügen. Dies kann hilfreich sein, um Intelligence-Feeds zu verwalten, die für Ihr Security Operations Center maßgeschneidert sind, oder als vorübergehende Maßnahme für Fehlalarme. Ab Junos OS Version 21.4R1 können Sie bestimmte IP-Adressen basierend auf der Konfiguration über eine CLI oder eine Datei zulassen oder blockieren. Sie können entweder eine separate Liste für die Zulassungsliste und eine separate Liste für die Blockliste konfigurieren oder die IP-Adressen in eine Datei aufnehmen und den Dateinamen in die CLI-Konfiguration aufnehmen.

Sie können eine IP-address-list at in der [edit services web-filter] Hierarchie anlegen. IP-address-list Enthält hier die Liste der IP-Adressen, die zugelassen oder blockiert werden müssen. Sie können auch eine Datei mit den IP-Adressen erstellen, die im gefilterten Verzeichnis /var/db/url zugelassen oder blockiert werden müssen. Die IP-Adressen, die als Teil der Datei oder IP-Adressliste konfiguriert sind, werden als Teil des globalen Filters programmiert, der an alle Vorlagen angehängt ist.

Sie können eine globale Zulassungsliste definieren, indem Sie an der edit services web-filter profile profile-name security-intelligence-policy Hierarchie konfigurierenwhite-list (IP-address-list | file-name) . Sie können eine globale Sperrliste definieren, indem Sie die black-list (IP-address-list | file-name) in der edit services web-filter profile profile-name security-intelligence-policy Hierarchie konfigurieren. Hier bezieht sich die , IP-address-listauf den Namen der IP-Adressliste, die in der [edit services web-filter] Hierarchie angegeben ist. Das file-name bezieht sich auf den Namen der Datei, die die Liste der IP-Adressen enthält, die zugelassen oder blockiert werden müssen. Die Datei muss sich im Verzeichnis /var/db/url-gefiltert befinden und denselben Namen wie in der Konfiguration haben.

Das Format der globalen Zulassungslistendatei lautet wie folgt:

Das Format der globalen Blocklistendatei lautet wie folgt:

Der Webfilterprozess analysiert die Liste der IP-Adressen auf der globalen Zulassungsliste oder der globalen Blockliste und programmiert die impliziten Filterbegriffe mit den konfigurierten IP-Adressen, um die Pakete entweder zuzulassen oder zu blockieren.