Einheitliche Sicherheitsrichtlinien

Nützt

• Vereinfacht die anwendungsbasierte Verwaltung von Sicherheitsrichtlinien auf Layer 7.

• Ermöglicht Ihrem Gerät die Anpassung an die dynamischen Datenverkehrsänderungen im Netzwerk.

• Bietet mehr Kontrolle und Erweiterbarkeit zur Verwaltung des Datenverkehrs dynamischer Anwendungen als eine herkömmliche Sicherheitsrichtlinie.

Vor der Verwendung einheitlicher Richtlinien auf Firewalls der SRX-Serie

Mit der Einführung einheitlicher Richtlinien in Junos OS Version 18.2 sind einige der Befehle veraltet und werden nicht sofort entfernt, um Abwärtskompatibilität zu gewährleisten. Auf diese Weise können Sie Ihre alte Konfiguration mit der neuen Konfiguration in Einklang bringen.

Wenn Sie ein Upgrade auf Junos OS Version 19.4R3 oder 20.2R3 durchführen, zeigt das Sicherheitsgerät die folgende Warnung an, wenn Sie versuchen, die Konfiguration mit den veralteten Befehlen zu bestätigen:

Es wird empfohlen, zu einheitlichen Richtlinien zu migrieren, um Ihre Konfiguration mit den unterstützten Funktionen auf den neuesten Stand zu bringen.

In den folgenden Abschnitten finden Sie Details zu nicht unterstützten Konfigurationen in der älteren Version und wie Sie sie mit der neuen Version aktivieren können.

• Anwendungssicherheit
• IDP-Richtlinien
• Inhaltssicherheit

Junos OS Version 15.1X49	Einheitliche Richtlinien (nach Junos OS Version 18.2)
Konfigurieren Sie einzelne Anwendungs-Firewall-Regeln, um Datenverkehr basierend auf Anwendungen zuzulassen oder abzulehnen. Konfigurieren Sie Regeln und Regelsätze auf Hierarchieebene set security application-firewall . Anwendungs-Firewall-Funktionen anwenden set security policies from-zone <zone> to-zone <zone> policy <policy> then permit application-services application-firewall rule-set.	Erstellen Sie Sicherheitsrichtlinien mit dynamischen Anwendungen als Übereinstimmungskriterien, um die gleiche Funktionalität wie die Anwendungs-Firewall zu erhalten. set security policies from-zone <zone> to-zone <zone> policy <policy> match dynamic-application <application-name>

Beispiel: Die folgenden Beispiele zeigen den Unterschied in der Konfiguration der Anwendungs-Firewall mit 15.1X49 und der Konfiguration in 19.4R3-S1 in einheitlichen Richtlinien. Wir verwenden ein Beispiel für die Einrichtung von Anwendungs-Firewall-Regeln, um Facebook-Anwendungen zu blockieren.

Junos OS Version 15.1X49	Einheitliche Richtlinien (nach Junos OS Version 18.2)
Weisen Sie eine IDP-Richtlinie als aktive IDP-Richtlinie zu und verwenden Sie sie als Übereinstimmungskriterien in einer Sicherheitsrichtlinie, um Intrusion Detection and Prevention durchzuführen.	Konfigurieren Sie mehrere IDP-Richtlinien und wenden Sie sie auf die Sicherheitsrichtlinie an. Sie können sogar eine der IDP-Richtlinien als Standardrichtlinie definieren.
Geben Sie eine aktive IDP-Richtlinie an: set security idp active-policy <IDP policy name> IDP-Richtlinie in der Sicherheitsrichtlinie anwenden: set security policies from-zone <zone> to-zone <zone> policy <policy> then permit application-services idp	Geben Sie mehrere IDP-Richtlinien pro Firewallregel an: set security policies from-zone <zone> to-zone <zone> policy <policy-1> then permit application-services <IDP-policy-name-1> set security policies from-zone <zone> to-zone <zone> policy <policy-2> then permit application-services <IDP-policy-name-2> set security idp default-policy <IDP-policy name>

Beispiel: Die folgenden Beispiele zeigen den Unterschied zwischen der IDP-Konfiguration mit 15.1X49 und der Konfiguration in 19.4R3 in einheitlichen Richtlinien. Beachten Sie, dass Sie in einheitlichen Richtlinien die Flexibilität haben, mehrere IDP-Richtlinien zu konfigurieren.

Junos OS Version 15.1X49

Einheitliche Richtlinien (nach Junos OS Version 18.2)

Konfigurieren Sie die Parameter der Content Security-Funktionen unter den einzelnen Funktionsprofilen. set security utm feature-profile anti-virus set security utm feature-profile anti-spam set security utm feature-profile web-filtering set security utm feature-profile content-filtering

Konfigurieren Sie Content Security-Funktionen in der Standardkonfiguration. In der Content Security-Standardkonfiguration werden Parameter angewendet, die Sie möglicherweise übersehen haben, wenn Sie sie für eine bestimmte Content Security-Funktion konfigurieren. set security utm default-configuration anti-virus set security utm default-configuration anti-spam set security utm default-configuration web-filtering set security utm default-configuration content-filtering

Beispiel: Die folgenden Beispiele zeigen den Unterschied zwischen der Content Security-Konfiguration mit 15.1X49 und der Konfiguration in 19.4R3-S1 in einheitlichen Richtlinien. Wir verwenden ein Beispiel für die Konfiguration von Sophos Antivirus auf Ihrem Sicherheitsgerät.

Dynamische Anwendungskonfigurationsoptionen

Tabelle 1 enthält Optionen für die Konfiguration einer einheitlichen Richtlinie mit dynamischen Anwendungen.

Tabelle 1: Dynamische Anwendungskonfigurationsoptionen

Dynamische Anwendungskonfigurationsoptionen	Beschreibung
Dynamische Anwendungen oder Anwendungsgruppen	Geben Sie dynamische Anwendungen oder eine dynamische Anwendungsgruppe an. Beispiele dafür sind die folgenden: junos:FTP (dynamische Anwendung) junos:web:shopping (dynamische Anwendungsgruppe)
Jegliche	Wenn Sie die dynamische Anwendung als any konfigurieren, wird die Richtlinie mit der Anwendung als Platzhalter installiert (Standard). Wenn eine Anwendung nicht angegeben werden kann, konfigurieren Sie any sie als Standardanwendung. Datenverkehr, der den Parametern in einer einheitlichen Richtlinie entspricht, stimmt unabhängig vom Anwendungstyp mit der Richtlinie überein.
Nichts	Wenn Sie die dynamische Anwendung als none konfigurieren, werden die Klassifizierungsergebnisse von AppID ignoriert und die dynamische Anwendung nicht in Sicherheitsrichtliniensuchen verwendet. Wenn in der Liste der möglichen Übereinstimmungsrichtlinien eine Richtlinie mit einer dynamischen Anwendung als nonekonfiguriert ist, wird diese Richtlinie als endgültige Richtlinie abgeglichen und ist endgültig. Wenn in dieser Richtlinie Layer 7-Services konfiguriert sind, wird eine Deep Packet Inspection für den Datenverkehr durchgeführt. Beim Upgrade der Junos OS-Version (bei der dynamische Anwendungen nicht unterstützt wurden) werden alle vorhandenen herkömmlichen Richtlinien als Richtlinien betrachtet, wobei die dynamische Anwendung als konfiguriert ist none.
Dynamische Anwendung nicht konfiguriert	Wenn eine dynamische Anwendung nicht innerhalb einer Sicherheitsrichtlinie konfiguriert ist, wird die Richtlinie als herkömmliche Sicherheitsrichtlinie betrachtet. Diese Richtlinie ähnelt einer Richtlinie, bei der die dynamische Anwendung als konfiguriert ist none.

Ab den Junos OS-Versionen 19.4R1 und 20.1R1 unterstützt die Sicherheitsrichtlinie nicht mehr die Verwendung der folgenden Anwendungen als Übereinstimmungskriterien für dynamische Anwendungen:

• junos:HTTPS

• junos:POP3S

• junos:IMAPS

• junos:SMTPS

Das Software-Upgrade auf die Junos OS-Versionen 19.4R1 und 20.1R1 und höher schlägt während der Überprüfung fehl, wenn eine der Sicherheitsrichtlinien mit junos:HTTPS, junos:POP3S, junos:IMAPS, junos:SMTPS als dynamische Anwendungen als Übereinstimmungskriterien konfiguriert ist.

Wir empfehlen Ihnen, dierequest system software validate package-name Option vor dem Upgrade auf die oben genannten Versionen zu verwenden.

Wir empfehlen Ihnen, alle Konfigurationen zu entfernen, die die dynamische Anwendung "junos:HTTPS", "junos:IMAPS", "junos:SMTPS" oder "junos:POP3S" als Übereinstimmungskriterien in den Sicherheitsrichtlinien enthalten.

Standardports und -protokolle als Übereinstimmungskriterien für Anwendungen

Ab Junos OS Version 18.2R1 wird diese junos-defaults Option in der Konfiguration der Sicherheitsrichtlinie als Anwendungsübereinstimmungskriterium eingeführt. Die junos-defaults Gruppe enthält vorkonfigurierte Anweisungen, die vordefinierte Werte für allgemeine Anwendungen enthalten. Da die Standardprotokolle und Ports von junos-defaultsgeerbt werden, ist es nicht erforderlich, die Ports und Protokolle explizit zu konfigurieren, wodurch die Konfiguration der Sicherheitsrichtlinie vereinfacht wird.

Im folgenden Beispiel verwendet junos:HTTP die Sicherheitsrichtlinie L7-test-policy die dynamische Anwendung und erbt die TCP-Ports des Ziels: 80, 3128, 8000 und 8080 als Übereinstimmungskriterien für die Anwendung.

set security policies from-zone trust to-zone untrust policy L7-test-policy match application junos-defaults dynamic-application junos:HTTP

Wenn die Anwendung nicht über Standardports und -protokolle verfügt, verwendet die Anwendung die Standardports und -protokolle der abhängigen Anwendung. Beispielsweise verwendet junos:FACEBOOK-CHAT die Standardprotokolle und -ports HTTP2, HTTPS und SPDY.

Die junos-defaults Option muss zusammen mit einer dynamischen Anwendung konfiguriert werden. Wenn Sie die junos-defaults Option konfigurieren, ohne eine dynamische Anwendung anzugeben, wird eine Fehlermeldung angezeigt, und der Konfigurationscommit schlägt fehl. Verwenden Sie den show security policies detail Befehl, um die junos-defaults Option zu überprüfen.

Pre-ID-Standardrichtlinie

Eine einheitliche Richtlinie nutzt die Informationen aus der AppID, um sie mit der Anwendung abzugleichen und die in der Richtlinie angegebenen Maßnahmen zu ergreifen. Vor der Identifizierung der endgültigen Anwendung kann die Richtlinie nicht genau zugeordnet werden.

Die Pre-ID-Standardrichtlinie ermöglicht vorübergehend die Erstellung der Sitzung, sodass DPI das Paket abrufen und die Anwendungsidentifikation (AppID) ausführen kann.

Ab Junos OS Version 23.4R1 verweigert die Pre-ID-Standardrichtlinie ( pre-id-default-policy ) den Flow, bevor die Anwendungsidentifizierung (AppID) durchgeführt wird, wenn keine potenziellen Richtlinien vorhanden sind, die den Flow zulassen.

Wenn das Gerät das erste Paket eines Datenverkehrsflusses empfängt, führt es den grundlegenden Abgleich mit 5 Tupeln durch und überprüft die definierten potenziellen Richtlinien, um zu bestimmen, wie das Paket behandelt werden soll. Wenn alle potenziellen Richtlinien die Aktion "Verweigern" haben und die Standardrichtlinienaktion ebenfalls auf "Verweigern" festgelegt ist, verweigert das Gerät den Datenverkehr und führt keine Anwendungsidentifizierung (AppID) durch.

Wenn eine Richtlinie eine andere Aktion als "Verweigern" vorsieht, führt das Gerät DPI aus, um die Anwendung zu identifizieren.

Das Gerät prüft sowohl im Zonenkontext als auch im globalen Kontext nach potenziellen Richtlinien.

Standardmäßige Richtlinienaktionen vor der dynamischen Anwendungsidentifizierung

Bevor eine Anwendung durch die Anwendungsidentifikation (AppID) identifiziert wird, werden die pre-id-default-policy Optionen auf die Sitzung angewendet. Der Wert für die Sitzungszeitüberschreitung wird zusammen mit dem erforderlichen Modus der Sitzungsprotokollierung entsprechend der pre-id-default-policy Konfiguration angewendet. Wenn innerhalb der pre-id-default-policy Zeilengruppe keine Konfiguration vorhanden ist, werden die standardmäßigen Sitzungstimeoutwerte auf die Sitzung angewendet, und es werden keine Protokolle für .pre-id-default-policy

Es wird empfohlen, dass Kunden die set security policies pre-id-default-policy then log session-close Konfiguration, wie unten dargestellt, in ihren eigenen Umgebungen implementieren.

Durch diese Konfiguration wird sichergestellt, dass Sicherheitsprotokolle von der Firewall der SRX-Serie generiert werden, wenn ein Datenstrom die pre-id-default-policy. Diese Ereignisse sind in der Regel darauf zurückzuführen, dass JDPI den Datenverkehr nicht ordnungsgemäß klassifizieren kann, obwohl sie auch auf potenzielle Versuche hinweisen können, die APPID-Engine zu umgehen.

In neueren Versionen von Junos OS umfasst die werkseitige Standardkonfiguration einer Firewall der SRX-Serie die session-close Konfiguration.

VORSICHT:

Durch das Konfigurieren der Session-Init-Protokollierung für kann pre-id-default-policy eine große Menge an Protokollen generiert werden. Jede Sitzung, die in die Firewall der SRX-Serie eintritt und anfänglich mit der pre-id-default-policy übereinstimmt, generiert ein Ereignis. Es wird empfohlen, diese Option nur zu Zwecken der Fehlerbehebung zu verwenden.

Globale Richtliniennutzung mit einheitlichen Richtlinien

Zonenbasierte Sicherheitsrichtlinien haben Vorrang vor globalen Richtlinien, wenn eine Richtliniensuche implementiert wird.

Wenn die Sitzung mit einer einheitlichen Richtlinie übereinstimmt, entweder auf Zonenebene oder auf globaler Ebene, wird die Richtlinie der Liste potenzieller Richtlinienübereinstimmungen hinzugefügt. Wenn die Sitzung nicht mit einer Richtlinie auf Zonenebene übereinstimmt, erfolgt die nächste Richtlinienübereinstimmung auf globaler Ebene. Richtlinien auf globaler Ebene haben die gleichen Übereinstimmungskriterien wie alle anderen Sicherheitsrichtlinien (z. B. Quelladresse, Zieladresse, Anwendung, dynamische Anwendung usw.).

Einheitliche Richtlinienmaßnahmen

Geben Sie in einer einheitlichen Richtlinienkonfiguration eine der folgenden Aktionen an:

• Zulassen (Permit) – Lassen Sie den Datenverkehr zu.

• Verweigern: Der Datenverkehr wird gelöscht und die Sitzung geschlossen.

• Ablehnen: Benachrichtigen Sie den Client, löschen Sie den Datenverkehr und schließen Sie die Sitzung.

Umleitungsprofil für Ablehnungsaktion

Einheitliche Richtlinien protokollieren Verwerfungs- und Ablehnungsaktionen. Einheitliche Richtlinien benachrichtigen verbundene Clients nicht über Abbruch- und Ablehnungsaktionen. Die Clients sind sich nicht bewusst, dass auf die Webseite nicht zugegriffen werden kann, und versuchen möglicherweise weiterhin, darauf zuzugreifen.

Ab Junos OS Version 18.2R1 kann ein Umleitungsprofil innerhalb einer einheitlichen Richtlinie konfiguriert werden. Wenn eine Richtlinie HTTP- oder HTTPS-Datenverkehr mit einer Verweigerungs- oder Ablehnungsaktion blockiert, können Sie in der einheitlichen Richtlinie eine Antwort definieren, um die verbundenen Clients zu benachrichtigen.

Um eine Erklärung für die Aktion bereitzustellen oder den Client auf eine informative Webseite umzuleiten, verwenden Sie die redirect-message Option auf der [edit security dynamic-application profile name] Hierarchieebene mit der Aktion "Ablehnen" oder "Verweigern" in einer einheitlichen Richtlinienkonfiguration, um eine benutzerdefinierte Meldung anzuzeigen.

Wenn Sie die Umleitungsoption konfigurieren, können Sie die benutzerdefinierte Nachricht oder die URL angeben, an die der Client umgeleitet wird.

SSL-Proxy-Profil für Ablehnungsaktion

Ab Junos OS Version 18.2R1 können Sie ein Umleitungsprofil innerhalb einer einheitlichen Richtlinie konfigurieren. Wenn eine Richtlinie HTTP- oder HTTPS-Datenverkehr mit einer Verweigerungs- oder Ablehnungsaktion blockiert, können Sie ein SSL-Proxyprofil auf den Datenverkehr anwenden. SSL-Proxy entschlüsselt den Datenverkehr, und die Anwendungsidentifikationsfunktion identifiziert die Anwendung. Als Nächstes können Sie Maßnahmen ergreifen, um den Datenverkehr gemäß der Konfiguration umzuleiten oder zu löschen.

Betrachten Sie das folgende Beispiel:

In diesem Beispiel lehnen Sie einige der Facebook-Anwendungen wie Chat, Farmville usw. in der Richtlinie "policy-1" ab. Da Facebook eine verschlüsselte Anwendung ist, benötigen Sie zuerst einen SSL-Proxy, um den Datenverkehr zu entschlüsseln.

In diesem Beispiel lehnt die Richtlinie den verschlüsselten Facebook-Datenverkehr ab und wendet das konfigurierte SSL-Proxyprofil an. Der SSL-Proxy entschlüsselt den Datenverkehr, und JDPI identifiziert die Anwendung.

Jetzt führt die Richtlinie basierend auf Ihrer Konfiguration die folgenden Aktionen aus:

• Leitet den Clientzugriff auf eine andere URL um und schließt die ursprüngliche Sitzung.

• Benachrichtigt den Client mit vordefinierten Textnachrichten und schließt die Sitzung

• Schließt nur die Sitzung. Im Beispiel schließt die Richtlinie die Sitzung.

Kriterien und Regeln für einheitliche Richtlinien

• Einheitliche Richtlinie Implizite und explizite Übereinstimmung
• Profilüberlappung für Layer 7-Services
• Richtlinien-Neuanpassung

Einschränkungen bei der Konfiguration einheitlicher Richtlinien

Es gibt Einschränkungen bei der Konfiguration einheitlicher Richtlinien. Diese umfassen:

• Eine vorhandene Sitzung kann in den folgenden Fällen geschlossen werden:

  • Wenn es eine Änderung in der endgültigen Übereinstimmung für die Richtlinie gibt.

  • Wenn eine neue Richtlinie in die vorhandenen Richtlinien eingefügt wird und wenn diese neue Richtlinie mit neuen Diensten konfiguriert wird.

  • Wenn eine Richtlinie für die endgültige Übereinstimmung neue Dienste nach der Erstellung der Sitzung und vor der endgültigen Übereinstimmung aktiviert.

• Richtlinienbasiertes VPN wird für einheitliche Richtlinien nicht unterstützt und kann nur auf die herkömmliche Richtlinie angewendet werden.

• Bei der Verarbeitung des ALG-Datenverkehrs auf den vereinheitlichten Richtlinien werden keine ALG-Funktionen aktiviert.
• ALGs werden beim Abgleich mit herkömmlichen Sicherheitsrichtlinien angewendet.
  • Richtlinien, die eine Übereinstimmungsbedingung von verwenden, dynamic-application as none werden wie herkömmliche Richtlinien behandelt.
• FTP ist eine Ausnahme von der ALG-Unterstützung für einheitliche Richtlinien, die das Scannen von FTP-Dateien für Content Security Antivirus ermöglichen.
  • Erfordert die Verwendung von dynamic-application any oder dynamic-application junos:FTP.
  • Weitere Informationen finden Sie unter Aktivieren von FTP-Antivirus-Scans (CLI-Verfahren)

• Eine Sicherheitsrichtlinie, die mit GPRS konfiguriert ist, funktioniert möglicherweise nicht, wenn die Richtlinie Teil einer potenziellen Übereinstimmungsliste ist.

• Ein Gruppen-VPN und eine Benutzer-Firewall-Authentifizierung können auf eine herkömmliche Sicherheitsrichtlinie angewendet werden.

• In den Session-Init-Protokollen für Richtlinien, die dynamische Anwendungen nutzen, sind möglicherweise keine endgültigen Informationen zur Richtlinienübereinstimmung verfügbar.

Begrenzen Sie die Anzahl der Richtlinienabfragen

Um eine Richtlinie zu verarbeiten, muss die Richtliniensuche den endgültigen Übereinstimmungsstatus für die Anwendung zurückgeben. Wenn Sie eine Mikroanwendung verwenden, erreicht die Anwendungsklassifizierung nicht den endgültigen Übereinstimmungsstatus , da sich die Mikroanwendung während der Sitzung ständig ändert. Da sich die Mikroanwendung von einer Transaktion zur anderen ändert, wird eine unbegrenzte Anzahl von Richtliniensuchvorgängen versucht.

Verwenden Sie die unified-policy max-lookups Anweisung auf Hierarchieebene [edit security policies] , um die Anzahl der Richtliniensuchvorgänge zu begrenzen.

Konfiguration von Mikroanwendungen

Um eine Anwendung auf Basisebene und alle davon abhängigen Mikroanwendungen zuzulassen, können Sie eine einheitliche Richtlinie konfigurieren, indem Sie die Anwendung auf Basisebene als Abgleichskriterium angeben. Sie müssen nicht jede abhängige Anwendung explizit als Übereinstimmungskriterien für die Richtlinie angeben. Wenn Sie z. B. die Anwendung junos-MODBUS der Basisebene als Abgleichskriterium in einer einheitlichen Richtlinie angeben, müssen Sie die Mikroanwendungen der junos-MODBUS Anwendung (junos:MODBUS-READ-COILS und junos:MODBUS-WRITE-SINGLE-COIL) nicht als Abgleichskriterien für die Richtlinie konfigurieren.

Wenn Sie eine einheitliche Richtlinie für die Steuerung auf granularer Ebene definieren möchten, müssen Sie die Mikroanwendungen der Basisanwendung als Übereinstimmungskriterien für die Richtlinie angeben. Sie dürfen die Anwendung auf Basisebene nicht als Übereinstimmungskriterien in der Richtlinie definieren. Für eine detailliertere Richtlinienkonfiguration geben Sie als Abgleichskriterien in einer einheitlichen Richtlinie an junos:MODBUS-READ-COILS . Stellen Sie sicher, dass die Anwendung junos:MODBUS auf Basisebene nicht als Übereinstimmungskriterium in derselben einheitlichen Richtlinie definiert ist.