Configuration des stratégies de sécurité

Une stratégie de sécurité est un ensemble d’instructions qui contrôle le trafic d’une source spécifiée vers une destination spécifiée à l’aide d’un service spécifié. Une stratégie autorise, refuse ou tunnelise des types de trafic spécifiés de manière unidirectionnelle entre deux points.

Chaque police comprend :

• Nom unique de la stratégie.

• A from-zone et a to-zone, par exemple : user@host# set security policies from-zone untrust to-zone untrust

• Ensemble de critères de correspondance définissant les conditions qui doivent être remplies pour appliquer la règle de stratégie. Les critères de correspondance sont basés sur une adresse IP source, une adresse IP de destination et des applications. Le pare-feu d’identité des utilisateurs offre une plus grande granularité en incluant un tuple supplémentaire, source-identity, dans l’instruction de stratégie.

• Ensemble d’actions à effectuer en cas de correspondance : autoriser, refuser ou rejeter.

• Éléments de comptabilité et d’audit : comptage, journalisation ou journalisation du système structuré.

Si la solution SRX Series reçoit un paquet correspondant à ces spécifications, elle effectue l’action spécifiée dans la stratégie.

Les stratégies de sécurité appliquent un ensemble de règles pour le trafic de transit, identifiant quel trafic peut passer à travers le pare-feu et les actions entreprises sur le trafic lorsqu’il traverse le pare-feu. Les actions pour le trafic correspondant aux critères spécifiés incluent l’autorisation, le refus, le rejet, la journalisation ou le comptage.

Pour les équipements SRX300, SRX320, SRX340, SRX345, SRX380 et SRX550M, une politique de sécurité par défaut est fournie qui :

• Autorise tout le trafic de la zone de confiance vers la zone de non-confiance.

• Autorise tout le trafic entre les zones de confiance, c’est-à-dire de la zone de confiance vers les zones de confiance intrazone.

• Refuse tout le trafic de la zone d’approbation vers la zone d’approbation.

La stratégie de sécurité applique les règles de sécurité au trafic de transit dans un contexte (from-zone à to-zone). Chaque police est identifiée de manière unique par son nom. Le trafic est classé en faisant correspondre ses zones source et de destination, les adresses source et de destination, ainsi que l’application qu’il transporte dans ses en-têtes de protocole avec la base de données de stratégies du plan de données.

Chaque politique est associée aux caractéristiques suivantes :

• Une zone source

• Une zone de destination

• Un ou plusieurs noms d’adresses sources ou de jeux d’adresses

• Un ou plusieurs noms d’adresses de destination ou de jeux d’adresses

• Un ou plusieurs noms d’application ou d’ensemble d’applications

Ces caractéristiques sont appelées les critères de correspondance. Chaque stratégie est également associée à des actions : autoriser, refuser, rejeter, compter, journaliser et tunneliser VPN. Vous devez spécifier les arguments de condition de correspondance lorsque vous configurez une stratégie, l’adresse source, l’adresse de destination et le nom de l’application.

Vous pouvez spécifier de configurer une stratégie avec des adresses IPv4 ou IPv6 à l’aide de l’entrée anygénérique . Lorsque la prise en charge des flux n’est pas activée pour le trafic IPv6, any correspond aux adresses IPv4. Lorsque la prise en charge de flux est activée pour le trafic IPv6, any correspond aux adresses IPv4 et IPv6. Pour activer le transfert basé sur le flux pour le trafic IPv6, utilisez la set security forwarding-options family inet6 mode flow-based commande. Vous pouvez également spécifier le caractère any-ipv4 générique ou any-ipv6 les critères de correspondance des adresses source et de destination pour inclure uniquement les adresses IPv4 ou IPv6, respectivement.

Lorsque la prise en charge du trafic IPv6 par les flux est activée, le nombre maximal d’adresses IPv4 ou IPv6 que vous pouvez configurer dans une stratégie de sécurité est basé sur les critères de correspondance suivants :

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

La raison pour laquelle les critères de correspondance sont qu’une adresse IPv6 utilise quatre fois plus d’espace mémoire qu’une adresse IPv4.

Si vous ne souhaitez pas spécifier d’application spécifique, saisissez-la any comme application par défaut. Pour rechercher les applications par défaut, à partir du mode de configuration, entrez show groups junos-defaults | find applications (predefined applications). Par exemple, si vous ne fournissez pas de nom d’application, la stratégie est installée avec l’application en tant que caractère générique (par défaut). Par conséquent, tout trafic de données qui correspond au reste des paramètres d’une stratégie donnée correspondra à la stratégie, quel que soit le type d’application du trafic de données.

L’action de la première stratégie à laquelle le trafic correspond est appliquée au paquet. S’il n’y a pas de stratégie de correspondance, le paquet est abandonné. Les stratégies font l’objet d’une recherche de haut en bas, il est donc judicieux de placer des stratégies plus spécifiques en haut de la liste. Vous devez également placer les stratégies de tunnel VPN IPsec en haut de la page. Placez les politiques plus générales, telles que celle qui permettrait à certains utilisateurs d’accéder à toutes les applications Internet, au bas de la liste. Par exemple, placez les stratégies de refus de tout ou de rejet tout en bas de la page une fois que toutes les stratégies spécifiques ont été analysées auparavant et que le trafic légitime a été autorisé/compté/journalisé.

Les stratégies sont consultées pendant le traitement du flux, une fois que les filtres et les écrans de pare-feu ont été traités et que la recherche de route a été effectuée par l’unité de traitement des services (SPU) (pour les équipements SRX5400, SRX5600 et SRX5800). La recherche de stratégie détermine la zone de destination, l’adresse de destination et l’interface de sortie.

Lorsque vous créez une stratégie, les règles de stratégie suivantes s’appliquent :

• Les stratégies de sécurité sont configurées dans le sens a from-zone to-zone . Sous une direction de zone spécifique, chaque stratégie de sécurité contient un nom, des critères de correspondance, une action et diverses options.

• Le nom de la stratégie, les critères de correspondance et l’action sont obligatoires.

• Le nom de la stratégie est un mot-clé.

• L’adresse source dans les critères de correspondance est composée d’un ou de plusieurs noms d’adresse ou de jeux d’adresses dans le from-zonefichier .

• L’adresse de destination des critères de correspondance est composée d’un ou de plusieurs noms d’adresse ou de jeux d’adresses dans le to-zonefichier .

• Le nom de l’application dans les critères de correspondance est composé du nom d’une ou de plusieurs applications ou ensembles d’applications.

• L’une des actions suivantes est requise : autoriser, refuser ou rejeter.

• Des éléments de comptabilité et d’audit peuvent être spécifiés : comptage et journalisation.

• Vous pouvez activer la journalisation à la fin d’une session à l’aide de la session-close commande, ou au début de la session à l’aide de la session-init commande.

• Lorsque l’alarme de comptage est activée, spécifiez les seuils d’alarme en octets par seconde ou en kilo-octets par minute.

• Vous ne pouvez pas spécifier global en tant que le ou le sauf dans la from-zone to-zone condition suivante :

  Toute stratégie configurée avec le to-zone comme zone globale doit avoir une adresse de destination unique pour indiquer que le NAT statique ou le NAT entrant a été configuré dans la stratégie.

• Dans les pare-feu SRX Series, l’option d’autorisation de stratégie avec NAT est simplifiée. Chaque stratégie indiquera éventuellement si elle autorise la traduction NAT, si elle n’autorise pas la traduction NAT ou si elle ne s’en soucie pas.

• Les noms d’adresse ne peuvent pas commencer par les préfixes réservés suivants. Ceux-ci ne sont utilisés que pour la configuration NAT d’adresse :

  • static_nat_

  • incoming_nat_

  • junos_

• Les noms d’application ne peuvent pas commencer par le junos_ préfixe réservé.

Vous pouvez configurer la stratégie de sécurité pour le trafic en libre-service afin d’appliquer des services au trafic en libre-service. Les stratégies de trafic sortant de l’hôte ne fonctionnent que dans les cas où le paquet provenant de l’équipement hôte passe par le flux et que l’interface entrante de ce paquet est définie sur local.

Les avantages de l’utilisation du self-traffic sont les suivants :

• Vous pouvez tirer parti de la plupart des stratégies existantes ou de l’infrastructure de flux utilisée pour le trafic de transit.

• Vous n’avez pas besoin d’une adresse IP distincte pour activer un service.

• Vous pouvez appliquer des services ou des stratégies à tout trafic entrant de l’hôte dont l’adresse IP de destination est celle de n’importe quelle interface de l’équipement.

Les stratégies de sécurité pour le trafic en libre-service sont configurées sous la nouvelle zone de sécurité par défaut appelée junos-host zone. La zone junos-host fera partie de la configuration junos-defaults, de sorte que les utilisateurs ne peuvent pas la supprimer. Les configurations de zone existantes, telles que les interfaces, l’écran, tcp-rst et les options host-inbound-traffic, ne sont pas significatives pour la zone junos-host. Par conséquent, il n’y a pas de configuration dédiée pour la zone hôte junos.

Pour créer une stratégie de sécurité, vous devez effectuer les tâches suivantes :

1. Créez des zones. Reportez-vous à la section Exemple : Création de zones de sécurité.

2. Configurez un carnet d’adresses avec les adresses de la stratégie. Reportez-vous à la section Exemple : Configuration des carnets d’adresses et des ensembles d’adresses.

3. Créez une application (ou un ensemble d’applications) qui indique que la stratégie s’applique au trafic de ce type. Reportez-vous à la section Exemple : Configuration d’applications et d’ensembles d’applications de stratégie de sécurité.

4. Créez la stratégie. Voir Exemple : Configuration d’une stratégie de sécurité pour autoriser ou refuser tout le trafic, Exemple : Configuration d’une stratégie de sécurité pour autoriser ou refuser le trafic sélectionné et Exemple : Configuration d’une stratégie de sécurité pour autoriser ou refuser le trafic d’adresses génériques.

5. Créez des planificateurs si vous prévoyez de les utiliser pour vos stratégies. Reportez-vous à la section Exemple : Configuration des planificateurs pour une planification quotidienne à l’exclusion d’un jour.

L’assistant de stratégie de pare-feu vous permet de configurer les stratégies de sécurité de base. Pour une configuration plus avancée, utilisez l’interface J-Web ou la CLI.

Un réseau sécurisé est vital pour une entreprise. Pour sécuriser un réseau, un administrateur réseau doit créer une stratégie de sécurité qui décrit toutes les ressources réseau de cette entreprise et le niveau de sécurité requis pour ces ressources. La stratégie de sécurité applique les règles de sécurité au trafic de transit dans un contexte donné (de la zone à la zone d’à) et chaque stratégie est identifiée de manière unique par son nom. Le trafic est classé en faisant correspondre les zones source et de destination, les adresses source et de destination, ainsi que l’application qu’il transporte dans ses en-têtes de protocole avec la base de données de stratégies du plan de données.

Le Tableau 1 présente les limitations de stratégie pour les équipements SRX300, SRX320, SRX340, SRX345, SRX380, SRX550, SRX650, SRX550M, SRX1400, SRX1500, SRX3400, SRX3600, SRX4100, SRX4200, SRX4600, SRX5400, SRX5600 et SRX5800. La prise en charge de la plate-forme dépend de la version de Junos OS dans votre installation.

Par conséquent, à mesure que vous augmentez le nombre d’adresses et d’applications dans chaque règle, la quantité de mémoire utilisée par la définition de stratégie augmente, et parfois le système manque de mémoire avec moins de 80 000 stratégies.

Pour obtenir l’utilisation réelle de la mémoire d’une stratégie sur le moteur de transfert de paquets (PFE) et le moteur de routage (RE), vous devez prendre en considération divers composants de l’arborescence de mémoire. L’arborescence de mémoire comprend les deux composants suivants :

• Contexte de la stratégie : permet d’organiser toutes les stratégies dans ce contexte. Le contexte de la stratégie inclut des variables telles que les zones source et de destination.

• Entité de stratégie : utilisée pour contenir les données de stratégie. L’entité de stratégie calcule la mémoire à l’aide de paramètres tels que le nom de la stratégie, les adresses IP, le nombre d’adresses, les applications, l’authentification du pare-feu, WebAuth, IPsec, le nombre, les services d’application et Junos Services Framework (JSF).

En outre, les structures de données utilisées pour stocker les stratégies, les ensembles de règles et d’autres composants utilisent une mémoire différente sur le moteur de transfert de paquets et sur le moteur de routage. Par exemple, les noms d’adresse de chaque adresse de la stratégie sont stockés dans le moteur de routage, mais aucune mémoire n’est allouée au niveau du moteur de transfert de paquets. De même, les plages de ports sont étendues à des paires de préfixes et de masques et sont stockées sur le moteur de transfert de paquets, mais aucune mémoire de ce type n’est allouée sur le moteur de routage.

Par conséquent, selon la configuration de stratégie, les contributeurs de stratégie au moteur de routage sont différents de ceux du moteur de transfert de paquets et la mémoire est allouée dynamiquement.

La mémoire est également consommée par l’état « suppression différée ». Dans l’état de suppression différée, lorsqu’un pare-feu SRX Series applique une modification de stratégie, il y a un pic d’utilisation transitoire dans lequel les anciennes et nouvelles stratégies sont présentes. Ainsi, pendant une brève période, les anciennes et les nouvelles stratégies existent sur le moteur de transfert de paquets, occupant deux fois plus de mémoire.

Par conséquent, il n’existe aucun moyen définitif de déduire clairement la quantité de mémoire utilisée par l’un ou l’autre composant (moteur de transfert de paquets ou moteur de routage) à un moment donné, car les exigences en mémoire dépendent de configurations spécifiques de stratégies et la mémoire est allouée dynamiquement.

Les bonnes pratiques suivantes pour l’implémentation des stratégies vous permettent d’optimiser l’utilisation de la mémoire système et d’optimiser la configuration des stratégies :

• Utilisez des préfixes uniques pour les adresses source et de destination. Par exemple, au lieu d’utiliser des adresses /32 et d’ajouter chaque adresse séparément, utilisez un grand sous-réseau qui couvre la plupart des adresses IP dont vous avez besoin.

• Utilisez l’application « any » dans la mesure du possible. Chaque fois que vous définissez une application individuelle dans la stratégie, vous pouvez utiliser 52 octets supplémentaires.

• Utilisez moins d’adresses IPv6, car elles consomment plus de mémoire.

• Utilisez moins de paires de zones dans les configurations de stratégie. Chaque zone source ou de destination utilise environ 16 048 octets de mémoire.

• Les paramètres suivants peuvent modifier la façon dont la mémoire est consommée par les octets comme spécifié :

  • Authentification par pare-feu : environ 16 octets ou plus (non corrigé)

  • Authentification Web : environ 16 octets ou plus (non corrigé)

  • IPsec – 12 octets

  • Services applicatifs : 28 octets

  • Nombre : 64 octets

• Vérifiez l’utilisation de la mémoire avant et après la compilation des stratégies.

  Note:

  Les besoins en mémoire de chaque appareil sont différents. Certains appareils prennent en charge 512 000 sessions par défaut, et la mémoire de démarrage est généralement de 72 à 73 %. D’autres appareils peuvent avoir jusqu’à 1 million de sessions et la mémoire de démarrage peut atteindre 83 à 84 %. Dans le pire des cas, pour prendre en charge environ 80 000 stratégies dans le SPU, le SPU doit démarrer avec une consommation de mémoire du noyau fluide allant jusqu’à 82 % et avec au moins 170 mégaoctets de mémoire disponible.

Cet exemple montre comment configurer une stratégie de sécurité pour autoriser ou refuser tout le trafic.

Cet exemple montre comment configurer une stratégie de sécurité pour autoriser ou refuser le trafic sélectionné.

Cet exemple montre comment configurer une stratégie de sécurité pour autoriser ou refuser le trafic d’adresses génériques.

Cet exemple montre comment configurer une stratégie de sécurité pour envoyer les journaux de trafic générés sur l’appareil à un serveur de journaux système externe.

L’ajout manuel d’entrées d’adresses dans une stratégie peut prendre beaucoup de temps. Il existe des sources externes qui fournissent des listes d’adresses IP qui ont un objectif spécifique (comme une liste de blocage) ou qui ont un attribut commun (comme un emplacement ou un comportement particulier qui pourrait constituer une menace). Vous pouvez utiliser la source externe pour identifier les sources de menaces par leur adresse IP, puis regrouper ces adresses dans une entrée d’adresse dynamique et référencer cette entrée dans une stratégie de sécurité. Ainsi, vous pouvez contrôler le trafic à destination et en provenance de ces adresses. Chacun de ces groupes d’adresses IP est appelé entrée d’adresse dynamique.

Les types d’adresses IP suivants sont pris en charge :

• IP unique. Par exemple : 192.0.2.0

• Plage d’adresses IP. Par exemple : 192.0.2.0- 192.0.2.10

• CIDR. Par exemple : 192.0.2.0/24

Chaque entrée occupe une ligne. À partir de Junos OS version 19.3R1, les plages d’adresses IP n’ont plus besoin d’être triées par ordre croissant et la valeur des entrées IP peut se chevaucher dans le même fichier de flux. Dans les versions de Junos OS antérieures à la version 19.3R1, les plages d’adresses IP doivent être triées par ordre croissant et la valeur des entrées IP ne peut pas se chevaucher dans le même fichier de flux.

Voici les avantages du déploiement d’entrées d’adresses dynamiques dans les stratégies de sécurité :

• L’administrateur réseau a davantage de contrôle sur le trafic en provenance et à destination des groupes d’adresses IP.

• Le serveur externe fournit des flux d’adresses IP mis à jour au pare-feu SRX Series.

• Les efforts de l’administrateur sont considérablement réduits. Par exemple, dans une configuration de stratégie de sécurité héritée, l’ajout de 1 000 entrées d’adresse pour qu’une stratégie soit référencée nécessite environ 2 000 lignes de configuration. En définissant une entrée d’adresse dynamique et en la référençant dans une stratégie de sécurité, jusqu’à des millions d’entrées peuvent affluer dans le pare-feu SRX Series sans effort de configuration supplémentaire.

• Aucun processus de validation n’est requis pour ajouter de nouvelles adresses. L’ajout de milliers d’adresses à une configuration par le biais d’une méthode héritée prend beaucoup de temps à valider. Alternativement, les adresses IP d’une entrée d’adresse dynamique proviennent d’un flux externe, de sorte qu’aucun processus de validation n’est nécessaire lorsque les adresses d’une entrée changent.

La figure 3 illustre une vue d’ensemble fonctionnelle du fonctionnement de l’entrée d’adresse dynamique dans une stratégie de sécurité.

Figure 3 : Composants fonctionnels de l’entrée d’adresse dynamique dans une stratégie de sécurité

Une stratégie de sécurité fait référence à l’entrée d’adresse dynamique dans un champ d’adresse source ou d’adresse de destination (de la même manière qu’une stratégie de sécurité fait référence à une entrée d’adresse héritée).

La figure 4 illustre une stratégie qui utilise une entrée d’adresse dynamique dans le champ Adresse de destination.

Figure 4 : Saisie dynamique d’adresse dans une stratégie de sécurité

Dans la Figure 4, la stratégie 1 utilise l’adresse de destination 10.10.1.1, qui est une entrée d’adresse de sécurité héritée. La stratégie 2 utilise l’adresse de destination Liste de blocage des fournisseurs, qui est une entrée d’adresse dynamique nommée par l’administrateur réseau. Son contenu est la liste des adresses IP récupérées à partir d’un fichier de flux externe. Les paquets qui répondent aux cinq critères (la zone de départ nommée untrust, la zone de destination nommée ingénieur, n’importe quelle adresse source, une adresse IP de destination appartenant à l’entrée d’adresse dynamique de la liste de blocage du fournisseur et l’application de messagerie) sont traités en fonction des actions de stratégie, qui consistent à refuser et à consigner le paquet.

Les groupes d’adresses dynamiques prennent en charge les flux de données suivants :

• Listes personnalisées (listes d’autorisation et de blocage)

• Geoip

• Serveurs de flux
• Flux groupés
• Prise en charge des serveurs de flux pour les pare-feu SRX Series

RÉSUMÉ Utilisez cet exemple pour configurer des stratégies de sécurité pour l’inspection du tunnel EVPN (Ethernet VPN) VXLAN (VXLAN).

RÉSUMÉ Utilisez cette configuration pour activer les stratégies de sécurité sur le pare-feu virtuel vSRX 3.0 pour l’inspection des tunnels de flux de paquets de Genève.

Grâce au support de Genève sur les instances du pare-feu virtuel vSRX 3.0, vous pouvez utiliser vSRX3.0 pour :

• Connectez les terminaux des environnements de campus, de datacenter et de cloud public, et leurs bancs.

• Sécurisez ces environnements avec une sécurité intégrée.