機械学習ベースの脅威検出を構成する
典型的なエンタープライズネットワークを見てみましょう。エンドユーザーは、侵害されたWebサイトに無意識のうちにアクセスし、悪意のあるコンテンツをダウンロードします。このアクションにより、エンドポイントが侵害されます。エンドポイント上の有害なコンテンツは、ネットワーク内の他のホストにとっても脅威になります。悪意のあるコンテンツのダウンロードを防ぐことが重要です。
SRXシリーズファイアウォールをフローベースのアンチウィルスおよびMLベースの脅威検知とともに使用することで、マルウェア攻撃からユーザーを保護し、ネットワーク内でのマルウェアの拡散を防止することができます。
次の構成では、次のプロパティを持つ ML ベースのウイルス対策ポリシーを作成します。
-
ファイアウォール ポリシー名は fw-ml-policy です。
-
機械学習ポリシー名は ml-policy です。
-
返された判定が 7 以上の場合は、ファイルをブロックし、ログ エントリを作成します。
-
エラー状態が発生した場合は、ファイルのダウンロードを許可し、ログエントリを作成します。
必要条件
始める前に
-
セキュリティゾーンとセキュリティポリシーを設定します。詳細については、『Security Policies User Guide for Security Devices』の「例:セキュリティゾーンの作成」を参照してください。
-
ジュニパーのアンチウィルスのライセンスを所有していることを確認します。お使いのデバイスでライセンスを確認する方法について、詳しくは SRXシリーズファイアウォールのソフトウェアライセンスを参照してください。ライセンス情報の例を以下に示します。
License identifier: JUNOSXXXXXXXX License version: 4 Valid for device: XXXXXXXXXXXX Features: Juniper AV - Juniper Anti-virus Scan Engine date-based, 2022-10-23 17:00:00 PDT - 2022-11-23 16:00:00 PST
-
Junos OS リリース 24.2R1 以降を搭載した SRXシリーズファイアウォール
-
手記：
-
機械学習ベースのゼロデイ脅威検知では、IMAPS、SMTPS、HTTPS、および SMB プロトコルがサポートされています。
-
現在、.exeおよび.dllファイルタイプのみがサポートされています。
-
構成
手順
以下の設定では、設定階層のさまざまなレベルに移動する必要があります。その方法の説明については、 Junos OS CLIユーザーガイドの 設定モードでCLIエディターを使用するを参照してください。
-
ウイルス対策ポリシーを作成し、返された判定が 7 以上の場合はファイルをブロックします。
set services anti-virus policy ml-policy action block set services anti-virus policy ml-policy default-notification log set services anti-virus policy ml-policy fallback-options notification log set services anti-virus policy ml-policy http-client-notify message "test message for machine-learning flow" set services anti-virus policy ml-policy notification log set services anti-virus policy ml-policy verdict-threshold 7 set services anti-virus policy ml-policy machine-learning-scan action block set services anti-virus policy ml-policy machine-learning-scan notification log
-
デフォルトでは、ファイアウォールは毎週CDNサーバーから署名をダウンロードします。
データベース サーバーの URL を指定することで、ウイルス定義データベースを手動で更新できます。
set services anti-virus update url https://signatures.juniper.net
-
ファイアウォールポリシーを設定し、ウイルス対策ポリシーを適用します。
set security policies from-zone trust to-zone untrust policy fw-ml-policy match source-address any set security policies from-zone trust to-zone untrust policy fw-ml-policy match destination-address any set security policies from-zone trust to-zone untrust policy fw-ml-policy match application any set security policies from-zone trust to-zone untrust policy fw-ml-policy match dynamic-application any set security policies from-zone trust to-zone untrust policy fw-ml-policy then permit application-services anti-virus-policy ml-policy
-
設定をコミットします。
commit
ML スキャンの可能な完了は次のとおりです。
set services anti-virus policy ml-policy machine-learning-scan ? Possible completions: action Action when malware is found by machine learning scan + apply-groups Groups from which to inherit configuration data + apply-groups-except Don't inherit configuration data from these groups > default-notification Notification action taken for action > notification Notification when malware is found by machine learning scan
set services anti-virus machine-learning-scan ? Possible completions: + apply-groups Groups from which to inherit configuration data + apply-groups-except Don't inherit configuration data from these groups max-concurrent Max files concurrent scanned by machine learning scan
業績
設定モードから、 show services anti-virus policy ml-policy コマンドと show configuration | display set コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、設定手順を繰り返して設定を修正します。
構成の結果を確認します。
show services anti-virus
update {
url https://signatures.juniper.net;
}
policy ml-policy {
action block;
default-notification {
log;
}
fallback-options {
notification {
log;
}
}
http-client-notify {
message "test message for machine-learning flow";
}
notification {
log;
}
machine-learning-scan {
action block;
notification {
log;
}
}
verdict-threshold 7;
}
show security policies from-zone trust to-zone untrust
policy fw-ml-policy {
match {
source-address any;
destination-address any;
application any;
dynamic-application any;
}
then {
permit {
application-services {
anti-virus-policy ml-policy;
}
}
}
}
検証
設定が正しく機能していることを確認するには、次の手順を使用します。
ML 統計に関する情報の取得
目的
一部のトラフィックがSRXシリーズファイアウォールを通過した後、統計情報をチェックして、プロファイルとポリシー設定に従って、許可またはブロックされたセッションの数などを確認します。
アクション
動作モードから、 show services anti-virus machine-learning-scan-statistics コマンドを入力します。
サンプル出力
show services anti-virus machine-learning-scan-statistics
show services anti-virus machine-learning-scan-statistics
Anti-virus machine learning scan statistics:
Machine learning scan engine version: 1696526121
Machine learning scan engine update time: 2023-10-05 22:48:50 UTC
Total HTTP HTTPS SMTP SMTPS IMAP IMAPS SMB
File scanned: 359382 68947 154549 14367 24591 12494 20025 52309
Virus found: 187713 1417 146795 13840 24591 12494 20025 25165
Virus blocked: 187713 1417 146795 13840 24591 12494 20025 25165
Virus permitted: 0 0 0 0 0 0 0 0
意味
スキャン、識別、ブロックまたは許可されたウイルスの統計を表示します。