テナント システム:セキュリティ インテリジェンスおよびマルウェア対策ポリシー
テナントシステムでは、メモリやCPUなどの仮想システムリソースを論理グループに割り当てて、複数の仮想ファイアウォールを作成できます。これにより、各仮想ファイアウォールは、1つのコンピューティングシステム内のスタンドアロンシステムとして自身を識別できます。Junos OS 18.4以降、SRXシリーズファイアウォールは、マルウェア対策とセキュリティインテリジェンス(SecIntel)ポリシーのテナントシステムをサポートします。Juniper ATP Cloudでテナントシステムを組織に関連付けると、そのテナントシステムは組織に設定された脅威管理機能を受け取ります。SRXシリーズファイアウォールは、テナントシステムと関連するJuniper ATP Cloud組織に基づいてポリシーを適用します。
SRXシリーズファイアウォールでテナントシステムを使用する方法については、 Junosのドキュメントを参照してください。
SecIntel フィードに対するテナント システムのサポート
Junos OS 18.4 以降では、テナント システムの SecIntel プロファイルを設定できます。
テナントシステムは、関連するSRXシリーズファイアウォールが登録されると、ATP Cloudに登録されます。マルウェア対策またはSecIntelポリシーが有効になっているすべてのテナントシステムは、他のSRXシリーズファイアウォールとともにATP Cloudの[登録済みデバイス]ページに表示されます。
登録されている組織に自動的に送信を行う物理デバイスとは異なり、テナントシステムの送信は、Juniper ATP Cloud Web UIの[組織管理]ページを使用して組織に関連付けられるまで無視されます。これらの手順については、「 組織管理 」を参照してください。
root-logical-systemは、SRXシリーズファイアウォールが登録されている組織に自動的に関連付けられることに注意してください。既定では、root-logical-system のみが送信できます。したがって、root-logical-system関連付けを行う必要はありません。
テナント システムの SecIntel ポリシー設定向けの CLI コマンドの例を次に示します。この例で使用されているテナントシステム(TSYS1)は、ポリシーを目的のデバイスに適用するために、Juniper ATP Cloudの正しい組織に関連付けられている必要があります。
set logical-systems TSYS1 services security-intelligence profile secintel_profile category CC set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 10 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule match threat-level 9 set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then action block close set logical-systems TSYS1 services security-intelligence profile secintel_profile rule secintel_rule then log set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then action permit set logical-systems TSYS1 services security-intelligence profile secintel_profile default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 CC secintel_profile set logical-systems TSYS1 services security-intelligence profile pf1 category Infected-Hosts set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then action block drop set logical-systems TSYS1 services security-intelligence profile pf1 default-rule then log set logical-systems TSYS1 services security-intelligence policy p1 Infected-Hosts pf1
以下のコマンドを使用して、SRXシリーズファイアウォール上に検査プロファイル用のセキュリティポリシーを作成します。
set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match source-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match destination-address any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 match application any set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services ssl-proxy profile-name ssl-inspect-profile-dut set logical-systems TSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services security-intelligence-policy p1
以下のコマンド例を使用して、テナント システムの感染ホストフィードを表示します。
root@SRX> show security dynamic-address category-name Infected-Hosts logical-system TSYS1 No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
または、以下を使用します。
User1@SRX:TSYS1> show security dynamic-address category-name Infected-Hosts No. IP-start IP-end Feed Address 1 10.1.32.131 10.1.32.131 Infected-Hosts/1 ID-2150001a 2 10.1.32.148 10.1.32.148 Infected-Hosts/1 ID-2150001a 3 10.1.32.183 10.1.32.183 Infected-Hosts/1 ID-2150001a 4 10.1.32.201 10.1.32.201 Infected-Hosts/1 ID-2150001a
AAMWのテナントシステムサポート
Junos OS 18.4以降では、テナントシステムごとにマルウェア対策ポリシーを設定することもできます。テナント システムのマルウェア対策ポリシー構成の例を次に示します。
前述したように、この例で使用したテナントシステム(TSYS1)は、ポリシーを目的のデバイスに適用するために、ATP Cloudの正しい組織に関連付けられている必要があります。「ATP Cloud Web UI 設定の詳細については、 組織管理 」を参照してください。
set logical-systems TSYS1 services advanced-anti-malware policy LP1 http inspection-profile ldom_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 http action block set logical-systems TSYS1 services advanced-anti-malware policy LP1 http notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 smtp notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap inspection-profile default_profile set logical-systems TSYS1 services advanced-anti-malware policy LP1 imap notification log set logical-systems TSYS1 services advanced-anti-malware policy LP1 verdict-threshold 3
次のコマンドを使用して、テナント システムのマルウェア対策ポリシーを表示します。
root@SRX> show services advanced-anti-malware policy logical-systems TSYS1
Advanced-anti-malware configuration:
Policy Name: LP11
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
または、以下を使用します。
User1@SRX:TSYS1> show services advanced-anti-malware policy
Advanced-anti-malware configuration:
Policy Name: LP1
Default-notification : Log
Whitelist-notification: Log
Blacklist-notification: Log
Fallback options:
Action: block
Notification: No Log
Inspection-profile: ldom_profile
Applications: HTTP
Verdict-threshold: 3
Action: block
Notification: Log
セキュリティ プロファイル CLI
管理者は、1 つのセキュリティプロファイルを設定して特定のテナントシステムにリソースを割り当てるか、複数のテナントシステムに同じセキュリティプロファイルを使用するか、または両方の方法を組み合わせて使用できます。論理システムを実行しているSRXシリーズファイアウォールでは、最大32のセキュリティプロファイルを設定できます。
セキュリティ プロファイルを使用すると、さまざまな量のリソースをテナント システムに割り当て、空きリソースの使用を競うことができます。また、1 つの論理システムが、他のテナント システムで同時に必要とするリソースを使い果たすことからも保護します。
以下のコマンドがセキュリティプロファイルの CLI に追加されます。
aamw-ポリシー
例えば：
set system security-profile <name> aamw-policy maximum 32SecIntelポリシー
例えば：
set system security-profile <name> secintel-policy maximum 32
以下のコマンドを使用して、セキュリティプロファイルを表示します。
show system security-profile all-resource
論理システムの set system security-profile コマンドの詳細については、 Junos のマニュアルを参照してください。