アプリケーションシグネチャパッケージのインストール

次世代アプリケーション識別へのアップグレード

レガシーアプリケーション識別機能を備えたJunos OSビルドとともにインストールされたセキュリティデバイスには、レガシーアプリケーション識別セキュリティパッケージが含まれています。これらのデバイスを最新のリリースでアップグレードすると、次世代のアプリケーション識別セキュリティパッケージがデフォルトのプロトコルバンドルとともにインストールされます。デバイスは、次世代アプリケーション識別に自動的にアップグレードされます。

次世代アプリケーション識別セキュリティパッケージについては、以下の点に注意してください。

• 次世代のアプリケーション識別セキュリティパッケージでは、従来のアプリケーション識別パッケージに段階的な更新が導入されます。既存のアプリケーションを削除またはアンインストールする必要はありません。

• 以前の Junos OS バージョンのアプリケーションには、それ以降のバージョンで新しいエイリアスが設定される場合があります。既存の設定は引き続き機能しますが、ログと関連情報には更新された名前が反映されます。 show services application-identification application detail new-application-name コマンドを使用して、アプリケーションの詳細を取得します。

• Junos OSをアップグレードする際、request system software addコマンドにvalidateまたはno-validateオプションを含めることができます。次世代アプリケーション識別に含まれていない既存の機能は非推奨であるため、非互換性の問題は発生しません。

• 次世代アプリケーション識別は、新しいネストされたアプリケーションの生成を排除し、既存のネストされたアプリケーションを通常のアプリケーションとして扱います。また、次世代アプリケーション識別は、カスタムアプリケーションやカスタムアプリケーショングループをサポートしていません。ネストされたアプリケーション、カスタムアプリケーション、またはカスタムアプリケーショングループを含む既存の設定は無視され、警告メッセージが表示されます。

自動ダウンロードのスケジュール

1. セキュリティパッケージのURLを指定します。セキュリティパッケージには、検出器と最新の攻撃オブジェクトとグループが含まれています。次のステートメントでは、シグネチャデータベースの更新をダウンロードするためのURLとして https://signatures.juniper.net/cgi-bin/index.cgi を指定します。

2. ダウンロードの時間と間隔を指定します。次のステートメントでは、間隔を48時間、開始時刻を12月10日の午前10時と設定します。

3. デバイスの設定が完了したら、設定をコミットします。

ダウンロードオプションを設定する

以下のオプションを使用して、アプリケーションシグネチャデータベースのダウンロードを設定することもできます。

• routing-instance—デバイスがアプリケーションシグネチャパッケージをダウンロードするために使用できるルーティングインスタンスを設定します。一部のネットワーク設定、特に複数の仮想ルーティングおよび転送(VRF)インスタンスまたは分離された管理ネットワークを設定する設定では、デフォルトのルーティングテーブルがインターネットやジュニパーシグネチャサーバーにアクセスできない場合があります。ルーティングインスタンスを指定することで、シグネチャ更新プロセスが正しいパスを使用してアップデートサーバーに到達するようにすることができます。
• source-address—デバイスがアプリケーションシグネチャサーバーに接続してアプリケーションシグネチャパッケージをダウンロードする際に使用できる送信元IPアドレスを設定します。このオプションは、デバイスに複数のインターフェイスまたはIPアドレスがある環境で使用します。このオプションを選択すると、シグネチャパッケージを取得するためのアウトバウンド接続に正しい送信元IPが使用されるようになります。
• ignore-server-validation—ダウンロード中にサーバー認定検証をスキップする場合は、サーバー認証を無効にします。検証はデフォルトで有効になっています。このオプションは、信頼できる環境またはテスト目的でのみ使用してください。
• プロキシプロファイル—アプリケーション識別更新をダウンロードする際に特定のプロキシプロファイルを使用します。これは、インターネットへの直接アクセスが制限されており、トラフィックがプロキシを経由する必要がある環境で有効です。 プロキシサーバーからアプリケーションシグネチャパッケージをダウンロードするを参照してください。
• url—アプリケーションパッケージをダウンロードするためのURLこのオプションを使用して、アプリケーションパッケージのデフォルトのダウンロード場所を変更します。

アプリケーション識別パッケージのダウンロードとインストール

• ステップバイステップの手順
• ステップバイステップの手順

目的

アプリケーションパッケージのダウンロードとインストールが正常に完了したら、次のコマンドを使用して、定義済みのアプリケーションシグネチャパッケージのコンテンツを表示します。

アクション

• アプリケーションパッケージの現在のバージョンを表示します。

• アプリケーションパッケージの現在のステータスを表示します。

自動ロールバック

アプリケーションシグネチャパッケージのインストールに失敗した場合、システムは自動的にセキュリティデバイスに現在インストールされているアプリケーションシグネチャパッケージの以前のバージョンにロールバックします。

シャーシクラスターモードで動作するデバイスにアプリケーションシグネチャパッケージをダウンロードしてインストールする際、ノードでのインストールに失敗すると、システムは以前のバージョンのアプリケーションシグネチャにロールバックします。デバイスは、インストールが失敗しロールバックが成功した同じノードにマイナーアラームを表示します。

例:

インストールに失敗し、ロールバックが正常に完了した場合、アプリケーションシグネチャパッケージのロールバックステータスを確認します。

手動ロールバック

以下の手順を使用して、アプリケーションシグネチャパッケージを以前にインストールされたバージョンに手動でロールバックできます。

1. アプリケーションシグネチャパッケージを以前のバージョンにロールバックします。

2. ロールバックステータスを確認します。

アプリケーションシグネチャパッケージの手動ロールバックについては、以下の点に注意してください。

• アプリケーションシグネチャパッケージのバージョンをバージョンYからバージョンXに手動でロールバックすると、バージョンYよりも高い新しいバージョンZが利用可能になるまで、アプリケーションシグネチャパッケージのスケジュールされた自動更新はスキップされます。

• 侵入検出および防止(IDP)セキュリティパッケージを使用して、アプリケーションシグネチャをダウンロードしてインストールできます。この場合、IDPのインストール中にAppIDのインストールに失敗した場合、AppIDは以前のバージョンにロールバックし、IDPのインストールは要求されたバージョンで続行されます。この場合、IDPとAppIDのバージョンが異なる場合があります。

• ダウンロードしたシグネチャパッケージファイルに破損、削除、または変更がある場合、アプリケーションシグネチャパッケージのインストールは続行されません。この場合、以下のメッセージが表示されます。

• セキュリティデバイスに以前のバージョンのアプリケーションシグネチャパッケージが含まれていない場合、アプリケーションシグネチャパッケージをロールバックしようとすると、デバイスに次のエラーメッセージが表示されます。

新しいアプリケーションの通常アプリケーションへの移行:

junos:all-new-appsグループには、セキュリティデバイスにインストールされているアプリケーションシグネチャパック内のすべての新しいアプリケーションのセットと、以前にインストールされたシグネチャパックとの比較が含まれています。新しいバージョンのアプリケーションシグネチャパッケージをインストールすることにした場合、そのバージョンにはjunos:all-new-appsグループ内の新しいアプリケーションセットが含まれます。

新しいアプリケーションを既存のアプリケーションシグネチャパッケージ内の通常のアプリケーションに移行することを選択できます。この移行により、今後新しいアプリケーションシグネチャバージョンにアップグレードするたびに、新しいアプリケーションに固有のセキュリティポリシーのルールを一貫して維持できます。

次の新しいコマンドを使用して、新しいアプリケーションとしてタグ付けされたアプリケーションを通常のアプリケーションに移動できます。

• 指定された新しいアプリケーションのみを通常のアプリケーションとして移行するには、次のコマンドを使用します。

• すべての新しいアプリケーションを通常のアプリケーションとして移行するには、次のコマンドを使用します。

これらのコマンドを実行すると、アプリケーションは新規としてタグ付けされなくなり、 junos:all-new-apps グループには含まれなくなります。

アプリケーションシグネチャパッケージの機能強化

アプリケーションシグネチャパッケージに次の機能強化が導入されました。

• FTPデータコンテキスト伝搬のサポート
• アプリケーションシステムキャッシュ(ASC)ヒット時に、APBR(Advanced Policy-Based Routing)によってオフロードされたセッションのディープディープパケットインスペクション(DPI)がヒットしました。(APBRサービスのみ有効になっている場合)
• 同じバージョンのシグネチャパック上にアプリケーションシグネチャパックを強制的にインストールします。「request services application identification install ignore duplicate version check」を参照してください。
• CLIコマンド出力でのアプリケーションシグネチャパックのリリース日の表示。show services application-identification versionを参照してください。
• インストールされているシグネチャパックで使用可能な非推奨のアプリケーションシグネチャのリストをCLIコマンド出力で表示します。show services application identification, application obsolete applications を参照してください。

アプリケーションシグネチャパッケージのインストールに失敗

アプリケーションシグネチャパッケージのインストール中にエラーが発生した場合、またはプロセスが予期せずクラッシュした場合、インストールは自動的に停止し、以前にインストールされたバージョンに戻ります。

障害のあるアプリケーションシグネチャパッケージのダウンロードステータスを確認しようとすると、システムは以下のエラーメッセージを表示します。

• アプリケーションシグネチャパッケージのバージョンを指定した場合:
• アプリケーションシグネチャパッケージのバージョンが指定されていない場合:

アプリケーションシグネチャのインストールステータスを確認すると、システムは以下のメッセージを表示します。

• アプリケーション パッケージのインストールが完了し、欠陥がないか検証されたら、次のようになります。

• 障害としてマークされたアプリケーションシグネチャパッケージをインストールしようとすると、次のようになります。

• インストールされているアプリケーションシグネチャパッケージに障害があることが検出された場合:

以下のコマンドを使用すると、失敗したバージョンの詳細を確認できます。

アプリケーションシグネチャパッケージの自動更新をスケジュールする場合: インストール中で、インストールパッケージに問題がある場合、システムはアプリケーションシグネチャパッケージを以前のバージョンにロールバックします。次回の自動更新中、システムは問題のあるシグネチャパッケージのダウンロードとインストールを続行しません。

自動ロールバック機能の強化

自動ロールバック機能により、システムは以前動作していたバージョンのアプリケーションシグネチャパッケージに戻すことができます。さらに、アプリケーションシグネチャパッケージのインストール中に問題が発生した場合に備えて、以前に指定されたロールバックバージョンが保持されます

たとえば、デバイスに現在アプリケーションシグネチャパッケージバージョンYがあり、ロールバックバージョンをXに設定している場合、インストール試行中に次のようになります。

• 新しいバージョンZをインストールしようとします。
• インストール中に問題が発生した場合、またはバージョン Z のインストールに失敗した場合、システムは自動的に現在のバージョン Y に戻ります。
• 以前に指定されたロールバックバージョンXは変更されません。

このようにして、システムは必要に応じて既知の動作バージョンに戻すことでスムーズな移行を保証します。

シャーシクラスタへのアプリケーションシグネチャパッケージのインストール セットアップ

シャーシ クラスターのセットアップを使用する場合、システムはまずプライマリ ノードにアプリケーションシグネチャ パッケージをインストールし、問題がないかチェックします。

プライマリノードでアプリケーションシグネチャパッケージのインストールがすぐに開始されます。インストール中、セカンダリ ノードはプライマリ ノードがインストール パッケージの検証を完了するのを待ちます。検証が成功すると、システムはセカンダリ ノードに同じパッケージをインストールします。それ以外の場合は、インストールをスキップします。

以下のコマンドを使用して、インストールステータスを確認できます。

プライマリ ノードでのインストールに失敗した場合、ロールバックはプライマリ ノードでのみ実行されます。同様に、セカンダリ ノードでのインストールに失敗した場合、ロールバックはセカンダリ ノードでのみトリガーされます。

インストールに失敗すると、システムは以下のメッセージを表示します。

プライマリノード

セカンダリノード

プライマリ ノードでのインストールの進行中にノードがプライマリ状態からセカンダリ状態に変更されると、システムは次のメッセージを表示します。

プライマリノード

セカンダリノード

予期しない問題によりプライマリシステムがセカンダリノードを時間内(約35分)に更新できない場合、セカンダリシステムへのインストールプロセスはキャンセルされます。

プライマリ ノードのインストールと検証が完了すると、システムはセカンダリ ノードへのインストールを開始します。フェイルオーバーによりプライマリロールとセカンダリロールが変更された場合、以前のセカンダリノード(現在はプライマリ)がシグネチャパッケージをインストールし続けます。

シグネチャパッケージサーバーへのインストールステータス

アプリケーションシグネチャエンジンは、インストールの成功または失敗のステータスをシグネチャパッケージサーバーに送信します。アプリケーションシグネチャパッケージのインストール中に、パッケージにエラーが見つかった場合、インストールは停止して以前のアクティブなバージョンに戻り、ステータスがサーバーに送信されます。複数のデバイスから障害のあるアプリケーションシグネチャパッケージが報告された場合、サーバーはこのデータを分析し、パッケージを無効としてマークし、今後のダウンロードを阻止します。

シグネチャパッケージを無効としてマークすることは、メジャーシグネチャパッケージでのみ使用できます。

無効とマークされたシグネチャパッケージは、今後CLIでのみダウンロードできなくなります。Security Directorによるダウンロードとインストール、およびオフラインでのダウンロードには、要求されたアプリケーションパッケージがダウンロードできないことを知らせるエラーメッセージが表示されます。

メジャーおよびマイナーシグネチャパッケージ

現在、次の 2 種類のシグネチャ パッケージがアップデートでサポートされています。

• 主なアップデートには、IDPシグネチャ、IDP検出器、アプリケーション識別プロトバンドルが含まれます。
• マイナーな更新には、定期的な署名の更新が含まれます。

メジャーアップデートとマイナーアップデートの違いを例を挙げて理解しましょう。

• リリースされたプロトコルバンドル付きのシグネチャパッケージバージョンのバージョンは3585です。これはメジャーアップデートです。3585以降のすべてのマイナーシグネチャパッケージには、次回のメジャーシグネチャパッケージの更新が行われるまで、この更新されたプロトコルバンドルが含まれています。
• パッケージの次のリリースには、IDP検出器が含まれており、バージョンは3598です。これもまたメジャーアップデートです。3598以降のすべてのマイナーシグネチャパッケージには、次のメジャーアップデートがあるまで、この更新された検出器が含まれています。

ファイアウォールにメジャーシグネチャパックバージョン3598が搭載されており、手動ダウンロード方法または自動ダウンロードを使用して3588などのマイナーバージョンをダウンロードしようとすると、ダウンロードは失敗し、次のエラーメッセージが表示されます。

マイナー専用シグネチャパッケージのダウンロード

マイナーとしてマークされたアプリケーションシグネチャパッケージをダウンロードできます。デフォルトの動作では、メジャーバージョンまたはマイナーバージョンはチェックされません。

マイナーシグネチャパッケージの自動ダウンロードを設定するには:

コマンドで minor-only を指定すると、シグネチャパッケージのマイナーバージョンがダウンロードされます。

マイナーシグネチャパッケージをダウンロードするには:

コマンドで minor-only を指定すると、シグネチャパッケージのマイナーバージョンがダウンロードされます。

利用可能なシグネチャパッケージのバージョンを確認します。

このコマンドは、アプリケーションシグネチャパッケージの使用可能なすべてのバージョンを表示します。

利用可能なシグネチャパッケージのバージョンを確認します。

このコマンドは、メジャーアプリケーションシグネチャパッケージの最新バージョンをすべて表示します。

シグネチャパッケージのバージョンを表示します。

このコマンドにより、デバイスにインストールされているアプリケーションシグネチャパッケージのバージョン Application package version フィールドが表示されます。

ジュニパーネットワークスのセキュリティWebサイトからシグネチャパッケージのバージョンを確認してください。

このコマンドは、メジャーおよびマイナー両方のアプリケーションシグネチャパッケージの最新バージョンを表示します。これらのパッケージは、ジュニパーネットワークスのセキュリティWebサイトで入手できます。

アプリケーションシグネチャパッケージのバージョンのダウングレード

シグネチャパッケージのバージョンを指定することで、アプリケーションシグネチャパッケージのバージョンをダウングレードできます。ダウングレードするには、以下の手順を使用します。

1. show services application-identification recent-appid-sigpack-versionsコマンドを使用して、使用可能なシグネチャパッケージのバージョンを確認します。

2. コマンドを実行して、必要なバージョンをダウンロードします。

オフラインアプリケーション識別(AppID)の更新

Offline Application Identification(AppID)アップデートと関連機能は、特に接続が制限されている環境において、ネットワークシステムの管理性と保守性を大幅に向上させます。

オフラインAppID更新機能では、以下のCLIコマンドを使用して、ローカルtarファイルからシグネチャパッケージを更新できます。

このコマンドを入力すると、シグネチャパッケージの解凍が解除され、抽出されたファイルがデバイス上の適切な場所に配置されます。

例:

1. URLからオフラインアプリケーションパッケージをコピーまたはダウンロードします: https://support.juniper.net/support/downloads/?p=282
2. シグネチャパッケージを抽出するコマンドを入力します。
3. シグネチャパッケージのオフラインダウンロードのステータスを確認する:

   パッケージパスが正しくない場合、システムは以下のエラーメッセージを表示します。

4. request services application-identification installコマンドを使用して、デバイスにシグネチャパッケージをインストールします。

この操作は、更新が成功したかどうか、またはエラーが発生したかどうかを示すシステム ログ メッセージで終了し、トラブルシューティングのためのフィードバックを即座に提供します。syslogメッセージの例:

• APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Completeは、更新が成功したことを確認します。
• この APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Failed with error (AppID offline download package </var/tmp/...> does not exist) は、特定のエラーメッセージとともに障害を示します

この機能は、遠隔地や安全な施設など、インターネット接続が制限されているか、まったくない環境で特に役立ちます。

非推奨アプリケーションのSyslogメッセージ

非推奨のアプリケーションとアプリケーショングループを管理できるようになりました。シグネチャパックの更新を実行すると、システムログメッセージに非推奨のアプリケーションが一覧表示されます。これは、セキュリティポリシーに影響を与える可能性のある古いアプリケーションの特定と管理に役立ちます。

非推奨のアプリケーションを処理する場合、システムログメッセージ APPIDD_DEPRECATED_APPLIST: Obsolete apps: app1, app2, app3, app4... に古いアプリケーションがリストされるため、適切なアクションを実行できます。

非推奨のアプリケーショングループを一覧表示する

次のコマンドを使用して、非推奨のアプリケーショングループをすべて一覧表示できます。

このコマンドを使用すると、非推奨のアプリケーショングループを一覧表示して、これらのグループがデバイス設定に干渉しないようにし、非表示の非推奨グループによるコミットの失敗を防ぐことができます。

以下のシステムログメッセージを使用して、非推奨のアプリケーショングループを表示できます。