例- IoT デバイス検出とポリシー適用の設定
概要 この例では、IoT デバイスの検出とセキュリティ ポリシーの適用用にセキュリティ デバイスを構成します。
概要
ネットワークでIoTデバイスの検出を始めるために必要なのは、Juniper ATP Cloudに接続されたセキュリティデバイスです。 図 1 は、この例で使用したトポロジーを示しています。
トポロジーに示すように、ネットワークには、無線アクセスポイント(AP)を介してSRXシリーズデバイスに接続された一部のIoTデバイスが含まれています。セキュリティデバイスは、Juniper Cloud ATPサーバーとホストデバイスに接続されています。
セキュリティ デバイスは IoT デバイスのメタデータを収集し、関連する情報を Juniper ATP Cloud にストリーミングします。IoT メタデータのストリーミングを有効にするには、セキュリティ メタデータ ストリーミング ポリシーを作成し、これらのポリシーをセキュリティ ポリシーにアタッチする必要があります。Juniper CloudサーバーにIoTデバイスを分類するのに十分な詳細がある場合、IoTデバイストラフィックのストリーミングは自動的に一時停止します。
Juniper ATPクラウドは、IoTデバイスを検出して分類します。検出された IoT デバイスのインベントリを使用して、動的アドレス グループの形式で脅威フィードを作成します。セキュリティ デバイスが動的アドレス グループをダウンロードすると、動的アドレス グループを使用して IoT トラフィックのセキュリティ ポリシーを作成して適用できます。
表 1 と 表 2 は、この例で使用するパラメーターの詳細を示しています。
| に | 接続された | ゾーンインターフェイス |
|---|---|---|
| 信頼 | ge-0/0/2.0 | クライアント デバイス |
| untrust | ge-0/0/4.0 および ge-0/0/3.0 | IoT トラフィックを管理するためのアクセス ポイント |
| クラウド | ge-0/0/1.0 | インターネット(Juniper ATPクラウドに接続するため) |
| ポリシー | タイプ | アプリケーション |
|---|---|---|
| P1 | セキュリティ ポリシー | trustゾーンからtrustゾーンへのトラフィックを許可 |
| P2 | セキュリティ ポリシー | untrustゾーンからtrustゾーンへのトラフィックを許可 |
| P3 | セキュリティ ポリシー | trustゾーンからクラウドゾーンへのトラフィックを許可 |
| p1 | メタデータ ストリーミング ポリシー | untrustゾーンをストリーミングしてゾーントラフィックのメタデータを信頼する |
| p2 | メタデータ ストリーミング ポリシー | trustゾーンをClodゾーントラフィックメタデータにストリーミング |
| Unwanted_Applications | グローバル セキュリティ ポリシー | 脅威フィードとセキュリティポリシーに基づいて、グローバルコンテキストでIoTトラフィックを防止 |
要件
- SRX シリーズ デバイスまたは NFX シリーズ デバイス
- Junos OS リリース 22.1R1 以降
- Juniper Advanced Threat Preventionクラウドアカウント。 Juniper Advanced Threat Preventionクラウドアカウントの登録を参照してください。
Junos OSリリース22.1R1のvSRXインスタンスを使用して、設定を検証およびテストしました。
構成
SRXシリーズデバイスをジュニパーATPクラウドと連携させる
ジュニパーATPクラウドWebポータルと通信するには、SRXシリーズデバイスを設定する必要があります。SRX シリーズ デバイスがインターネットに接続されていることを確認します。SRX シリーズ デバイスをインターネットに設定するには、以下の初期設定を完了してください。
- インターフェイスを設定します。この例では、SRX シリーズ デバイスでインターフェイス ge-0/0/1.0 をインターネットに接続するインターフェイスとして使用しています。
[edit] user@host# set interfaces ge-0/0/1 unit 0 family inet address 10.50.50.1/24
- インターフェイスをセキュリティ ゾーンに追加します。
[edit] user@host# set security zones security-zone cloud interfaces ge-0/0/1.0 host-inbound-traffic system-services all user@host# set security zones security-zone cloud interfaces ge-0/0/1.0 host-inbound-traffic protocols all
- DNSを設定します。
[edit] user@host# set groups global system name-server 172.16.1.1
- NTP を設定します。
[edit] user@host# set groups global system processes ntp enable user@host# set groups global system ntp boot-server 192.168.1.20 user@host# set groups global system ntp server 192.168.1.20
SRX シリーズが ge-0/0/1.0 インターフェイスを介してインターネットに到達したら、次の手順に進みます。
- 必要なライセンスとアプリケーション署名パッケージを確認する
- ジュニパーATPクラウドでセキュリティデバイスを登録
- IoT トラフィック ストリーミング設定を構成する
- SRXシリーズ デバイスの設定
- ATPクラウドで検出されたIOTデバイスの表示
- 脅威フィードの作成
- 適応型脅威プロファイリングフィードを使用したセキュリティポリシーの作成
- 結果
必要なライセンスとアプリケーション署名パッケージを確認する
- 適切なJuniper ATPクラウドライセンスがあることを確認します。コマ ンドを
show system license使用してライセンス ステータスを確認します。user@host> show system license License identifier: JUNOS123456 License version: 4 Software Serial Number: 1234567890 Customer ID: JuniperTest Features: Sky ATP - Sky ATP: Cloud Based Advanced Threat Prevention on SRX firewalls date-based, 2016-07-19 17:00:00 PDT - 2016-07-30 17:00:00 PDT - デバイスにセキュリティ デバイスに最新のアプリケーション 署名パックがあることを確認します。
- デバイスにアプリケーション識別ライセンスがインストールされていることを確認します。
user@host> show system license License usage: Licenses Licenses Licenses Expiry Feature name used installed needed logical-system 4 1 3 permanent License identifier: JUNOSXXXXXX License version: 2 Valid for device: AA4XXXX005 Features: appid-sig - APPID Signatur
- アプリケーション署名パックの最新バージョンをダウンロードします。
user@host> request services application-identification download
- ダウンロードステータスを確認します。
user@host> request services application-identification download status Downloading application package 3475 succeeded.
- アプリケーション識別署名パックをインストールします。
user@host> request services application-identification install
- インストールされているアプリケーション署名パックのバージョンを確認します。
user@host> show services application-identification version Application package version: 3418 Release date: Tue Sep 14 14:40:55 2021 UTC
- デバイスにアプリケーション識別ライセンスがインストールされていることを確認します。
ジュニパーATPクラウドでセキュリティデバイスを登録
まず、ジュニパーATPクラウドでセキュリティデバイスを登録します。デバイスを既に登録している場合は、この手順をスキップして「 IoT トラフィック ストリーミング設定を構成する」に直接ジャンプできます。そうでない場合は、デバイス登録に次のいずれかの方法を使用します。
方法 1: CLI を使用したセキュリティ デバイスの登録
- SRX シリーズ デバイスで、以下のコマンドを実行して登録プロセスを開始します。
user@host> request services advanced-anti-malware enroll Please select geographical region from the list: 1. North America 2. European Region 3. Canada 4. Asia Pacific Your choice: 1
- 既存のレルムを選択するか、新しいレルムを作成します。
Enroll SRX to: 1. A new SkyATP security realm (you will be required to create it first) 2. An existing SkyATP security realm
レルムを作成するには、オプション 1 を選択します。次の手順を使用します。
-
You are going to create a new Sky ATP realm, please provide the required information:
-
Please enter a realm name (This should be a name that is meaningful to your organization. A realm name can only contain alphanumeric characters and the dash symbol. Once a realm is created, it cannot be changed): Real name: example-company-a
-
Please enter your company name: Company name: Example Company A
-
Please enter your e-mail address. This will be your username for your Sky ATP account: Email: me@example-company-a.com
-
Please setup a password for your new Sky ATP account (It must be at least 8 characters long and include both uppercase and lowercase letters, at least one number, at least one special character): Password: ********** Verify: **********
-
Please review the information you have provided: Region: North America New Realm: example-company-a Company name: Example Company A Email: me@example-company-a.com
-
Create a new realm with the above information? [yes,no] yes Device enrolled successfully!
また、既存のレルムを使用して、SRX シリーズと Juniper ATP Cloud を登録することもできます。
-
- ステータス CLI コマンドを
show services advanced-anti-malware使用して、SRX シリーズ デバイスがクラウド サーバーに接続されていることを確認します。root@idpreg-iot-v2# run show services advanced-anti-malware dynamic-filter status Feb 09 18:36:46 Dynamic Filter Server Connection Status: Server Hostname: srxapi.us-west-2.sky.junipersecurity.net Server Port: 443 Proxy Hostname: None Proxy Port: None Control Plane Connection Status: Connected Last Successful Connect: 2022-02-09 18:36:07 PST Pkts Sent: 2 Pkts Received: 6
方法 2: Juniper ATP クラウド Web ポータルにセキュリティ デバイスを登録する
Junos OS 運用(op)スクリプトを使用して、SRX シリーズ デバイスが Juniper Advanced Threat Prevention クラウド サービスに接続するように設定できます。
- Juniper ATPクラウドWebポータルで、デバイスページの[登録]ボタンをクリックします。
- コマンドをクリップボードにコピーして、[OK]をクリックします。
- コマンドを、動作モードで SRX シリーズ デバイスの Junos OS CLI に貼り付けます。
- ステータス コマンドを
show services advanced-anti-malware使用して、SRX シリーズ デバイスからクラウド サーバーに接続されていることを確認します。次の例のサーバー ホスト名は、例のみです。user@host> show services advanced-anti-malware statusServer connection status: Server hostname: srxapi.us-west-2.sky.junipersecurity.net Server realm: qatest Server port: 443 Proxy hostname: None Proxy port: None Control Plane: Connection time: 2022-02-15 21:31:03 PST Connection status: Connected Service Plane: fpc0 Connection active number: 18 Connection retry statistics: 48この例では、接続ステータスは、クラウドサーバーがセキュリティデバイスに接続されていることを示しています。
- また、ジュニパーATPクラウドポータルで登録されているデバイスを表示することもできます。[ すべてのデバイス>デバイス] ページに移動します。このページには、登録されているすべてのデバイスが一覧表示されます。
IoT トラフィック ストリーミング設定を構成する
この手順では、メタデータ ストリーミング ポリシーを作成し、セキュリティ デバイスでセキュリティ サービスを有効にします。
- 完全なクラウド接続設定。
[edit] user@host# set services security-intelligence url https://cloudfeeds.sky.junipersecurity.net/api/manifest.xml user@host# set services security-intelligence authentication tls-profile aamw-ssl
-
セキュリティ メタデータ ストリーミング ポリシーを作成します。
[edit] user@host# set services security-metadata-streaming policy p1 dynamic-filter user@host# set services security-metadata-streaming policy p2 dynamic-filter
これらのセキュリティメタデータストリーミングポリシーをセキュリティポリシーに添付して、セッションのIoTトラフィックストリーミングを有効にします。
- アプリケーション追跡、アプリケーション識別、PKI などのセキュリティ サービスを有効にします。
[edit] user@host# set services application-identification user@host# set security pki user@host# set security application-tracking
SRXシリーズ デバイスの設定
セキュリティ デバイスでインターフェイス、ゾーン、ポリシーを設定し、IoT パケット フィルタリングとストリーミング サービスを有効にするには、次の手順を使用します。
-
インターフェイスを設定します。
[edit] user@host# set interfaces ge-0/0/2 mtu 9092 user@host# set interfaces ge-0/0/2 unit 0 family inet address 10.60.60.1/24 user@host# set interfaces ge-0/0/3 mtu 9092 user@host# set interfaces ge-0/0/3 unit 0 family inet address 10.70.70.1/24 user@host# set interfaces ge-0/0/4 mtu 9092 user@host# set interfaces ge-0/0/4 unit 0 family inet address 10.80.80.1/24
-
セキュリティ ゾーンを設定し、構成した各ゾーンのアプリケーション トラフィックを有効にします。
[edit] user@host# set security zones security-zone trust interfaces ge-0/0/2.0 host-inbound-traffic system-services all user@host# set security zones security-zone trust interfaces ge-0/0/2.0 host-inbound-traffic protocols all user@host# set security zones security-zone trust application-tracking user@host# set security zones security-zone untrust interfaces ge-0/0/4.0 host-inbound-traffic system-services all user@host# set security zones security-zone untrust interfaces ge-0/0/4.0 host-inbound-traffic protocols all user@host# set security zones security-zone untrust interfaces ge-0/0/3.0 host-inbound-traffic system-services all user@host# set security zones security-zone untrust interfaces ge-0/0/3.0 host-inbound-traffic protocols all user@host# set security zones security-zone untrust application-tracking user@host# set security zones security-zone cloud application-tracking
トポロジーに示すように、untrustゾーンは、ネットワーク内のIOTデバイスからトランジットおよびホストバウンドトラフィックを受信します。クライアントデバイスはtrustゾーンに、Juniper ATP Cloudはクラウドゾーンにあります。
-
セキュリティポリシーP1を設定します。
[edit] user@host# set security policies from-zone trust to-zone untrust policy P1 match source-address any user@host# set security policies from-zone trust to-zone untrust policy P1 match destination-address any user@host# set security policies from-zone trust to-zone untrust policy P1 match application any user@host# set security policies from-zone trust to-zone untrust policy P1 then permit
この設定では、trustゾーンからtrustゾーンへのトラフィックを許可します。
-
セキュリティポリシーP2を設定します。
[edit] user@host# set security policies from-zone untrust to-zone trust policy P2 match source-address any user@host# set security policies from-zone untrust to-zone trust policy P2 match destination-address any user@host# set security policies from-zone untrust to-zone trust policy P2 match application any user@host# set security policies from-zone untrust to-zone trust policy P2 then permit user@host# set security policies from-zone untrust to-zone trust application-services security-metadata-streaming-policy p1
この設定により、untrustゾーンからのトラフィックがゾーンを信頼し、セキュリティメタデータストリーミングポリシーp1を適用して、セッションのIoTトラフィックストリーミングを有効にします。
-
セキュリティ ポリシー P3 を設定します。
[edit] user@host# set security policies from-zone trust to-zone cloud policy P3 match source-address any user@host# set security policies from-zone trust to-zone cloud policy P3 match destination-address any user@host# set security policies from-zone trust to-zone cloud policy P3 match application any user@host# set security policies from-zone trust to-zone cloud policy P3 then permit user@host# set security policies from-zone trust to-zone cloud application-services security-metadata-streaming-policy p2
この設定では、trustゾーンからクラウドゾーンへのトラフィックを許可し、セキュリティメタデータストリーミングポリシーp2を適用して、セッションのIoTトラフィックストリーミングを有効にします。
- 設定をコミットします。
[edit] user@host# commit
ジュニパーATPクラウドポータルで、検出されたすべてのIoTデバイスを確認できます。
ATPクラウドで検出されたIOTデバイスの表示
ジュニパーATPクラウドポータルで発見されたIoTデバイスを表示するには、「 Minotor >IoTデバイス」 ページに移動します。
デバイスのカテゴリ、製造元、オペレーティング システムの種類に基づいて IoT デバイスをクリックしてフィルターできます。
このページには、IP アドレス、タイプ、製造元、モデルなどの詳細が含まれている IoT デバイスが一覧表示されます。これらの詳細を使用して、脅威フィードを監視および作成して、セキュリティポリシーを適用できます。
脅威フィードの作成
Juniper ATP CloudがIoTデバイスを特定すると、脅威フィードを作成できます。セキュリティ デバイスが動的アドレス グループの形式で脅威フィードをダウンロードすると、フィードのセキュリティ ポリシーを使用して、これらの IoT デバイス上のインバウンド およびアウトバウンド トラフィックに対して適用アクションを実行できます。
- [IoT デバイスの Minotor >] ページに移動し、[フィードの作成] オプションをクリックします。
-
プラス記号(+)をクリックします。[新しいフィードの追加] ページが表示されます。
この例では、TTL(Time-to-Live) android_phone_user 7日間のフィード名を使用します。
以下のフィールドの設定を入力します。
-
フィード名:
脅威フィードの一意の名前を入力します。フィード名は英数字で始まる必要があり、文字、数字、アンダースコアを含めることができます。スペースは使用できません。長さは8~63文字です。
-
型： フィードのコンテンツ タイプを IP として選択します。
-
データソース:フィードを IOT として作成するデータ ソースを選択します。
-
今からでもご利用ください: 必要なフィード入力がアクティブになる日数を入力します。フィードエントリーがTTL(稼働時間)の値を超えた後、フィードエントリーは自動的に削除されます。使用可能な範囲は 1~365 日です。
-
- [OK] をクリックして変更を保存します。
- 「適応型脅威プロファイリング>設定」にアクセスしてください。このページには、作成されたすべての脅威フィードが表示されます。脅威フィードandroid_phone_userページに表示されます。
脅威フィードをクリックすると、脅威フィードに含まれるIPアドレスが表示されます。
- セキュリティ デバイスがフィードをダウンロードしたことを確認します。ダウンロードは自動的に定期的に行われますが、数分かかることがあります。
user@host> show services security-intelligence sec-profiling-feed status Category name :SecProfiling Feed name :Android_Phone_User Feed type :IP Last post time :N/A Last post status code:N/A Last post status :N/A Feed name :IT_feed Feed type :IP Last post time :N/A Last post status code:N/A Last post status :N/A Feed name :High_Risk_Users Feed type :IP Last post time :N/A Last post status code:N/A Last post status :N/A次のコマンドを使用して、脅威フィードを手動でダウンロードできます。
request services security-intelligence download status ||match android_phone_user
ダウンロードした脅威フィードを使ってセキュリティ ポリシーの作成を進めます。
適応型脅威プロファイリングフィードを使用したセキュリティポリシーの作成
セキュリティデバイスが脅威フィードをダウンロードすると、セキュリティポリシーで動的アドレスグループと呼ぶことができるようになります。動的アドレスとは、特定のドメインに属する IoT デバイスの IP アドレスのグループです。
この例では、Android 電話からのトラフィックを検出し、トラフィックをブロックするポリシーを作成します。
- セキュリティ ポリシーの一致条件を定義します。
[edit] user@host# set security policies global policy Block_Android_Traffic match source-address android_phone_user user@host# set security policies global policy Block_Android_Traffic match destination-address any user@host# set security policies global policy Block_Android_Traffic match application any
- セキュリティポリシーアクションを定義します。
[edit] user@host# set security policies global policy Block_Android_Traffic then deny
この例では、設定をコミットすると、セキュリティ デバイスが特定のドメインに属する IoT デバイスの HTTP トラフィックをブロックします。
詳細については、「 適応型脅威プロファイリングの設定」を参照してください。
結果
設定モードから、 show security コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
policy P1 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy P2 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
application-services {
security-metadata-streaming-policy p1;
}
}
from-zone trust to-zone cloud {
policy P3 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
application-services {
security-metadata-streaming-policy p2;
}
}
user@host# show security policies global
policy Block_Android_Traffic {
match {
source-address android_phone_user;
destination-address any;
application any;
}
then {
deny;
}
}
セキュリティ ゾーンを確認します。
[edit]
user@host# show security zones
security-zone trust {
interfaces {
ge-0/0/2.0 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
}
application-tracking;
}
security-zone untrust {
interfaces {
ge-0/0/4.0 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
ge-0/0/3.0 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
}
application-tracking;
}
security-zone cloud {
interfaces {
ge-0/0/0.1 {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
}
}
application-tracking;
}
show services
[edit]
user@host# show services
advanced-anti-malware {
dynamic-filter {
traceoptions {
file dyn-filterd-log size 1g world-readable;
level all;
flag all;
}
}
connection {
url https://srxapi.us-west-2.sky.junipersecurity.net;
authentication {
tls-profile aamw-ssl;
}
}
}
ssl {
initiation {
profile aamw-ssl {
trusted-ca [ aamw-secintel-ca aamw-cloud-ca ];
client-certificate aamw-srx-cert;
actions {
crl {
disable;
}
}
}
}
}
security-metadata-streaming {
policy p1 {
dynamic-filter;
}
policy p2 {
dynamic-filter;
}
}
security-intelligence {
url https://cloudfeeds.sky.junipersecurity.net/api/manifest.xml;
authentication {
tls-profile aamw-ssl;
}
}
デバイスでこの機能の設定が完了したら、設定モードからコミットを入力します。
検証
フィードの概要とステータスの確認
目的： セキュリティ デバイスが動的アドレス グループの形式で IP アドレス フィードを受信しているかどうかを確認します。
アクション： 以下のコマンドを実行します。
user@host> show services advanced-anti-malware dynamic-filter status
Dynamic Filter Server Connection Status:
Server Hostname: srxapi.us-west-2.sky.junipersecurity.net
Server Port: 443
Proxy Hostname: None
Proxy Port: None
Control Plane
Connection Status: Connected
Last Successful Connect: 2022-02-12 09:51:50 PST
Pkts Sent: 3
Pkts Received: 42
意味 出力には、Juniper ATPクラウドサーバーの接続ステータスやその他の詳細が表示されます。