侵入検出および防止

侵入 検出 には、ネットワークイベントを監視し、インシデントと脅威を特定することが含まれます。侵入 防御 は、検知プロセスの検出結果をフォローアップして対策を講じます。IDPプロファイルは多くの攻撃シグネチャで構成されており、それぞれに独自の重大度と推奨アクションがあります。アプリケーションポリシーにプロファイルを適用すると、その適切な保護機能を有効にします。

必要なライセンスがあれば、スポークとして設定されているすべてのWANエッジデバイスでIDPを利用できます。IDPは、ハブとして設定されているSRXデバイスでもサポートされています(SRXのみ)。

注:

• IDPは計算負荷の高い機能です。ポリシーでIDPを有効にすると、エントリーレベルのWANエッジデバイスでパフォーマンスの低下が発生する可能性があります。

• IDPにはライセンスが必要です。ヘルプについては、 IDPの基本設定(Junos OS侵入検出および防止ユーザーガイド)を参照してください。

警告:

スポークデバイスでIDP機能を初めて有効にする場合は、メンテナンスウィンドウ内に計画することをお勧めします。IDP エンジンの起動と LAN から WAN へのパスへの組み込み(つまり、サービス チェイニング)には数分かかる場合があり、継続的な通信が中断される可能性もあります。

サンプル攻撃を開始することで、IDPベースのポリシーの効果をテストできます。セキュリティ侵入テストに使用できるさまざまなオプションがあるKali LinuxのNiktoなどのツールを使用できます。

始める前に: サンドボックスまたはラボ環境に仮想マシン(VM)デスクトップ(desktop1)を設定し、NiktoなどのWebサーバー用のシンプルなセキュリティスキャナーをインストールします。Niktoは、オープンソースのWebサーバーおよびWebアプリケーションスキャナーです。たとえば、ラボのローカルである、セキュリティ強化されていないApache Tomcat Webサーバー(または同等のサーバー)に対してNiktoを実行できます。このテストでは、IDP検査用にプレーンまたは暗号化されていないHTTPリクエストを送信できます。

次のサンプルは、ツールをインストールし、HTTP サーバーの存在を確認してから、攻撃を開始するプロセスを示しています。

セキュリティスキャナーを実行します。スキャナーは検出するエラーが多く、イベントが少ないため、実行に時間がかかる時間がかかることに気付くでしょう。

生成されたイベントを表示するには、 サイト > WAN > セキュリティ イベントに移動します。

この例に示すように、セキュリティイベントページには、生成されたすべてのイベントが表示されます。

セキュリティイベントページには、以下の便利な機能が含まれています。

• テーブルをフィルターするには—テーブルの上にあるボタンをクリックして、重大度レベル(CriticalまたはMinorなど)でリストをフィルターします。

• 攻撃の詳細を表示するには—攻撃名列のハイパーリンクをクリックすると、攻撃とデフォルトのアクションに関する情報が表示されます。

ハイパーリンクをクリックすると、イベントとIDPアクションに関する詳細情報を表示できます。

前の例では、IDPプロファイルタイプアラートを使用して、イベントにパッシブログを使用しました。次に、IDPプロファイルタイプ「ストリクト」を使用してイベントを停止または緩和します。ストリクトプロファイルを使用すると、IDPエンジンは検出された攻撃に対してTCP接続を閉じます。

サンプルに示されているのと同じプロセスに従います。ただし、今回は、この例に示すように、スポークデバイステンプレートを変更し、IDPプロファイルを Alert から Strictに変更します。

この例では、一部のイベントでは、脅威を軽減するためにセッションを閉じることがアクションであることを示しています。