感染ホスト フィードには、侵害されたホストと、他のデバイスとの通信から隔離する必要があるホストがリストされます。フィードは、すべて脅威レベルが 10 の IP アドレスの形式で、たとえば xxx.xxx.xxx.133 と脅威レベル 10 が表示されます。フィードに IP アドレスがリストされているホストとの間のインバウンド およびアウトバウンド トラフィックに対してポリシー適用アクションを実行するようにセキュリティ ポリシーを設定できます。感染したホスト プロファイルがファイアウォール ポリシーで構成され、有効になっている場合にのみ、感染したホスト フィードが SRX シリーズ デバイスにダウンロードされます。
メモ：
感染したホストの Juniper ATP Cloud グローバルしきい値が満たされると(感染したホスト の設定を参照)、そのホストは感染したホスト フィードに追加され、クラウドによって脅威レベル 10 が割り当てられます。そのため、感染したホスト フィード内のすべての IP アドレスは脅威レベル 10 です。
感染したホスト プロファイルとポリシー、ファイアウォール ポリシーを作成するには、以下の手順にしたがっています。
- 感染したホストと CC の両方のプロファイルを定義します。この例では、感染したホスト プロファイルにという名前が付けられ
ih-profile、このアクションはブロックされ、脅威レベルが 10 のすべてのものがドロップされます。CC ホスト プロファイルの名前は、cc-profileC&C ホストへのアウトバウンド要求に基づくため、C&C ルールをプロファイルに追加します(脅威レベル 8 以上はブロックされます)。
root@host# set services security-intelligence profile ih-profile category Infected-Hosts rule if-rule match threat-level 10
root@host# set services security-intelligence profile ih-profile category Infected-Hosts rule if-rule then action block drop
root@host# set services security-intelligence profile ih-profile category Infected-Hosts rule if-rule then log
root@host# set services security-intelligence profile cc-profile category CC
root@host# set services security-intelligence profile cc-profile rule CC_rule match threat-level [8 9 10]
root@host# set services security-intelligence profile cc-profile rule CC_rule then action block drop
root@host# set services security-intelligence profile cc-profile rule CC_rule then log
root@host# set services security-intelligence profile cc-profile default-rule then action permit
Junos 18.1R1時点。感染したホストに対するHTTP URLリダイレクトによるブロックアクションのサポートがあります。セッションIPアドレスの処理中に、感染したホストリストのIPアドレスとHTTPトラフィックがポート80または8080を使用している場合、感染したホストのHTTPリダイレクトを実行できます。HTTP トラフィックが動的ポートを使用している場合、HTTP トラフィックのリダイレクトは実行できません。以下のコマンドを参照してください。
- コマンドを検証するには、
show services security-intelligence CLI コマンド。次のようになります。
root@host# show services security-intelligence profile ih-profile
category Infected-Hosts;
rule if-rule {
match {
threat-level 10;
}
then {
action {
block {
drop;
}
}
log;
}
}
root@host# show services security-intelligence profile cc-profile
category CC;
rule CC_rule {
match {
threat-level [ 10 9 8 ];
}
then {
action {
block {
drop;
}
}
log;
}
}
default-rule {
then {
action {
permit;
}
}
}
- ステップ 1 で作成された両方のプロファイルを含むようにセキュリティ インテリジェンス ポリシーを構成します。この例では、ポリシーの 名前
infected-host-cc-policyは .
root@host# set services security-intelligence policy infected-host-cc-policy Infected-Hosts ih-profile
root@host# set services security-intelligence policy infected-host-cc-policy CC cc-profile
- ファイアウォールポリシーを設定して、セキュリティインテリジェンスポリシーを含めます。この例では、trust-to-untrustゾーンを設定します。
root@host# set security policies from-zone trust to-zone untrust policy p2 match source-address any destination-address any application any
root@host# set security policies from-zone trust to-zone untrust policy p2 then permit application-services security-intelligence-policy infected-host-cc-policy
- コマンドを検証するには、
show security policies CLI コマンド。次のようになります。
root@host# show security policies
...
from-zone trust to-zone untrust {
policy p2 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit {
application-services {
security-intelligence-policy infected-host-cc-policy;
}
}
}
}
}
...
[edit]
- 変更をコミットします。
