이 페이지의 내용
지능형 검사
IDP(Intrusion Detection and Prevention) 지능형 검사는 방화벽이 높은 부하 조건에서도 계속 효율적으로 작동할 수 있도록 설계되었습니다.
지능형 검사에 대한 이해
IDP 지능형 검사를 활성화하고 동적으로 조정하여 전체 IDP 검사의 부하를 줄일 수 있습니다. IDP는 리소스 제한이 구성된 CPU 및 메모리 임계값에 도달할 때 IDP 검사를 조정하여 세션을 거부하거나 무시하지 않습니다.
IDP 지능형 검사 및 우회 기능을 활성화하려면 명령을 set security idp sensor-configuration flow intel-inspect-enable 사용합니다.
지능형 검사의 이점
-
중요한 IDP 검사를 중요하게 생각합니다.
-
우선순위가 낮은 IDP 검사를 피합니다.
-
높은 시스템 리소스 사용량을 줄입니다.
IDP 지능형 검사 조정을 위한 보안 메커니즘
다음 구성을 통해 IDP 시스템을 미세 조정하여 성능을 최적화하고 심각한 위협에 집중할 수 있습니다.
-
동적 정책 - 중요, 주요, 사소함은 세 가지 중요한 시그니처 심각도입니다. 원하는 심각도 수준의 서명만 포함하도록 정책을 동적으로 조정할 수 있습니다. 임계 심각도의 서명만 포함하려면 명령
set security idp sensor-configuration flow intel-inspect-signature-severity critical을 사용합니다. 중요 및 주요 심각도의 서명을 포함하려면 명령을set security idp sensor-configuration flow intel-inspect-signature-severity major사용합니다. 중요, 주요 및 부 심각도의 서명을 모두 포함하려면 명령을 사용합니다set security idp sensor-configuration flow intel-inspect-signature-severity minor. 기본적으로 심각도가 위험인 공격이 포함됩니다. -
콘텐츠 압축 해제— 인텔 검사 가 활성화되고 임계값에 도달한 경우에만 콘텐츠 압축 해제를 방지할 수 있습니다. 프로토콜 디코더는 콘텐츠가 압축된 상태인 경우 프로토콜 콘텐츠의 압축을 풉니다. 명령을 구성하여 프로토콜 내용의 압축 해제를
set security idp sensor-configuration flow intel-inspect-disable-content-decompress방지할 수 있습니다. -
선택적 프로토콜 - 기본적으로 IDP는 모든 중요한 프로토콜을 검사합니다. IDP 처리에 대한 중요 프로토콜 목록을 지정할 수 있습니다. 프로토콜 목록을 지정하려면 명령을 사용합니다.
set security idp sensor-configuration flow intel-inspect-protocols protocolIDP는 중요하지 않은 프로토콜을 검사하지 않습니다. -
검사 깊이 - 각 세션에 대해 기본적으로 IDP는 세션의 모든 바이트를 검사합니다. IDP는 검사 깊이를 지정함으로써 검사를 지정된 바이트 수로만 제한합니다. 검사 깊이를 활성화하려면 명령을
set security idp sensor-configuration flow intel-inspect-session-bytes-depth value사용합니다. 기본적으로 IDP 지능형 검사는 검사 깊이를 비활성화하며, 이는 모든 바이트가 검사된다는 것을 의미합니다.
CPU 사용률
IDP 검사에 대한 임계값 제한을 구성할 수 있습니다. CPU 사용량이 구성된 임계값에 도달하면 IDP 지능형 검사가 활성화됩니다.
임계값 제한을 구성하려면 다음 명령을 사용합니다.
-
set security idp sensor-configuration flow intel-inspect-cpu-usg-threshold value -
set security idp sensor-configuration flow intel-inspect-cpu-usg-tolerance value
이해
CPU 사용률은 다음과 같이 동작합니다.
-
CPU 사용률이 구성된 지능형 검사 임계값에 도달하면 IDP는 새 세션에서 전체 IDP 처리를 중지합니다. IDP는 조정된 보안 검사만 처리합니다. 이 동작은 syslog 메시지를 트리거하여 IDP 지능형 검사를 활성화합니다.
-
CPU 사용률이 지능형 검사 임계값을 초과하고 IDP 바이패스 임계값과 지능형 검사 하한 임계값 사이에 있을 때 IDP는 지능형 검사 모드에서 계속 작동합니다.
-
IDP는 새 세션에서 전체 IDP 검사를 시작하고 CPU 사용률이 지능형 검사의 하한 임계값 아래로 떨어지면 syslog를 트리거하여 IDP 지능형 검사를 비활성화합니다.
-
IDP 지능형 바이패스 기능은 CPU 사용률이 IDP 바이패스 임계값에 도달하면 활성화됩니다.
메모리 사용률
IDP 검사에 대한 메모리 제한을 구성할 수 있습니다. 메모리 사용량이 구성된 제한에 도달하면 IDP 지능형 검사를 활성화합니다.
사용 가능한 메모리 제한을 구성하려면 다음 명령을 사용합니다.
-
set security idp sensor-configuration flow intel-inspect-free-mem-threshold value -
set security idp sensor-configuration flow intel-inspect-mem-tolerance value
이해
메모리 사용률은 다음과 같이 동작합니다.
-
IDP는 메모리 사용률이 지능형 검사 사용 가능한 메모리 하한 임계값에 도달하면 IDP 지능형 검사 모드를 활성화합니다.
-
메모리 사용률이 지능형 검사 메모리 상한 임계값과 메모리 하한 임계값 사이에 있을 때 IDP는 지능형 검사 모드에서 계속 작동합니다.
-
IDP는 메모리 사용률이 사용 가능한 메모리 하한 임계값에 도달하면 IDP 바이패스 기능을 활성화합니다.
-
IDP는 메모리 사용률이 떨어지고 지능형 검사 사용 가능한 메모리 상한 임계값을 초과할 때 정상 모드로 활성화됩니다.
제한 사항
IDP 지능형 검사는 기본 논리적 시스템 수준에서만 지원됩니다.
예: IDP 지능형 검사 구성
IDP 지능형 검사는 디바이스가 구성된 CPU 및 메모리 임계값 제한을 초과할 때 디바이스가 과부하 상태에서 복구하는 데 도움이 됩니다.
이 예는 IDP 지능형 검사를 활성화하고 IDP 검사를 동적으로 조정하여 전체 IDP 검사의 부하를 줄이는 방법을 보여줍니다.
요구 사항
IDP 지능형 검사 및 IDP 바이패스 기능이 작동하는 시기와 방법을 이해하려면 IDP 센서 구성을 읽어보십시오.
개요
이전에는 디바이스가 구성된 CPU 및 메모리 임계값에 도달하면 IDP가 새 세션을 무시하거나 거부했습니다. 또한 디바이스가 상한 임계값을 초과하면 IDP는 기존 및 새 세션의 패킷을 폐기했습니다.
IDP 검사를 조정하면 디바이스가 CPU 및 메모리 사용률을 점진적으로 높이는 데 도움이 되며 중요한 검사에 중요성을 부여합니다. 이 예는 IDP 지능형 검사를 활성화한 후 IDP 검사를 조정하는 방법을 보여줍니다.
구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 TXT 파일에 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성과 일치시키는 데 필요한 세부 사항을 변경합니다. 계층 수준에서 [edit] 명령을 복사하여 CLI에 붙여넣습니다. 구성 모드에서 진입합니다 commit .
set security idp sensor-configuration flow intel-inspect-enable set security idp sensor-configuration flow intel-inspect-cpu-usg-threshold 60 set security idp sensor-configuration flow intel-inspect-cpu-usg-tolerance 15 set security idp sensor-configuration flow intel-inspect-mem-tolerance 5 set security idp sensor-configuration flow intel-inspect-free-mem-threshold 30 set security idp sensor-configuration flow intel-inspect-signature-severity critical set security idp sensor-configuration flow intel-inspect-disable-content-decompress set security idp sensor-configuration flow intel-inspect-session-bytes-depth 2 set security idp sensor-configuration flow intel-inspect-protocols HTTP set security idp sensor-configuration flow intel-inspect-protocols FTP
절차
단계별 절차
IDP 지능형 검사를 구성하려면:
IDP 지능형 검사를 활성화합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-enable
CPU 임계값 제한을 구성합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-cpu-usg-threshold 60
CPU 허용 오차를 구성합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-cpu-usg-tolerance 15
메모리 허용 오차를 구성합니다.
[edit security idp sensor-configuration] user@host# set security idp sensor-configuration flow intel-inspect-mem-tolerance 5
메모리 제한을 구성합니다.
[edit security idp sensor-configuration] user@host# set security idp sensor-configuration flow intel-inspect-memory-limit-lt 30
심각도 수준을 지정합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-signature-severity critical
콘텐츠 압축 해제를 비활성화합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-disable-content-decompress
패킷 검사 깊이를 구성합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-session-bytes-depth 2
검사를 위한 프로토콜을 구성합니다.
[edit security idp sensor-configuration] user@host# set flow intel-inspect-protocols HTTP user@host# set flow intel-inspect-protocols FTP
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다. show security idp sensor-configuration 출력에 의도한 구성이 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정합니다.
[edit]
user@host# show security idp sensor-configuration
flow {
intel-inspect-enable;
intel-inspect-cpu-usg-threshold 60;
intel-inspect-cpu-usg-tolerance 15;
intel-inspect-free-mem-threshold 30;
intel-inspect-mem-tolerance 5;
intel-inspect-disable-content-decompress;
intel-inspect-session-bytes-depth 2;
intel-inspect-protocols [ HTTP FTP ];
intel-inspect-signature-severity critical;
}
디바이스 구성이 완료되면 구성 모드에서 들어갑니다 commit .
검증
구성이 제대로 작동하고 있는지 확인합니다.
모든 IDP 플로우 카운터 값의 상태 확인
목적
IDP 지능형 검사가 카운터 값을 캡처하는지 확인합니다.
작업
user@host> show security idp counters flow IDP counters: IDP counter type Value Fast-path packets 580 Slow-path packets 61 Session construction failed 0 Session limit reached 0 Session inspection depth reached 0 Memory limit reached 0 Not a new session 0 Invalid index at ageout 0 Packet logging 0 Policy cache hits 58 Policy cache misses 3 Maximum flow hash collisions 0 Flow hash collisions 0 Gates added 0 Gate matches 0 Sessions deleted 62 Sessions aged-out 0 Sessions in-use while aged-out 0 TCP flows marked dead on RST/FIN 47 Policy init failed 0 Policy reinit failed 0 Number of times Sessions exceed high mark 0 Number of times Sessions drop below low mark 0 Memory of Sessions exceeds high mark 0 Memory of Sessions drops below low mark 0 SM Sessions encountered memory failures 0 SM Packets on sessions with memory failures 0 Number of times Sessions crossed the CPU threshold value that is set 0 Number of times Sessions crossed the CPU upper threshold 0 Sessions constructed 61 SM Sessions ignored 3 SM Sessions dropped 0 SM Sessions interested 61 SM Sessions not interested 101612 SM Sessions interest error 0 Sessions destructed 62 SM Session Create 58 SM Packet Process 580 SM ftp data session ignored by idp 0 SM Session close 59 SM Client-to-server packets 312 SM Server-to-client packets 268 SM Client-to-server L7 bytes 8468 SM Server-to-client L7 bytes 19952 Client-to-server flows ignored 0 Server-to-client flows ignored 0 Server-to-client flows tcp optimized 0 Client-to-server flows tcp optimized 0 Both directions flows ignored 47 Fail-over sessions dropped 0 Sessions dropped due to no policy 0 IDP Stream Sessions dropped due to memory failure 0 IDP Stream Sessions ignored due to memory failure 0 IDP Stream Sessions closed due to memory failure 0 IDP Stream Sessions accepted 0 IDP Stream Sessions constructed 0 IDP Stream Sessions destructed 0 IDP Stream Move Data 0 IDP Stream Sessions ignored on JSF SSL Event 0 IDP Stream Sessions not processed for no matching rules 0 IDP Stream stbuf dropped 0 IDP Stream stbuf reinjected 0 Busy pkts from stream plugin 0 Busy pkts from pkt plugin 0 bad kpp 0 Lsys policy id lookup failed sessions 0 NGAppID Events with no L7 App 0 NGAppID Events with no active-policy 0 NGAppID Detector failed from event handler 0 NGAppID Detector failed from API 0 Busy packets 0 Busy packet Errors 0 Dropped queued packets (async mode) 0 Dropped queued packets failed(async mode) 0 Reinjected packets (async mode) 0 Reinjected packets failed(async mode) 0 AI saved processed packet 0 busy packet count incremented 0 busy packet count decremented 0 session destructed in pme 0 session destruct set in pme 0 kq op hold 0 kq op drop 11 kq op route 47 kq op continue 522 kq op error 0 kq op stop 0 PME wait not set 0 PME wait set 0 PME KQ run not called 0 IDP sessions ignored for content decompression in intel inspect mode 47 IDP sessions ignored for bytes depth limit in intel inspect mode 0 IDP sessions ignored for protocol decoding in intel inspect mode 0 IDP sessions detected CPU usage crossed intel inspect CPU threshold 43 IDP sessions detected mem drop below intel inspect low mem threshold 0
의미
show 명령은 IDP 지능형 검사에 대한 카운터를 표시합니다.
IDP 현재 정책의 상태 확인
목적
IDP 지능형 검사가 현재 정책을 캡처하는지 확인합니다.
작업
user@host>show security idp status Intelligent Inspection State Details: State: Active State of IDP: Default, Up since: 2018-07-03 14:16:03 PDT (132w4d 09:19 ago) Packets/second: 6 Peak: 12 @ 2019-01-17 22:25:26 PST KBits/second : 249 Peak: 490 @ 2019-01-17 22:25:26 PST Latency (microseconds): [min: 0] [max: 0] [avg: 0] Packet Statistics: [ICMP: 0] [TCP: 127] [UDP: 7] [Other: 0] Flow Statistics: ICMP: [Current: 0] [Max: 6 @ 2019-01-16 20:36:17 PST] TCP: [Current: 4] [Max: 4 @ 2019-01-17 22:34:33 PST] UDP: [Current: 2] [Max: 6 @ 2019-01-17 20:03:55 PST] Other: [Current: 0] [Max: 0 @ 2016-07-03 14:16:03 PDT] Session Statistics: [ICMP: 0] [TCP: 2] [UDP: 1] [Other: 0] Number of SSL Sessions : 0 Policy Name : idp-policy-unified Running Detector Version : 12.6.130180509
의미
이 명령은 show security idp status IDP 현재 정책을 표시합니다. IDP 지능형 검사를 활성화했지만, 운영 명령을 실행할 show security idp status 때 IDP 지능형 검사 상태가 비활성화될 수 있습니다. 그 이유는 구성된 CPU 및 메모리 임계값이 리소스 제한을 초과하지 않기 때문입니다. CPU 사용량이 구성된 임계값에 도달하면 IDP 지능형 검사 상태가 활성화됩니다.
프로토콜별 인텔리전트 오프로드
IDP의 기존 지능형 오프로드 기능은 검사된 바이트에 대한 제한에 도달하면 세션을 오프로드합니다. 또한 검사 제한은 세분화되지 않아 프로토콜이나 서비스와 관계없이 모든 세션에 적용됩니다.
프로토콜별로 IDP 지능형 오프로딩을 활성화 또는 비활성화할 수 있는 기능을 통해 관리자는 유연성을 사용하여 오프로드 기능을 활용해야 하는 프로토콜을 결정할 수 있습니다. 관리자는 프로토콜별로 오프로드 제한을 구성할 수도 있습니다.
IDP 시스템의 프로토콜별 지능형 오프로드 구성 기능을 사용하면 다양한 프로토콜에 대한 검사 깊이 제한을 맞춤화하여 성능과 보안을 모두 향상시킬 수 있습니다. SSH 및 FTP와 같은 프로토콜에 대해 별도의 오프로드 제한을 구성함으로써 리소스 사용을 최적화하고 보다 효율적인 세션 검사를 보장할 수 있습니다.
이 기능은 명확한 CLI 명령으로 구성 및 관리를 단순화하므로 관리자는 특정 네트워크 요구 사항에 따라 오프로드 설정을 더 쉽게 구현하고 조정할 수 있습니다.
프로토콜별 오프로드 제한 구성
새 옵션을 사용하여 프로토콜을 지정하고 오프로드 제한을 설정함으로써 프로토콜별 오프로드 제한을 구성할 수 있습니다.
[edit]
user@host# set security idp sensor-configuration global intelligent-offload-tunable ?
오프로드 제한의 범위는 모든 프로토콜에 대해 동일합니다. 즉, 0에서 4294967295바이트까지입니다. 오프로드 제한 범위는 모든 프로토콜에 대해 동일하며 범위는 바이트 단위에서 0에서 4294967295이며 0은 무제한 검사를 의미합니다.
제한을 KB, MB 및 GB로 구성할 수 있으며, 이 경우 제한 값의 끝에 각각 k, m 및 g를 추가해야 합니다.
이 명령은 set security idp sensor-configuration global intelligent-offload disable 지능형 오프로드를 전역적으로 비활성화합니다. 프로토콜별 사용자 지정 오프로드 제한은 구성할 set security idp sensor-configuration global intelligent-offload disable 수 없습니다.
-
프로토콜에 대해 오프로드 제한이 구성된 경우 해당 오프로드 제한이 해당 프로토콜에 대해 가장 높은 우선 순위를 갖습니다. 예를 들어, 프로토콜 MYSQL에 대해 제한이 구성된 경우 세션 오프로드 제한은 detector-capabilities.xml 파일이 아닌 구성에서 가져옵니다.
-
프로토콜에 대한 오프로드 제한이 구성되지 않았지만 detector-capablities.xml 파일에 제한이 있는 경우, 파일의 제한이 해당 프로토콜에 적용됩니다.
-
detector-capabilities.xml 파일에 프로토콜에 대한 오프로드 제한이 없는 경우 기본 제한은 256KB입니다. 보수 모드에서 지능형 오프로드는 제한을 1MB로 설정합니다. 지능형 오프로드가 비활성화되면 오프로딩이 발생하지 않습니다.
이 set security idp sensor-configuration global intelligent-offload disable 옵션을 사용하면 오프로드 기능이 비활성화되고 세션이 닫힐 때까지 전체 데이터 검사에 대해 작동합니다.