Configuração de políticas de segurança

Uma política de segurança é um conjunto de declarações que controla o tráfego de uma fonte especificada para um destino especificado usando um serviço especificado. Uma política permite, nega ou túneis determinados tipos de tráfego unidirecionalmente entre dois pontos.

Cada política consiste em:

• Um nome único para a política.

• A from-zone e a to-zone, por exemplo: user@host# set security policies from-zone untrust to-zone untrust

• Um conjunto de critérios de correspondência que define as condições que devem ser satisfeitas para aplicar a regra da política. Os critérios de correspondência são baseados em um endereço IP de origem, endereço IP de destino e aplicativos. O firewall de identidade do usuário oferece maior granularidade ao incluir um tuple adicional, identidade de origem, como parte da declaração de política.

• Um conjunto de ações a serem realizadas em caso de correspondência — permitir, negar ou rejeitar.

• Elementos de contabilidade e auditoria — contagem, registro ou registro de sistema estruturado.

Se a Série SRX receber um pacote que corresponda a essas especificações, ele executará a ação especificada na política.

As políticas de segurança aplicam um conjunto de regras para o tráfego de trânsito, identificando qual tráfego pode passar pelo firewall e as ações tomadas no tráfego à medida que passa pelo firewall. As ações para o tráfego que correspondam aos critérios especificados incluem permissão, negação, rejeição, log ou contagem.

A política de segurança aplica as regras de segurança ao tráfego de trânsito em um contexto(from-zone para to-zone). Cada política é identificada exclusivamente pelo seu nome. O tráfego é classificado combinando suas zonas de origem e destino, os endereços de origem e destino e o aplicativo que o tráfego transporta em seus cabeçalhos de protocolo com o banco de dados de políticas no plano de dados.

Cada política está associada às seguintes características:

• Uma zona de origem

• Uma zona de destino

• Um ou muitos nomes de endereços ou nomes de endereços de origem

• Nomes de endereços ou endereços de destino ou nomes de endereços

• Um ou muitos nomes de aplicativos ou nomes de configuração de aplicativos

Essas características são chamadas de critérios de correspondência. Cada política também tem ações associadas a ela: permitir, negar, rejeitar, contar, registrar e túnel VPN. Você precisa especificar os argumentos de condição de correspondência ao configurar uma política, endereço fonte, endereço de destino e nome do aplicativo.

Você pode especificar para configurar uma política com endereços IPv4 ou IPv6 usando a entrada anycuringa. Quando o suporte de fluxo não está habilitado para tráfego IPv6, any corresponde aos endereços IPv4. Quando o suporte de fluxo é habilitado para tráfego IPv6, any corresponde a endereços IPv4 e IPv6. Para permitir o encaminhamento baseado em fluxo para tráfego IPv6, use o set security forwarding-options family inet6 mode flow-based comando. Você também pode especificar o curinga any-ipv4 ou any-ipv6 para os critérios de correspondência de endereço de origem e destino para incluir apenas endereços IPv4 ou apenas IPv6, respectivamente.

Quando o suporte de fluxo para tráfego IPv6 é habilitado, o número máximo de endereços IPv4 ou IPv6 que você pode configurar em uma política de segurança é baseado nos seguintes critérios de correspondência:

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

O motivo do Thr para os critérios de correspondência é que um endereço IPv6 usa quatro vezes o espaço de memória que um endereço IPv4 usa.

Se você não quiser especificar um aplicativo específico, digite any como o aplicativo padrão. Para procurar os aplicativos padrão, a partir do modo de configuração, entre show groups junos-defaults | find applications (predefined applications). Por exemplo, se você não fornecer um nome de aplicativo, a política será instalada com o aplicativo como um curinga (padrão). Portanto, qualquer tráfego de dados que corresponda ao restante dos parâmetros em uma determinada política corresponderia à política, independentemente do tipo de aplicativo do tráfego de dados.

A ação da primeira política que o tráfego corresponde é aplicada ao pacote. Se não houver política de correspondência, o pacote será descartado. As políticas são pesquisadas de cima a baixo, por isso é uma boa ideia colocar políticas mais específicas perto do topo da lista. Você também deve colocar as políticas de túnel de VPN IPsec perto do topo. Coloque as políticas mais gerais, como uma que permitiria a certos usuários acesso a todos os aplicativos da Internet, na parte inferior da lista. Por exemplo, coloque as políticas de negação ou rejeição de todos no fundo, depois que todas as políticas específicas tiverem sido analisadas antes e o tráfego legítimo tiver sido permitido/contagem/logado.

As políticas são analisadas durante o processamento de fluxo após o processamento de filtros e telas de firewall e a pesquisa de rota foi concluída pela Unidade de Processamento de Serviços (SPU) (para dispositivos de SRX5400, SRX5600 e SRX5800). A análise da política determina a zona de destino, o endereço de destino e a interface de saída.

Quando você está criando uma política, as seguintes regras de política se aplicam:

• As políticas de segurança estão configuradas em uma from-zone to-zone direção. Em uma direção de zona específica, cada política de segurança contém um nome, critérios de correspondência, uma ação e opções diversas.

• O nome da política, os critérios de correspondência e a ação são necessários.

• O nome da política é uma palavra-chave.

• O endereço fonte nos critérios de correspondência é composto por um ou mais nomes de endereços ou nomes de endereço no from-zone.

• O endereço de destino dos critérios de correspondência é composto por um ou mais nomes de endereços ou nomes de endereço no to-zone.

• O nome do aplicativo nos critérios de correspondência é composto pelo nome de um ou mais aplicativos ou conjuntos de aplicativos.

• Uma das seguintes ações é necessária: permitir, negar ou rejeitar.

• Os elementos de contabilidade e auditoria podem ser especificados: contagem e log.

• Você pode habilitar o registro no final de uma sessão com o session-close comando, ou no início da sessão com o session-init comando.

• Quando o alarme de contagem é ativado, especifique os limiares de alarme em bytes por segundo ou kilobytes por minuto.

• Você não pode especificar global como o from-zone ou a exceto sob a to-zone seguinte condição:

  Qualquer política configurada com a to-zone zona como global deve ter um único endereço de destino para indicar que o NAT estático ou o NAT de entrada foram configurados na política.

• Nos firewalls da Série SRX, a opção de permissão de política com NAT é simplificada. Cada política indicará opcionalmente se permite a tradução de NAT, não permite a tradução de NAT ou não se importa.

• Os nomes dos endereços não podem começar com os seguintes prefixos reservados. Estes são usados apenas para a configuração de NAT de endereço:

  • static_nat_

  • incoming_nat_

  • junos_

• Os nomes dos aplicativos não podem começar com o junos_ prefixo reservado.

O mecanismo aprimorado de sincronização de configuração de políticas melhora a forma como as configurações de políticas são sincronizadas entre o Mecanismo de Roteamento (RE) e o Mecanismo de encaminhamento de pacotes (PFE), aumentando a confiabilidade e a segurança do sistema. Esse mecanismo garante que as políticas sejam sincronizadas de forma automática e precisa. Além disso, o sistema evita efetivamente qualquer queda de fluxo durante o processo de mudança na configuração da política de segurança.

Para suporte específico da plataforma, veja o comportamento de sincronização de configuração de políticas específicas da plataforma.

• Serialização de arquivos
• Evite a interrupção da sessão de fluxo durante as mudanças na configuração da política

[edit]
user@host# set security policies no-file-serialization

• Tratamento de memória e erros
• Suporte para sistema lógico e sistema de locatários

Você pode configurar a política de segurança para auto-tráfego para aplicar serviços ao auto-tráfego. As políticas de saída do host funcionarão apenas nos casos em que o pacote que se originou no dispositivo host passar pelo fluxo e a interface de entrada deste pacote for definida para local.

As vantagens de usar o auto-tráfego são:

• Você pode aproveitar a maior parte da política ou infraestrutura de fluxo existente usada para o tráfego de trânsito.

• Você não precisa de um endereço IP separado para habilitar qualquer serviço.

• Você pode aplicar serviços ou políticas a qualquer tráfego de entrada de host com o endereço IP de destino de qualquer interface no dispositivo.

As políticas de segurança para o tráfego autônomo estão configuradas sob a nova zona de segurança padrão chamada junos-host zona. A zona junos-host fará parte da configuração padrão Junos, para que os usuários não possam deletá-la. As configurações de zona existentes, como interfaces, tela, tcp-rst e opções de tráfego de entrada de host, não são significativas para a zona junos-host. Portanto, não há configuração dedicada para a zona junos-host.

Você deve concluir as seguintes tarefas para criar uma política de segurança:

1. Crie zonas. Veja exemplo: criação de zonas de segurança.

2. Configure uma lista de endereços com endereços para a política. Veja exemplo: configuração de livros de endereços e conjuntos de endereços.

3. Crie um aplicativo (ou conjunto de aplicativos) que indique que a política se aplica ao tráfego desse tipo. Veja exemplo: Configuração de aplicativos de políticas de segurança e conjuntos de aplicativos.

4. Crie a política. Veja exemplo: Configuração de uma política de segurança para permitir ou negar todo o tráfego, exemplo: configuração de uma política de segurança para permitir ou negar tráfego selecionado e exemplo: configuração de uma política de segurança para permitir ou negar tráfego de endereços curingas.

5. Crie agendadores se quiser usá-los para suas políticas. Veja exemplo: configuração de agendadores para uma agenda diária, excluindo um dia.

O Assistente de política de firewall permite que você execute a configuração básica da política de segurança. Para configuração mais avançada, use a interface J-Web ou a CLI.

Uma rede segura é vital para uma empresa. Para proteger uma rede, um administrador de rede deve criar uma política de segurança que delineie todos os recursos de rede dentro desse negócio e o nível de segurança necessário para esses recursos. A política de segurança aplica as regras de segurança ao tráfego de trânsito em um contexto (de zona para zona) e cada política é identificada de forma exclusiva pelo seu nome. O tráfego é classificado combinando as zonas de origem e destino, os endereços de origem e destino e o aplicativo que o tráfego transporta em seus cabeçalhos de protocolo com o banco de dados de políticas no plano de dados.

Para o suporte específico da plataforma para os objetos da política de segurança, como endereços, número de políticas e assim por diante, veja o comportamento do suporte a objetos de política específicos da plataforma. O suporte da plataforma depende da versão do Junos OS em sua instalação.

.

Observe que à medida que você aumenta o número de endereços e aplicativos em cada regra, a quantidade de memória que é usada pela definição de política aumenta, e às vezes o sistema fica sem memória com menos de 80.000 políticas.

Para obter a utilização real de memória de uma política no Mecanismo de encaminhamento de pacotes (PFE) e no mecanismo de roteamento (RE), você precisa levar em consideração vários componentes da árvore de memória. A árvore de memória inclui os seguintes dois componentes:

• Contexto da política — Usado para organizar todas as políticas neste contexto. O contexto da política inclui variáveis como zonas de origem e destino.

• Entidade de políticas — Usada para manter os dados da política. A entidade de política calcula a memória usando parâmetros como nome da política, endereços IP, contagem de endereços, aplicativos, autenticação de firewall, WebAuth, IPsec, contagem, serviços de aplicativos e Junos Services Framework (JSF).

Além disso, as estruturas de dados usadas para armazenar políticas, conjuntos de regras e outros componentes usam memória diferente no Mecanismo de encaminhamento de pacotes e no mecanismo de roteamento. Por exemplo, os nomes de endereço para cada endereço na política são armazenados no Mecanismo de Roteamento, mas nenhuma memória é alocada no nível do Mecanismo de encaminhamento de pacotes. Da mesma forma, as faixas de porta são expandidas para pares de prefixo e máscara e são armazenadas no Mecanismo de encaminhamento de pacotes, mas nenhuma dessas memórias é alocada no Mecanismo de Roteamento.

Assim, dependendo da configuração da política, os contribuintes de políticas para o Mecanismo de Roteamento são diferentes daqueles para o Mecanismo de encaminhamento de pacotes, e a memória é alocada dinamicamente.

A memória também é consumida pelo estado de "exclusão diferida". No estado de exclusão diferido, quando um firewall da Série SRX aplica uma mudança de política, há um pico transitório de uso pelo qual as políticas antigas e novas estão presentes. Por isso, por um breve período, existem políticas antigas e novas no Mecanismo de encaminhamento de pacotes, ocupando o dobro dos requisitos de memória.

Portanto, não há uma maneira definitiva de inferir claramente quanta memória é usada por ambos os componentes (Packet Forwarding Engine ou Mecanismo de roteamento) em um determinado momento, porque os requisitos de memória dependem de configurações específicas de políticas, e a memória é alocada dinamicamente.

As seguintes melhores práticas para implementação de políticas permitem que você use melhor a memória do sistema e otimize a configuração de políticas:

• Use prefixos únicos para endereços de origem e destino. Por exemplo, em vez de usar /32 endereços e adicionar cada endereço separadamente, use uma grande sub-rede que cobre a maioria dos endereços IP que você precisa.

• Use o aplicativo "qualquer" sempre que possível. Cada vez que você definir um aplicativo individual na política, você pode usar mais 52 bytes.

• Use menos endereços IPv6 porque os endereços IPv6 consomem mais memória.

• Use menos pares de zona nas configurações de políticas. Cada zona de origem ou destino usa cerca de 16.048 bytes de memória.

• Os parâmetros a seguir podem mudar a forma como a memória é consumida pelos bytes conforme especificado:

  • Autenticação de firewall — cerca de 16 bytes ou mais (não fixados)

  • Autenticação da Web — Cerca de 16 bytes ou mais (sem fixação)

  • Bytes IPsec-12

  • Serviços de aplicativos — 28 bytes

  • Contagem de bytes de 64 bytes

• Verifique a utilização da memória antes e depois da compilação das políticas.

  Nota:

  O requisito de memória para cada dispositivo é diferente. Alguns dispositivos oferecem suporte a 512.000 sessões por padrão, e a memória de inicialização geralmente está em 72 a 73%. Outros dispositivos podem ter até 1 milhão de sessões e a memória de inicialização pode ser de até 83 a 84%. Na pior das hipóteses, para oferecer suporte a cerca de 80.000 políticas na SPU, a SPU deve inicializar com um consumo de memória de kernel fluído de até 82% e com pelo menos 170 megabytes de memória disponíveis.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar todo o tráfego.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar tráfego selecionado.

Este exemplo mostra como configurar uma política de segurança para permitir ou negar tráfego de endereços curingas.

Este exemplo mostra como configurar uma política de segurança para enviar logs de tráfego gerados no dispositivo para um servidor de log externo do sistema.

Adicionar entradas de endereço manualmente em uma política pode ser demorado. Existem fontes externas que fornecem listas de endereços IP que têm uma finalidade específica (como um blocklist) ou que têm um atributo comum (como um local ou comportamento específico que pode representar uma ameaça). Você pode usar a fonte externa para identificar fontes de ameaças por seu endereço IP e, em seguida, agrupar esses endereços em uma entrada dinâmica de endereço e fazer referência a essa entrada em uma política de segurança. Com isso, você pode controlar o tráfego de e para esses endereços. Cada um desses grupos de endereços IP é referido como uma entrada dinâmica de endereço.

Os seguintes tipos de endereços IP são suportados:

• IP único. Por exemplo: 192.0.2.0

• Faixa de IP. Por exemplo: 192.0.2.0- 192.0.2.10

• CIDR. Por exemplo: 192.0.2.0/24

Cada entrada ocupa uma linha. A partir do Junos OS Release 19.3R1, as faixas de endereço IP não precisam ser classificadas em ordem crescente e o valor das entradas IP pode se sobrepor no mesmo arquivo de feed. Nas versões do Junos OS antes do 19.3R1, as faixas de endereço IP precisam ser classificadas em ordem crescente e o valor das entradas IP não pode se sobrepor no mesmo arquivo de feed.

A seguir, os benefícios da implantação de entradas dinâmicas de endereços em políticas de segurança:

• O administrador de rede tem mais controle sobre o tráfego de e para grupos de endereços IP.

• O servidor externo fornece feeds de endereço IP atualizados para o firewall da Série SRX.

• Os esforços do administrador são drasticamente reduzidos. Por exemplo, em uma configuração de política de segurança legadas, adicionar 1000 entradas de endereço para uma política de referência exigiria cerca de 2000 linhas de configuração. Ao definir uma entrada dinâmica de endereço e referenciá-la em uma política de segurança, até milhões de entradas poderiam fluir para o firewall da Série SRX sem muito esforço de configuração adicional.

• Nenhum processo de confirmação é necessário para adicionar novos endereços. Adicionar milhares de endereços a uma configuração por meio de um método legado leva muito tempo para ser comprometido. Alternativamente, os endereços IP em uma entrada dinâmica de endereço vêm de um feed externo, de modo que nenhum processo de confirmação é necessário quando os endereços em uma mudança de entrada.

A Figura 3 ilustra uma visão geral funcional de como funciona a entrada dinâmica de endereços em uma política de segurança.

Figura 3: Componentes funcionais da entrada dinâmica de endereços em uma política de segurança

Uma política de segurança faz referência à entrada dinâmica de endereços em um endereço de origem ou campo de endereço de destino (da mesma forma que uma política de segurança faz referência a uma entrada de endereço legado).

A Figura 4 ilustra uma política que usa uma entrada dinâmica de endereço no campo de endereço de destino.

Figura 4: Uma entrada dinâmica de endereço em uma política de segurança

Na Figura 4, a Política 1 usa o endereço de destino 10.10.1.1, que é uma entrada de endereço de segurança legado. A política 2 usa a lista de bloqueio do fornecedor de endereços de destino, que é uma entrada dinâmica de endereço indicada pelo administrador de rede. Seu conteúdo é a lista de endereços IP recuperados de um arquivo de feed externo. Os pacotes que correspondem a todos os cinco critérios (a zona a partir da zona nomeada como não confiável, o engenheiro indicado para A-zone, qualquer endereço de origem, um endereço IP de destino que pertence à entrada dinâmica de endereços de blocklist do Fornecedor e ao aplicativo de correio) são tratados de acordo com as ações de políticas, que são negar e registrar o pacote.

Grupos de endereços dinâmicos oferecem suporte aos seguintes feeds de dados:

• Listas personalizadas (listas de permitidores e blocklists)

• GeoIP

• Servidores de feed
• Feeds de pacotes
• Comportamento de sincronização de configuração de políticas específicas da plataforma
• Comportamento de suporte a objetos de política específicos da plataforma
• Comportamento de suporte padrão de fábrica específico da plataforma
• Comportamento de suporte para IDP específico da plataforma
• Comportamento do assistente de política de firewall específico da plataforma
• Comportamento de suporte de servidor de feed de arquivos específico da plataforma