IPS, AppSecure, URL Filtering, Cloud AV: bốn dịch vụ bảo mật SRX hoạt động thế nào
Gói Advanced Security trên SRX gồm bốn dịch vụ với vai trò khác nhau. Bài viết giải thích từng dịch vụ chặn được gì, không chặn được gì, thứ tự bật để không ảnh hưởng người dùng và ảnh hưởng tới hiệu năng thiết bị khi kiểm tra sâu gói tin.
Nội dung bài viết
Bốn dịch vụ trong gói Advanced Security của giấy phép S-SRX300-A2-1 thường bị gộp chung thành "bảo mật nâng cao", nhưng mỗi dịch vụ bảo vệ một lớp khác nhau. Hiểu đúng vai trò giúp bật đúng thứ tự và biết dịch vụ nào không thay thế được dịch vụ nào.
Bốn dịch vụ, bốn vai trò
| Dịch vụ | Chặn được | Không chặn được | Điều kiện hiệu quả |
|---|---|---|---|
| IPS | Khai thác lỗ hổng, mẫu tấn công đã biết | Tấn công chưa có chữ ký | Cập nhật chữ ký thường xuyên |
| AppSecure | Ứng dụng dùng sai cổng, ứng dụng không mong muốn | Nội dung mã độc bên trong | Nhìn thấy ứng dụng để đặt chính sách |
| URL Filtering | Trang web thuộc nhóm nguy hiểm hoặc bị cấm | Trang mới chưa được phân loại | Cần chính sách nội bộ rõ ràng |
| Cloud AV và Antispam | Tệp chứa mã độc, thư rác | Tấn công không qua tệp | Cần đường ra Internet ổn định |
IPS: chặn mẫu tấn công đã biết
IPS so lưu lượng với cơ sở dữ liệu chữ ký tấn công và chặn khi khớp. Điểm mạnh là chặn được các cuộc khai thác lỗ hổng phổ biến. Điểm yếu là phụ thuộc chữ ký, nên phải cập nhật thường xuyên và không chặn được tấn công hoàn toàn mới. IPS cũng có thể chặn nhầm nếu để ở chế độ quá chặt, nên thường bật ở chế độ ghi nhận trước, quan sát vài ngày rồi mới chuyển sang chặn.
AppSecure: nhìn thấy ứng dụng
Nhận diện lưu lượng thuộc ứng dụng nào, kể cả khi ứng dụng dùng cổng phổ biến. Nhờ đó có thể đặt chính sách theo ứng dụng thay vì theo cổng, và biết băng thông đang bị ứng dụng nào chiếm. Đây thường là dịch vụ mang lại thông tin hữu ích nhất trong giai đoạn đầu.
URL Filtering: lọc theo phân loại trang
Chặn hoặc cho phép truy cập web theo nhóm phân loại. Lưu ý: lọc theo phân loại không thay thế được kiểm tra nội dung, và cần cân nhắc quy định nội bộ về quyền riêng tư trước khi bật diện rộng. Nên bắt đầu bằng chặn các nhóm nguy hiểm rõ ràng, sau đó mới mở rộng theo chính sách công ty.
Cloud AV và Antispam: quét dựa trên đám mây
Quét mã độc và lọc thư rác dựa trên dịch vụ đám mây, nên cập nhật nhanh hơn cơ sở dữ liệu cục bộ. Yêu cầu thiết bị có đường ra Internet ổn định; khi mất kết nối tới dịch vụ đám mây, cần biết thiết bị xử lý ra sao (cho qua hay chặn) để không bất ngờ.
Thứ tự bật khuyến nghị
| Bước | Bật gì | Lý do |
|---|---|---|
| 1 | AppSecure ở chế độ quan sát | Biết hệ thống đang chạy ứng dụng gì |
| 2 | URL Filtering với nhóm nguy hiểm rõ ràng | Ít ảnh hưởng công việc |
| 3 | Cloud AV và Antispam | Bảo vệ tệp và thư điện tử |
| 4 | IPS ở chế độ ghi nhận | Xem có chặn nhầm không |
| 5 | Chuyển IPS sang chặn theo nhóm chữ ký | Giảm rủi ro gián đoạn |
| 6 | Siết chính sách theo ứng dụng | Sau khi đã có dữ liệu thực tế |
Ảnh hưởng tới hiệu năng
- Các dịch vụ kiểm tra sâu gói tin đều tiêu tốn tài nguyên; thông lượng thực tế khi bật đầy đủ thấp hơn thông lượng tường lửa thuần.
- Theo dõi mức sử dụng CPU và bộ nhớ sau mỗi lần bật thêm một dịch vụ.
- Nếu thiết bị quá tải, cân nhắc chỉ áp dịch vụ nặng cho các chính sách quan trọng thay vì toàn bộ lưu lượng.
- Khi hệ thống lớn hơn khả năng thiết bị, nâng lên model cao hơn trong nhóm tường lửa Juniper.
Xem thêm gói giấy phép Advanced Security, gia hạn giấy phép SRX và nhóm Juniper Security Licenses.
