40、SRX设备IPS策略配置与应用详解

SRX设备IPS策略配置与应用详解

1. 引言

在网络安全防护中，为了实现更广泛的覆盖而不仅仅是保障安全，我们可以部署具有更广泛保护功能的策略，同时利用签名来为流量提供保护和可见性。SRX设备在执行防火墙及其他服务方面具有独特优势，它能对处理的流量进行极其精细的入侵预防系统（IPS）检查配置和应用。接下来，我们将深入探讨如何为SRX设备配置和调整有效的IPS策略。

2. IPS策略组件

SRX设备的IPS功能由多个组件构成，理解这些组件对于创建和应用有效的安全策略至关重要。这些组件包括规则库、匹配标准、动作和数据包日志记录。

2.1 规则库

SRX的IPS功能由规则库组成，每个规则库包含多个规则，用于定义匹配的流量以及对这些流量采取的动作。目前，SRX的IPS策略包含以下三种规则库：
- IPS规则库 ：定义需要检查的流量以及对匹配策略中定义的IPS攻击对象的流量应采取的措施。这是传统的IPS规则库，用于定义策略所强制执行的攻击和其他应用程序。
- 应用程序分布式拒绝服务（Application - DDoS）规则库 ：是AppDDoS套件的一部分，目前仅在高端SRX设备上提供。该规则库主要定义用于保护服务器免受应用层DoS攻击的策略。
- 豁免规则库 ：作为IPS规则库的补充，提供了一种简单的机制来覆盖检测到的攻击。它为绕过IPS规则库中IPS引擎采取的动作提供了一个单独的规则库，使IPS规则库保持简洁，专注于攻击检测。通常用于忽略误报或特定的攻击场景。当流量先在IPS规则库中匹配，然后在