Identifikation und Behebung von Schwachstellen in Cisco Sprach- und Unified Communications-Produkten

Aktualisiert:6. August 2016
Dokument-ID:1470489929898170

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Cisco Applied Mitigation Bulletin

Identifikation und Behebung von Schwachstellen in Cisco Sprach- und Unified Communications-Produkten

Dokument-ID:
28034
Zuerst veröffentlicht:
2013 Februar 27 16:02 GMT
Version: 
1
CVE 2013 1133
CVE 2013 1134
CVE 2013 1135
Mehr...
IntelliShield
CVE 2013 1133
CVE 2013 1134
CVE 2013 1135
Mehr...
IntelliShield

Antwort von Cisco

  • Dieses Applied Mitigation Bulletin ist ein Begleitdokument zu den folgenden PSIRT-Sicherheitsempfehlungen:

    • Cisco Unified Communications Manager enthält verschiedene Sicherheitslücken
    • Denial-of-Service-Schwachstelle bei Cisco Unified Presence Server
    • Cisco Prime Central für Hosted Collaboration Solution Assurance Übermäßige CPU-Auslastung

    In diesem Dokument werden Identifizierungs- und Eindämmungstechniken vorgestellt, die Administratoren auf Cisco Netzwerkgeräten implementieren können.

Merkmale der Schwachstelle

  • Cisco Voice- und Unified Communications-Produkte weisen mehrere Schwachstellen auf. Die folgenden Unterabschnitte fassen diese Schwachstellen zusammen:

    Locations Bandwidth Manager (LBM) Cache Poisoning Vulnerability: Diese Schwachstelle kann ohne Authentifizierung und ohne Eingreifen des Endbenutzers remote ausgenutzt werden. Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann dies zu einer Diensteverweigerung (Denial of Service, DoS) führen. Der Angriffsvektor zur Ausnutzung besteht aus IPv4- und IPv6-Paketen, die den TCP-Port 9004 verwenden.

    Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2013-1134 zugewiesen.

    Denial-of-Service-Schwachstelle bei Cisco Unified Presence Server: Diese Schwachstelle kann ohne Authentifizierung und ohne Benutzereingriff per Remote-Zugriff ausgenutzt werden. Eine erfolgreiche Ausnutzung dieser Schwachstelle könnte zu einer DoS-Bedingung führen. Der Angriffsvektor zur Ausnutzung besteht aus SIP-IPv4- und IPv6-Paketen, die den TCP-Port 5060 verwenden.

    Dieser Schwachstelle wurde der CVE-Identifizierer CVE-2013-1137 zugewiesen.

    Cisco Prime Central for Hosted Collaboration Solution Assurance Excessive CPU Utilization Vulnerability: Diese Schwachstelle kann ohne Authentifizierung und ohne Endbenutzerinteraktion per Remote-Zugriff ausgenutzt werden. Eine erfolgreiche Ausnutzung dieser Schwachstelle könnte zu einer DoS-Bedingung führen. Der Angriffsvektor zur Ausnutzung besteht aus IPv4- und IPv6-Paketen, die die TCP-Ports 9043 und 9443 verwenden.

    Dieser Schwachstelle wurde der CVE-Identifizierer CVE-2013-1135 zugewiesen.

Überblick über Sicherheitslücken

Überblick über die Risikominderungstechnik

  • Cisco Geräte bieten eine Reihe von Gegenmaßnahmen für diese Sicherheitslücken. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.

    Die Cisco IOS Software bietet mithilfe von Transit-Zugriffskontrolllisten (tACLs) effektive Exploit-Schutz.

    Dieser Schutzmechanismus filtert und löscht Pakete, die versuchen, diese Schwachstellen auszunutzen.

    Die Cisco Adaptive Security Appliance der Serie ASA 5500, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten ebenfalls eine effektive Exploit-Abwehr. Dazu werden folgende Funktionen verwendet:

    • tACL
    • TCP-Normalisierung

    Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstellen auszunutzen.

    Die Cisco ACE Application Control Engine Appliance und das Cisco ACE-Modul bieten zudem einen effektiven Schutz vor Sicherheitslücken mithilfe von TCP-Normalisierung.

    Dieser Schutzmechanismus filtert und löscht Pakete, die versuchen, diese Schwachstellen auszunutzen.

    Cisco IOS NetFlow-Datensätze bieten Transparenz für netzwerkbasierte Exploit-Versuche.

    Die Cisco IOS Software, Cisco ASA, Cisco ASASM, Cisco FWSM-Firewalls sowie die Cisco ACE Application Control Engine Appliance und das Cisco ACE-Modul bieten Transparenz durch Syslog-Meldungen und Zählerwerte, die in der Ausgabe der show-Befehle angezeigt werden.

    Die effektive Nutzung von Cisco Intrusion Prevention System (IPS)-Ereignisaktionen bietet Transparenz und Schutz vor Angriffen, die diese Schwachstellen ausnutzen.

    Der Cisco Security Manager bietet außerdem Transparenz für Vorfälle, Abfragen und Ereignisberichte.

Risikomanagement

  • Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstellen anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.

Gerätespezifische Eindämmung und Identifizierung

  • Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.

    Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:

    Cisco IOS-Router und -Switches

    Eindämmung: Transit-Zugriffskontrolllisten

    Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren Transit-Zugriffskontrolllisten (tACLs) bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor diesen Schwachstellen bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

    Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete an den TCP-Ports 9004, 5060, 9043 und 9443, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.

    Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.

    ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9004
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9043
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9004
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9043
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
access-list 150 deny ip any any
!
!-- Create the corresponding IPv6 tACL !
ipv6  access-list IPv6-Transit-ACL-Policy
 ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9004
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9043
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9443
 ! !-- The following vulnerability-specific ACEs can !-- aid in identification of attacks to global and !-- link-local addresses !
  deny tcp any 2001:DB8:1:60::/64 eq 9004
  deny tcp any 2001:DB8:1:60::/64 eq 5060
  deny tcp any 2001:DB8:1:60::/64 eq 9043
  deny tcp any 2001:DB8:1:60::/64 eq 9443
 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets !
  permit icmp any any nd-ns
  permit icmp any any nd-na
  ! 
     !-- Explicit deny for all other IPv6 traffic !
      deny ipv6 any any
 !
! !-- Apply tACLs to interfaces in the ingress direction !
interface GigabitEthernet0/0
 ip access-group 150 in
 ipv6 traffic-filter IPv6-Transit-ACL-Policy in

    Beachten Sie, dass das Filtern mit einer Schnittstellenzugriffsliste die Übertragung von nicht erreichbaren ICMP-Nachrichten zurück an die Quelle des gefilterten Datenverkehrs auslöst. Das Generieren dieser Nachrichten könnte den unerwünschten Effekt einer erhöhten CPU-Auslastung auf dem Gerät haben. In Cisco IOS-Software ist nicht-erreichbare Generation ICMP auf ein Paket alle 500 Millisekunden standardmäßig begrenzt. Die Erzeugung von nicht erreichbaren ICMP-Nachrichten kann mithilfe der Schnittstellenkonfigurationsbefehle no ip unreachables und no ipv6 unreachables deaktiviert werden. Die Durchsatzbegrenzung "ICMP unreachable" kann mithilfe der globalen Konfigurationsbefehle ip icmp rate-limit unreachable interval-in-ms und ipv6 icmp error-interval-interval-in-ms vom Standard geändert werden.

    Identifizierung: Transit-Zugriffskontrolllisten

    Nachdem der Administrator die tACL auf eine Schnittstelle angewendet hat, identifizieren die Befehle show ip access-lists und show ipv6 access-list die Anzahl der IPv4- und IPv6-Pakete auf den TCP-Ports 9004, 5060, 9043 und 9443, die gefiltert wurden. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstellen auszunutzen. Beispielausgabe für show ip access-lists 150 und show ipv6 access-list IPv6-Transit-ACL-Policy:

    router#show ip access-lists 150
Extended IP access list 150
    10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9004
    20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
    30 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9043
    40 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9443
    50 deny tcp any 192.168.60.0 0.0.0.255 eq 9004 (3 matches)
    60 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 (40 matches)
    70 deny tcp any 192.168.60.0 0.0.0.255 eq 9043 (17 matches)
    80 deny tcp any 192.168.60.0 0.0.0.255 eq 9443 (19 matches)
    90 deny ip any any
router#

    Im vorherigen Beispiel hat die Zugriffsliste 150 die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

    • 3 Pakete auf TCP-Port 9004 für ACE-Leitung 50
    • 40 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 60
    • 17 Pakete auf TCP-Port 9043 für ACE-Leitung 70
    • 19 Pakete auf TCP-Port 9443 für ACE-Leitung 80
    router#show ipv6 access-list IPv6-Transit-ACL-Policy 
IPv6 access list IPv6-Transit-ACL-Policy
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9004 (48 matches) sequence 10
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 (10 matches) sequence 20
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9043 (50 matches) sequence 30
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9443 (29 matches) sequence 40
    deny tcp any 2001:DB8:1:60::/64 eq 9004 (19 matches) sequence 50
    deny tcp any 2001:DB8:1:60::/64 eq 5060 (16 matches) sequence 60
    deny tcp any 2001:DB8:1:60::/64 eq 9043 (8 matches) sequence 70
    deny tcp any 2001:DB8:1:60::/64 eq 9443 (39 matches) sequence 80
    permit icmp any any nd-ns (80 matches) sequence 90
    permit icmp any any nd-na (91 matches) sequence 100
    deny ipv6 any any (121 matches) sequence 110

    Im vorherigen Beispiel hat die Zugriffsliste IPv6-Transit-ACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

    • 19 Pakete auf TCP-Port 9004 für ACE-Leitung 50
    • 16 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 60
    • 8 Pakete am TCP-Port 9043 für ACE-Leitung 70
    • 39 Pakete an TCP-Port 9443 für ACE-Leitung 80

    Weitere Informationen zur Untersuchung von Vorfällen mithilfe von ACE-Zählern und Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.

    Administratoren können den Embedded Event Manager verwenden, um eine Instrumentierung bereitzustellen, wenn bestimmte Bedingungen erfüllt sind, z. B. ACE-Zählerzugriffe. Das Whitepaper Embedded Event Manager in a Security Context von Cisco Security Intelligence Operations enthält weitere Informationen zur Verwendung dieser Funktion.

    Identifizierung: Protokollierung der Zugriffsliste

    Die Option log and log-input access control list (ACL) bewirkt, dass Pakete protokolliert werden, die bestimmten ACEs entsprechen. Die Option log-input ermöglicht die Protokollierung der Eingangsschnittstelle zusätzlich zu den IP-Adressen und -Ports für die Paketquelle und das Ziel.

    Achtung: Die Protokollierung von Zugriffskontrolllisten kann sehr CPU-intensiv sein und muss mit äußerster Vorsicht verwendet werden. Faktoren, die die Auswirkungen der ACL-Protokollierung auf die CPU verstärken, sind die Protokollgenerierung, die Protokollübertragung und das Prozess-Switching für die Weiterleitung von Paketen, die mit protokollfähigen ACEs übereinstimmen.

    Bei Cisco IOS-Software kann der Befehl ip access-list logging interval interval-in-ms die Auswirkungen des durch die IPv4-ACL-Protokollierung induzierten Prozess-Switching begrenzen. Der Befehl logging rate-limit rate-per-second except loglevel begrenzt die Auswirkungen der Protokollgenerierung und -übertragung.

    Die CPU-Auswirkungen der ACL-Protokollierung können mithilfe optimierter ACL-Protokollierung in der Hardware der Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 mit der Supervisor Engine 720 oder der Supervisor Engine 32 berücksichtigt werden.

    Weitere Informationen zur Konfiguration und Verwendung der ACL-Protokollierung finden Sie im Whitepaper Understanding Access Control List Logging Cisco Security.

    Cisco IOS NetFlow und Cisco IOS Flexible NetFlow

    Identifikation: Identifikation des IPv4-Datenverkehrs mit Cisco IOS NetFlow

    Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um IPv4-Datenverkehrsflüsse zu identifizieren, die diese Schwachstellen ausnutzen können. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstellen auszunutzen, oder ob es sich um legitime Datenflüsse handelt.

    router#show ip cache flow
IP packet size distribution (90784136 total packets):
   1-32   64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000

    512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 4456704 bytes
  1885 active, 63651 inactive, 59960004 added
  129803821 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 402056 bytes
  0 active, 16384 inactive, 0 added, 0 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added
  last clearing of statistics never
Protocol         Total    Flows   Packets Bytes  Packets Active(Sec) Idle(Sec)
--------         Flows     /Sec     /Flow  /Pkt     /Sec     /Flow     /Flow
TCP-Telnet    11393421      2.8         1    48      3.1       0.0       1.4
TCP-FTP            236      0.0        12    66      0.0       1.8       4.8
TCP-FTPD            21      0.0     13726  1294      0.0      18.4       4.1
TCP-WWW          22282      0.0        21  1020      0.1       4.1       7.3
TCP-X              719      0.0         1    40      0.0       0.0       1.3
TCP-BGP              1      0.0         1    40      0.0       0.0      15.0
TCP-Frag         70399      0.0         1   688      0.0       0.0      22.7
TCP-other     47861004     11.8         1   211     18.9       0.0       1.3
UDP-DNS            582      0.0         4    73      0.0       3.4      15.4
UDP-NTP         287252      0.0         1    76      0.0       0.0      15.5
UDP-other       310347      0.0         2   230      0.1       0.6      15.9
ICMP             11674      0.0         3    61      0.0      19.8      15.5
IPv6INIP            15      0.0         1  1132      0.0       0.0      15.4
GRE                  4      0.0         1    48      0.0       0.0      15.3 
Total:        59957957     14.8         1   196     22.5       0.0       1.5

SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.10.201  Gi0/1         192.168.60.102  11 0984 84D1     1
Gi0/0         192.168.11.54   Gi0/1         192.168.60.158  06 0911 2353     3
Gi0/1         192.168.150.60  Gi0/0         10.89.16.226    06 0016 12CA     1
Gi0/0         192.168.13.97   Gi0/1         192.168.60.28   06 0B3E 24E3     5
Gi0/0         192.168.10.17   Gi0/1         192.168.60.97   06 0B89 13C4     1
Gi0/0         10.88.226.1     Gi0/1         192.168.202.22  11 007B 13C4     1
Gi0/0         192.168.12.185  Gi0/1         192.168.60.239  06 0BD7 232C     1
Gi0/0         10.89.16.226    Gi0/1         192.168.150.60  06 12CA 0016     1
router#

    Im vorherigen Beispiel gibt es mehrere Datenflüsse an den TCP-Ports 9004 (Hexadezimalwert 232C), 5060 (Hexadezimalwert 13C4), 9043 (Hexadezimalwert 2353) und 9443 (Hexadezimalwert 24E3).

    Um nur die Pakete auf den TCP-Ports 9004 (Hexadezimalwert 232C), 5060 (Hexadezimalwert 13C4), 9043 (Hexadezimalwert 2353) und 9443 (Hexadezimalwert 24E3) anzuzeigen, verwenden Sie show ip Cache-Fluss | include SrcIf|_06_.*(232C|13C4|2353|24E3)_ command to display the related Cisco NetFlow records:

    TCP-Flows 
    router#show ip cache flow | include SrcIf|_06_.*(232C|13C4|2353|24E3)_
SrcIf         SrcIPaddress     DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.12.110   Gi0/1         192.168.60.163  06 092A 24E3     6
Gi0/0         192.168.11.230   Gi0/1         192.168.60.20   06 0C09 13C4     1
Gi0/0         192.168.11.131   Gi0/1         192.168.60.245  06 0B66 232C    18
Gi0/0         192.168.13.7     Gi0/1         192.168.60.162  06 0914 232C     1
Gi0/0         192.168.41.86    Gi0/1         192.168.60.27   06 0B7B 2353     2
router#

    Identifikation: Identifikation des IPv6-Datenverkehrs mit Cisco IOS NetFlow

    Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um die Identifizierung von IPv6-Datenverkehrsflüssen zu unterstützen, bei denen möglicherweise versucht wird, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstellen auszunutzen, oder ob es sich um legitime Datenflüsse handelt.

    Die folgende Ausgabe stammt von einem Cisco IOS-Gerät, auf dem die Cisco IOS Software 12.4 Mainline Train ausgeführt wird. Die Befehlssyntax variiert je nach Cisco IOS Software-Zügen.

    router#show ipv6 flow cache

IP packet size distribution (50078919 total packets):
   1-32  64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
        512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
    IP Flow Switching Cache, 475168 bytes
  8 active, 4088 inactive, 6160 added
  1092984 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds
    IP Sub Flow Cache, 33928 bytes
  16 active, 1008 inactive, 12320 added, 6160 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added
    SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...06::201 Gi0/0    2001:DB...28::20 Local    0x11 0x16C4 0x13C4 1464
2001:DB...6A:5BA6 Gi0/0    2001:DB...28::21 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...134::3 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::4 Gi0/1    0x3A 0x0000 0x8000 1192    
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x232C 1597
2001:DB...06::201 Gi0/0    2001:DB...128::3 Gi0/1    0x06 0x1610 0x2353 1001  
2001:DB...06::201 Gi0/0    2001:DB...128::4 Gi0/1    0x06 0x1634 0x24E3 1292  
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::3 Gi0/1    0x3A 0x0000 0x8000 1155
2001:DB...6A:5BA6 Gi0/0    2001:DB...146::3 Gi0/1    0x3A 0x0000 0x8000 1092
2001:DB...6A:5BA6 Gi0/0    2001:DB...144::4 Gi0/1    0x3A 0x0000 0x8000 1193

    Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.

    Im vorherigen Beispiel gibt es mehrere Datenflüsse an den TCP-Ports 9004 (Hexadezimalwert 232C), 5060 (Hexadezimalwert 13C4), 9043 (Hexadezimalwert 2353) und 9443 (Hexadezimalwert 24E3).

    Um nur die Pakete auf den TCP-Ports 9004 (Hex-Wert 232C), 5060 (Hex-Wert 13C4), 9043 (Hex-Wert 2353) und 9443 (Hex-Wert 24E3) anzuzeigen, verwenden Sie show ipv 6 Datenfluss-Cache | include SrcIf|_06_.*(232C|13C4|2353|24E3)_ command to display the related Cisco NetFlow records:

    TCP-Flows

    router#show ipv6 flow cache | include SrcIf|_06_.*(232C|13C4|2353|24E3)_
SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x13C4 1597
router#

    Identifikation: Identifikation des IPv4-Datenverkehrs mithilfe von Cisco Flexible NetFlow

    Cisco IOS Flexible NetFlow wurde in den Cisco IOS Software-Versionen 12.2(31)SB2 und 12.4(9)T eingeführt und verbessert die ursprüngliche Cisco NetFlow-Lösung, indem es die Möglichkeit bietet, die Parameter für die Datenverkehrsanalyse an die spezifischen Anforderungen des Administrators anzupassen. Original Cisco NetFlow verwendet feste sieben Tupel an IP-Informationen, um einen Datenfluss zu identifizieren. Cisco IOS Flexible NetFlow hingegen ermöglicht eine benutzerdefinierte Definition des Datenflusses. Sie vereinfacht die Erstellung komplexerer Konfigurationen für die Datenverkehrsanalyse und den Datenexport durch die Verwendung wiederverwendbarer Konfigurationskomponenten.

    Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv4-Datenflüsse basierend auf der Quell-IPv4-Adresse, wie in der Schlüsselfeldaussage match ipv4 source address definiert. Cisco IOS Flexible NetFlow umfasst außerdem nicht-wichtige Feldinformationen zu Quell- und Ziel-IPv4-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.

    ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv4
 match ipv4 source address
 collect ipv4 protocol
 collect ipv4 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv4
 record FLOW-RECORD-ipv4
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
 ip flow monitor FLOW-MONITOR-ipv4 input

    Die Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt: 

    router#show flow monitor FLOW-MONITOR-ipv4 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                1

  Flows added:                                   9181
  Flows aged:                                    9175
    - Active timeout      (  1800 secs)          9000
    - Inactive timeout    (    15 secs)           175
    - Event aged                                    0
    - Watermark aged                                0
    - Emergency aged                                0

IPV4 SRC ADDR   ipv4 dst addr   trns src port trns dst port intf input intf output pkts   ip prot
=============== =============== ============= ============= ========== =========== ====== =======
 192.168.10.201  192.168.60.102          1456          9043      Gi0/0       Gi0/1   1128      6
 192.168.11.54   192.168.60.158           123           123      Gi0/0       Gi0/1   2212     17
 192.168.150.60    10.89.16.226          2567          9443      Gi0/0       Gi0/1     13      6
 192.168.13.97    192.168.60.28          3451          9004      Gi0/0       Gi0/1      1      6
 192.168.10.17    192.168.60.97          4231          5060      Gi0/0       Gi0/1    146      6
   10.88.226.1   192.168.202.22          2678           443      Gi0/0       Gi0/1  10567      6
  10.89.16.226   192.168.150.60          3562            80      Gi0/0       Gi0/1  30012      6

    So zeigen Sie nur die Pakete an: Die TCP-Ports 9004, 5060, 9043 und 9443 verwenden die Formattabelle für den show flow monitor FLOW-MONITOR-ipv4. | IPV4 DST-ADDR einschließen |_(9004|5060|9043|9443)_.*_6_, um die zugehörigen NetFlow-Datensätze anzuzeigen.

    Weitere Informationen zu Cisco IOS Flexible NetFlow finden Sie im Flexible NetFlow-Konfigurationsleitfaden, Cisco IOS Release 15.1M&T und Cisco IOS Flexible NetFlow-Konfigurationsleitfaden, Version 12.4T.

    Identifikation: Identifikation des IPv6-Datenverkehrs mithilfe von Cisco IOS Flexible NetFlow

    Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv6-Datenflüsse basierend auf der IPv6-Quelladresse, wie in der Schlüsselfeldanweisung match ipv6 source address definiert. Cisco IOS Flexible NetFlow bietet darüber hinaus Feldinformationen ohne Schlüssel zu Quell- und Ziel-IPv6-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.

    ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv6
 match ipv6 source address
 collect ipv6 protocol
 collect ipv6 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv6
 record FLOW-RECORD-ipv6
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
  ipv6 flow monitor FLOW-MONITOR-ipv6 input

    Die Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt: 

    router#show flow monitor FLOW-MONITOR-ipv6 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                2

  Flows added:                                   539
  Flows aged:                                    532
    - Active timeout      (  1800 secs)          350
    - Inactive timeout    (    15 secs)          182
    - Event aged                                   0
    - Watermark aged                               0
    - Emergency aged                               0

IPV6 SRC ADDR     ipv6 dst addr     trns src port trns dst port intf input intf output pkts ip prot
================= ================= ============= ============= ========== =========== ==== =======
2001:DB...06::201  2001:DB...28::20           123           123      Gi0/0       Gi0/0   17      17
2001:DB...06::201  2001:DB...28::20          1265          9004      Gi0/0       Gi0/0 1237       6
2001:DB...06::201  2001:DB...28::20          1441          9443      Gi0/0       Gi0/0 2346       6
2001:DB...06::201  2001:DB...28::20          1890          5060      Gi0/0       Gi0/0 5009       6
2001:DB...06::201  2001:DB...28::20          2856          5060      Gi0/0       Gi0/0  486      17
2001:DB...06::201  2001:DB...28::20          3012            53      Gi0/0       Gi0/0 1016      17
2001:DB...06::201  2001:DB...28::20          2477            53      Gi0/0       Gi0/0 1563      17

    Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.

    Um nur die Pakete auf den TCP-Ports 9004, 5060, 9043 und 9443 anzuzeigen, verwenden Sie die Formattabelle für den show flow monitor FLOW-MONITOR-ipv6. | einschließlich IPV6 DST ADDR|_(9004|5060|9043|9443)_.*_6_ zur Anzeige der zugehörigen Cisco IOS Flexible NetFlow-Datensätze.

    Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls

    Eindämmung: Transit-Zugriffskontrolllisten

    Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren tACLs bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor diesen Schwachstellen bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

    Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete an den TCP-Ports 9004, 5060, 9043 und 9443, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.

    Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.

    ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9004
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 5060
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9043
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9004
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5060
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9043
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
access-list tACL-Policy extended deny ip any any
! !-- Create the corresponding IPv6 tACL ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9004
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 5060
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9043
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9004
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5060
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9043
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
ipv6 access-list IPv6-tACL-Policy deny ip any any
! !-- Apply tACLs to interfaces in the ingress direction !
access-group tACL-Policy in interface outside
access-group IPv6-tACL-Policy in interface outside

    Identifizierung: Transit-Zugriffskontrolllisten

    Nachdem die tACL auf eine Schnittstelle angewendet wurde, können Administratoren mit dem Befehl show access-list die Anzahl der gefilterten IPv4- und IPv6-Pakete an den TCP-Ports 9004, 5060, 9043 und 9443 identifizieren. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstellen auszunutzen. Beispielausgabe für show access-list tACL-Policy und show access-list IPv6-tACL-Policy:

    firewall#show access-list tACL-Policy
access-list tACL-Policy; 9 elements; name hash: 0x3452703d
access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9004 (hitcnt=61)
access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq sip (hitcnt=91)
access-list tACL-Policy line 3 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9043 (hitcnt=27)
access-list tACL-Policy line 4 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9443 (hitcnt=4)
access-list tACL-Policy line 5 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9004 (hitcnt=14)
access-list tACL-Policy line 6 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq sip (hitcnt=30)
access-list tACL-Policy line 7 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9043 (hitcnt=19) 
access-list tACL-Policy line 8 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9443 (hitcnt=13) 
access-list tACL-Policy line 9 extended deny ip any any (hitcnt=34)

    Im vorherigen Beispiel hat die Zugriffsliste tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

    • 14 Pakete auf Port 9004 für ACE-Leitung 5
    • 30 SIP-Pakete auf Port 5060 für ACE-Leitung 6
    • 19 Pakete auf Port 9043 für ACE-Leitung 7
    • 13 Pakete auf Port 9443 für ACE-Leitung 8
    firewall#show access-list IPv6-tACL-Policy                 
ipv6 access-list IPv6-tACL-Policy; 9 elements; name hash: 0x566a4229
ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9004 (hitcnt=28) 
ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq sip (hitcnt=124) 
ipv6 access-list IPv6-tACL-Policy line 3 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9043 (hitcnt=81) 
ipv6 access-list IPv6-tACL-Policy line 4 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9443 (hitcnt=81) 
ipv6 access-list IPv6-tACL-Policy line 5 deny tcp any 
     2001:db8:1:60::/64 eq 9004 (hitcnt=3) 
ipv6 access-list IPv6-tACL-Policy line 6 deny tcp any 
     2001:db8:1:60::/64 eq sip (hitcnt=49) 
ipv6 access-list IPv6-tACL-Policy line 7 deny tcp any 
     2001:db8:1:60::/64 eq 9043 (hitcnt=67) 
ipv6 access-list IPv6-tACL-Policy line 8 deny tcp any 
     2001:db8:1:60::/64 eq 9443 (hitcnt=80) 
ipv6 access-list IPv6-tACL-Policy line 9 deny ip any any (hitcnt=27)

    Im vorherigen Beispiel hat die Zugriffsliste IPv6-tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

    • 3 Pakete auf TCP-Port 9004 für ACE-Leitung 5
    • 49 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 6
    • 67 Pakete auf TCP-Port 9043 für ACE-Leitung 7
    • 80 Pakete am TCP-Port 9443 für ACE-Leitung 8

    Darüber hinaus kann die Syslog-Meldung 106023 nützliche Informationen bereitstellen, z. B. die Quell- und Ziel-IP-Adresse, die Quell- und Ziel-Port-Nummern und das IP-Protokoll für das abgelehnte Paket.

    Identifizierung: Firewall Access List, Syslog-Meldungen

    Die Firewall-Syslog-Meldung 106023 wird für Pakete generiert, die von einem Zugriffskontrolleintrag (Access Control Entry, ACE) abgelehnt wurden, für die kein log-Schlüsselwort vorhanden ist. Weitere Informationen zu dieser Syslog-Meldung finden Sie in Cisco ASA 5500 Series System Log Message, 8.2 - 106023.

    Informationen zur Konfiguration von Syslog für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Überwachung - Konfigurieren der Protokollierung. Informationen zur Konfiguration von Syslog auf dem Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Logging (Konfigurieren der Protokollierung). Informationen zur Konfiguration von Syslog auf dem FWSM für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 finden Sie im Monitoring the Firewall Services Module.

    Im folgenden Beispiel zeigt die Protokollierung | grep regex extrahiert Syslog-Meldungen aus dem Protokollierungspuffer der Firewall. Diese Meldungen enthalten zusätzliche Informationen zu abgelehnten Paketen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Es ist möglich, verschiedene reguläre Ausdrücke mit dem grep-Schlüsselwort zu verwenden, um nach bestimmten Daten in den protokollierten Nachrichten zu suchen.

    Weitere Informationen zur Syntax regulärer Ausdrücke finden Sie unter Erstellen eines regulären Ausdrucks.

    firewall#show logging | grep 106023
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.99/3342 
         dst inside:192.168.60.240/9043 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.100/3343 
         dst inside:192.168.60.115/9443 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.88/3344 
         dst inside:192.168.60.38/5060 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:2001:db8:d::a85e:172/5343
         dst inside:2001:db8:1:60::134/9004 by access-group "IPv6-tACL-Policy"
firewall#

    Weitere Informationen zu Syslog-Meldungen für Cisco Adaptive Security Appliances der ASA-Serie finden Sie in Cisco ASA 5500 Series System Log Messages, 8.2. Weitere Informationen zu Syslog-Meldungen für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie im Abschnitt Analyzing Syslog Messages (Analysieren von Syslog-Meldungen) des Cisco ASASM CLI Configuration Guide. Weitere Informationen zu Syslog-Meldungen für Cisco FWSM finden Sie in den Protokollnachrichten des Catalyst Switches der Serie 6500 und des Cisco Routers der Serie 7600, Protokollierungssystem für Firewall-Services-Module.

    Weitere Informationen zur Untersuchung von Vorfällen mithilfe von Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.

    Abschwächung: TCP-Normalisierung

    Die TCP-Normalisierungsfunktion identifiziert ungewöhnliche Pakete, auf die die Sicherheits-Appliance reagieren kann, wenn sie erkannt werden. Beispielsweise kann die Sicherheits-Appliance die Pakete zulassen, verwerfen oder löschen. Der TCP-Normalisierer umfasst nicht konfigurierbare und konfigurierbare Aktionen. In der Regel gelten nicht konfigurierbare Aktionen zum Verwerfen oder Löschen von Verbindungen für Pakete, die als schädlich angesehen werden. Die TCP-Normalisierung ist ab Softwareversion 7.0(1) für die Cisco Adaptive Security Appliance der Serie ASA 5500, Softwareversion 8.5 für das Cisco Catalyst ASA Services Module der Serie 6500 und Softwareversion 3.1(1) für das Cisco Firewall Services Module verfügbar.

    Die TCP-Normalisierung ist standardmäßig aktiviert und löscht Pakete, die diese Schwachstellen ausnutzen können. Der Schutz vor Paketen, die diese Schwachstellen ausnutzen, ist eine nicht konfigurierbare TCP-Normalisierungsaktion. Zum Aktivieren dieser Funktion sind keine Konfigurationsänderungen erforderlich.

    Die TCP-Normalisierungsfunktion kann verwendet werden, um die gleichzeitige Verbindungsbeschränkung und die Leerlaufzeitüberschreitung für TCP-Verbindungen mit dem Cisco Unified Presence Server zu begrenzen und so die DoS-Bedingung zu verhindern. Die Grenzwerte sollten entsprechend der maximalen normalen Anzahl von Verbindungen konfiguriert werden, die in Richtung Cisco Unified Presence Server beobachtet werden. Der Leser sollte beachten, dass die Konfiguration des TCP-Normalisierungsprogramms, um eine ungewöhnliche Anzahl von Verbindungen zum Cisco Unified Presence Server zu verhindern, einen persistenten Angreifer nicht daran hindert, die zulässige Anzahl von Verbindungen zu erschöpfen. Es wird jedoch verhindert, dass dem Cisco Unified Presence Server aufgrund vieler inaktiver Verbindungen der Arbeitsspeicher ausgeht.

    Hinweis: Die in jeder Umgebung festgelegten Grenzwerte müssen eingehalten werden, da legitime Verbindungen verweigert werden können, wenn die legitimen Grenzwerte für die jeweilige Umgebung nicht eingehalten werden.

    Im folgenden Beispiel ist 192.168.60.200/24 die IP-Adresse des betroffenen Geräts. Die Konfiguration schränkt die Anzahl gleichzeitiger TCP-Verbindungen zum Gerät auf 1000 ein und legt den Timeout für Verbindungsausfälle auf 30 Minuten fest. Die in den einzelnen Umgebungen festgelegten Grenzwerte sollten beachtet werden, da legitime Verbindungen verweigert werden können, wenn die normalen Höchstwerte für die jeweilige Umgebung nicht eingehalten werden.

    ! !-- Match TCP traffic to the Cisco Unified Presence Server !
access-list CVE-2013-1137-acl extended permit tcp any host 192.168.60.200
class-map CVE-2013-1137-cm
 match access-list CVE-2013-1137-acl
! !-- Configure the connection limits for TCP traffic !-- to the Cisco Unified Presence Server !
policy-map global_policy
 class CVE-2013-1137-cm
  set connection conn-max 1000
  set connection timeout idle 0:30:00
service-policy global_policy global

    Weitere Informationen zur TCP-Normalisierung finden Sie im Abschnitt Konfigurieren der TCP-Normalisierung im Konfigurationshandbuch für die Cisco Serie ASA 5500 unter Verwendung der CLI 8.2 und dem Abschnitt Konfigurieren der TCP-Normalisierung im Konfigurationsleitfaden für die ASA Services Module der Cisco Serie Catalyst 6500, 8.5.

    Identifizierung: TCP-Normalisierung

    Für die Cisco Adaptive Security Appliance der Serie ASA 5500 kann der Befehl show service-policy die Anzahl der Pakete identifizieren, die durch die TCP-Normalisierungsfunktion verloren gegangen sind, wie im folgenden Beispiel gezeigt:

    firewall# show service-policy set connection detail

Global policy:
  Service-policy: global_policy
    Class-map: CVE-2013-1137-cm
      Set connection policy: conn-max 10000
        current conns 15, drop 5
      Set connection timeout policy:
        idle 0:30:00
        DCD: disabled, retry-interval 0:00:15, max-retries 5
        DCD: client-probe 0, server-probe 0, conn-expiration 0            11
firewall#

    Weitere Informationen zum Debuggen von Paketen oder Verbindungen, die über einen beschleunigten Sicherheitspfad verworfen wurden, finden Sie unter Cisco Security Appliance Command Reference (Cisco Security Appliance-Befehlsreferenz) für show asp drop.

    Cisco ACE

    Abschwächung: TCP-Normalisierung

    Die TCP-Normalisierung ist eine Layer-4-Funktion, die aus einer Reihe von Prüfungen besteht, die der Cisco ACE in verschiedenen Phasen eines Datenflusses durchführt, beginnend mit der anfänglichen Verbindungseinrichtung bis hin zum Schließen einer Verbindung. Viele der Segmentprüfungen können durch Konfigurieren einer oder mehrerer erweiterter TCP-Verbindungseinstellungen gesteuert oder geändert werden. Der Cisco ACE entscheidet anhand dieser TCP-Verbindungseinstellungen, welche Prüfungen durchgeführt werden und ob ein TCP-Segment aufgrund der Prüfergebnisse verworfen werden soll. Cisco ACE verwirft Segmente, die anormal oder fehlerhaft zu sein scheinen.

    Die TCP-Normalisierung ist standardmäßig aktiviert und löscht Pakete, die diese Schwachstellen ausnutzen können. Der Schutz vor Paketen, die diese Schwachstellen ausnutzen, ist eine nicht konfigurierbare TCP-Normalisierungsaktion. Zum Aktivieren dieser Funktion sind keine Konfigurationsänderungen erforderlich.

    Die TCP-Normalisierungsfunktion kann verwendet werden, um die Anzahl gleichzeitiger Verbindungen, die Verbindungsrate und die Leerlaufzeitüberschreitung für TCP-Verbindungen mit dem Cisco Unified Communications Manager zu begrenzen und so den DoS-Zustand zu verhindern. Die Grenzwerte müssen entsprechend der maximalen Anzahl normaler Verbindungen konfiguriert werden, die für den Cisco Unified Communications Manager beobachtet werden. Der Leser sollte beachten, dass die Konfiguration des TCP-Normalisierungsprogramms, um eine ungewöhnliche Anzahl von Verbindungen zum Cisco Unified Presence Server zu verhindern, einen persistenten Angreifer nicht daran hindert, die zulässige Anzahl von Verbindungen zu erschöpfen. Es wird jedoch verhindert, dass dem Cisco Unified Presence Server aufgrund vieler inaktiver Verbindungen der Arbeitsspeicher ausgeht.

    Hinweis: Die in jeder Umgebung festgelegten Grenzwerte müssen eingehalten werden, da legitime Verbindungen verweigert werden können, wenn die legitimen Grenzwerte für die jeweilige Umgebung nicht eingehalten werden.

    Im folgenden Beispiel ist 192.168.60.200/24 die IP-Adresse des betroffenen Geräts. Die Konfiguration begrenzt die Anzahl gleichzeitiger TCP-Verbindungen zum Gerät auf 1.000, die Verbindungsrate auf 100000 Verbindungen pro Sekunde und legt den Timeout bei Verbindungsausfällen auf 30 Minuten fest.

    ! !-- Create a connection parameter map to group together TCP/IP !-- normalization and termination parameters !
parameter-map type connection CVE-2013-1137-parameter-map
 limit-resource conc-connections 1000
 set timeout inactivity 1800
 rate-limit connection 100000
! !-- Match TCP traffic to the Cisco Unified Presence Server !
class-map match-any CVE-2013-1137-cm
 match destination-address 192.168.60.200
! !-- Configure the connection limits for TCP !-- traffic to the Cisco Unified Presence Server !
policy-map multi-match CVE-2013-1137-policy
 class CVE-2013-1137-cm
  connection advanced-options CVE-2013-1137-parameter-map
! !-- Apply the policy to the interface !
interface vlan 50
 service-policy input CVE-2013-1137-policy

    Weitere Informationen zur TCP-Normalisierung finden Sie im Abschnitt Configuring TCP/IP Normalization and IP Reassembly Parameters im Cisco ACE 4700 Series Appliance Security Configuration Guide.

    Identifizierung: TCP-Normalisierung

    Die Cisco ACE Application Control Engine Appliance und das Modul bieten keine Ausgabe des Befehls show für Pakete, die beim Versuch, diese Schwachstellen auszunutzen, verworfen werden.

    Cisco Intrusion Prevention System

    Risikominderung: Cisco IPS-Signaturtabelle

    Administratoren können die Cisco IPS-Appliances und -Servicemodule verwenden, um Bedrohungen zu erkennen und Versuche zur Ausnutzung einiger der in diesem Dokument beschriebenen Schwachstellen zu verhindern. Die folgende Tabelle bietet einen Überblick über CVE-IDs und die jeweiligen Cisco IPS-Signaturen, die Ereignisse auslösen, wenn diese Schwachstellen ausgenutzt werden.

    CVE-ID Signaturfreigabe Signature-ID Signaturname Aktiviert Schweregrad Genauigkeit*
    CVE 2013 1137 S593 6009/0 SYN Flood DOS Nein Mittel 85
    CVE 2013 1137 S573 6920/0 Net Flood TCP Nein Info 100

    * Fidelity wird auch als Signature Fidelity Rating (SFR) bezeichnet und ist das relative Maß für die Genauigkeit der Signatur (vordefiniert). Der Wert reicht von 0 bis 100 und wird von Cisco Systems, Inc. festgelegt.

    Administratoren können Cisco IPS-Sensoren so konfigurieren, dass sie eine Ereignisaktion ausführen, wenn ein Angriff erkannt wird. Die konfigurierte Ereignisaktion führt eine präventive oder abschreckende Kontrolle durch, um den Schutz vor einem Angriff zu gewährleisten, der versucht, die in der vorherigen Tabelle aufgeführten Schwachstellen auszunutzen.

    Cisco IPS-Sensoren sind am effektivsten, wenn sie im Inline-Schutzmodus in Verbindung mit einer Ereignisaktion bereitgestellt werden. Der automatische Schutz vor Bedrohungen für Cisco IPS 7.x- und 6.x-Sensoren, die im Inline-Schutzmodus bereitgestellt werden, bietet Schutz vor Bedrohungen bei einem Angriff, der versucht, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Der Schutz vor Bedrohungen wird durch eine Standardüberschreibung erreicht, die eine Ereignisaktion für ausgelöste Signaturen mit einem riskRatingValue größer als 90 ausführt.

    Weitere Informationen zur Berechnung von Risikoeinstufung und Bedrohungseinstufung finden Sie unter Risikoeinstufung und Bedrohungseinstufung: Vereinfachtes IPS-Richtlinienmanagement.

    Cisco Security Manager

    Identifikation: Cisco Security Manager

    Cisco Security Manager, Ereignisanzeige

    Ab Softwareversion 4.0 kann Cisco Security Manager Syslogs von Cisco Firewalls und Cisco IPS-Geräten sammeln und stellt die Ereignisanzeige bereit, mit der nach Ereignissen gesucht werden kann, die mit den in diesem Dokument beschriebenen Sicherheitslücken zusammenhängen.

    Mithilfe der vordefinierten Ansicht für IPS-Warnungsereignisse in der Ereignisanzeige kann der Benutzer die Suchzeichenfolgen 6009/0 und 6920/0 im Ereignisfilter eingeben, um alle erfassten Ereignisse im Zusammenhang mit den Cisco IPS-Signaturen 6009/0 und 6920/0 zurückzugeben.

    Die Verwendung der folgenden Filter in der vordefinierten Ansicht "Firewall Denied Events" in der Ereignisanzeige stellt alle erfassten Cisco Firewall-Zugriffslisten-Syslog-Meldungen Deny bereit, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen.

    • Verwenden Sie den Zielereignisfilter, um Netzwerkobjekte zu filtern, die den von den betroffenen Geräten verwendeten IP-Adressraum enthalten (z. B. IPv4-Adressbereich 192.168.60.0/24 und IPv6-Adressbereich 2001:DB8:1:60::/64).
    • Verwenden Sie den Zieldienst-Ereignisfilter, um Objekte zu filtern, die die TCP-Ports 9004, 5060, 9043 und 9443 enthalten.

    Ein Ereignistyp-ID-Filter kann in Verbindung mit der vordefinierten Ansicht Firewall Denied Events (Von Firewall abgelehnte Ereignisse) in der Ereignisanzeige verwendet werden, um die in der folgenden Liste aufgeführten Syslog-IDs zu filtern und alle erfassten Cisco Firewall-Syslog-Meldungen Deny bereitzustellen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen:

    • ASA-4-106023 (ACL verweigert)

    Weitere Informationen zu Cisco Security Manager-Ereignissen finden Sie im Abschnitt Filtering and Querying Events im Cisco Security Manager User Guide.

    Cisco Security Manager Report Manager

    Ab der Softwareversion 4.1 unterstützt Cisco Security Manager den Report Manager, die Cisco IPS-Funktion zur Ereignisprotokollierung. Mit dieser Funktion können Administratoren Berichte auf der Grundlage von relevanten Cisco IPS-Ereignissen erstellen. Berichte können geplant werden, oder Benutzer können nach Bedarf Ad-hoc-Berichte erstellen.

    Mithilfe des Berichts-Managers kann der Benutzer einen IPS-Bericht mit den besten Signaturen für die von ihm betroffenen Cisco IPS-Geräte basierend auf Zeitbereich und Signatureigenschaften definieren. Wenn die Signature-ID auf

    • 6009/0
    • 6920/0
    Cisco Security Manager generiert einen umfassenden Bericht, in dem die Anzahl der für die betreffende Signatur ausgelösten Warnmeldungen im Vergleich zur Gesamtsumme aller in dem Bericht angezeigten Signaturwarnmeldungen aufgelistet wird.

    Ebenfalls im Berichts-Manager kann der Bericht "Top Services" mit der folgenden Konfiguration verwendet werden, um einen Ereignisbericht zu generieren, der auf potenzielle Versuche hinweist, die in diesem Dokument beschriebenen Schwachstellen auszunutzen:

    • Verwenden Sie den Ziel-IP-Netzwerkfilter, um Netzwerkobjekte zu filtern, die den von den betroffenen Geräten verwendeten IP-Adressraum enthalten (z. B. IPv4-Adressbereich 192.168.60.0/24 und IPv6-Adressbereich 2001:DB8:1:60::/64).
    • Festlegen der Aktion "Verweigern" auf der Seite "Kriterien"

    Weitere Informationen zu Cisco Security Manager IPS Event Reporting finden Sie im Abschnitt Understanding IPS Top Reports im Cisco Security Manager User Guide.

    Identifikation: Event Management System - Partnerveranstaltungen

    Cisco arbeitet über das Cisco Developer Network mit branchenführenden Anbietern von Security Information and Event Management (SIEM) zusammen. Diese Partnerschaft unterstützt Cisco bei der Bereitstellung validierter und getesteter SIEM-Systeme, die geschäftliche Herausforderungen wie langfristige Protokollarchivierung und Forensik, heterogene Ereigniskorrelation und erweiterte Compliance-Berichte bewältigen. Partnerprodukte für das Security Information and Event Management können zum Erfassen von Ereignissen von Cisco Geräten und anschließenden Abfragen der erfassten Ereignisse nach Vorfällen verwendet werden, die durch eine Cisco IPS-Signatur verursacht wurden, oder Syslog-Meldungen von Firewalls verweigern, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Die Abfragen können anhand der Signature-ID und der Syslog-ID durchgeführt werden, wie in der folgenden Liste gezeigt:

    • 6009/0 SYN Flood DOS
    • 6920/0 Net Flood TCP
    • ASA-4-106023 (ACL verweigert)

    Weitere Informationen zu SIEM-Partnern finden Sie auf der Website zum Security Management System (Sicherheitsmanagementsystem).

Zusätzliche Informationen

  • Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.

In diesem Bulletin

Revisionsverlauf

Cisco Sicherheitsverfahren

Zugehörige Informationen

Betroffene Produkte

  • Die Sicherheitslücke betrifft die folgenden Produktkombinationen.

    Primäre Produkte
    Cisco Cisco Unified Communications Manager 8,6 (Basis) | 9,0 (Basis) | 9.0(1) (Basis) | 9.1 (Basis) | 9.1(1) (Basis)
    Cisco Unified Presence Server 8,6 (.4)
    Cisco Hosted Collaboration Solution 8,6(x) (Basis) | 8.6(2) (Basis) | 9,0(x) (Basis) | 9.0(1) (Basis)
    Cisco Unified Communications Manager IM- und Presence-Service 9,0 (1) | 9,1 (1)


    Zugehörige Produkte

In diesem Bulletin