Antwort von Cisco

• Antwort von Cisco

  Dieses "Applied Mitigation Bulletin" ist ein Begleitdokument zum PSIRT-Sicherheitsratgeber Cisco Unified Communications Manager IM and Presence Service Denial of Service Vulnerability und bietet Identifizierungs- und Mitigationstechniken, die Administratoren auf Cisco Netzwerkgeräten einsetzen können.

Merkmale der Schwachstelle

• Der Cisco Unified IM and Presence Service weist bei der Verarbeitung einer Flut von Paketen der TCP IP Version 4 (IPv4) und IP Version 6 (IPv6) eine Schwachstelle auf. Diese Verwundbarkeit kann ohne Authentifizierung per Fernzugriff ausgenutzt werden. Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann dies zu einer Diensteverweigerung (Denial of Service, DoS) führen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen.

  Die Angriffsvektoren zur Ausnutzung bestehen aus IPv4- und IPv6-Paketen, die die folgenden Protokolle und Ports verwenden:

  • TCP-Port 5060
  • TCP-Port 5061

  Ein Angreifer könnte diese Verwundbarkeit mit gefälschten Paketen ausnutzen.

  Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2013-3453 zugewiesen.

Überblick über Sicherheitslücken

• Informationen zu anfälliger, nicht betroffener und fest installierter Software finden Sie in der Cisco Security Advisory unter dem folgenden Link: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130821-cup

Überblick über die Risikominderungstechnik

• Cisco Geräte bieten verschiedene Gegenmaßnahmen für diese Schwachstelle. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.

  Die Cisco IOS Software bietet mithilfe der folgenden Methoden einen effektiven Schutz vor Exploits:

  • Transit-Zugriffskontrolllisten (tACLs)
  • Unicast Reverse Path Forwarding (URPF)
  • IP Source Guard (IPSG)

  Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstelle auszunutzen, und überprüfen die Quell-IP-Adresse von.

  Die ordnungsgemäße Bereitstellung und Konfiguration von uRPF bietet einen effektiven Schutz vor Angriffen, die Pakete mit gefälschten Quell-IP-Adressen verwenden. uRPF sollte so nahe wie möglich an allen Datenverkehrsquellen bereitgestellt werden.

  Die ordnungsgemäße Bereitstellung und Konfiguration von IPSG bietet einen effektiven Schutz vor Spoofing-Angriffen auf der Zugriffsebene.

  Die Cisco Adaptive Security Appliance der Serie ASA 5500, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten ebenfalls eine effektive Exploit-Abwehr. Dazu werden folgende Funktionen verwendet:

  • tACL
  • Erkennung von Bedrohungen
  • Verbindungsgrenzwerte
  • uRPF

  Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstelle auszunutzen, und überprüfen die Quell-IP-Adresse von.

  Cisco IOS NetFlow-Datensätze bieten Transparenz für netzwerkbasierte Exploit-Versuche.

  Die Cisco IOS Software, Cisco ASA, Cisco ASASM, Cisco FWSM-Firewalls sowie die Cisco ACE Application Control Engine Appliance und das Cisco ACE-Modul bieten Transparenz durch Syslog-Meldungen und Zählerwerte, die in der Ausgabe der show-Befehle angezeigt werden.

  Der Cisco Security Manager bietet außerdem Transparenz für Vorfälle, Abfragen und Ereignisberichte.

Risikomanagement

• Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstelle anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.

Gerätespezifische Eindämmung und Identifizierung

• Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.

  Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:

  • Cisco IOS-Router und -Switches
  • Cisco IOS NetFlow und Cisco IOS Flexible NetFlow
  • Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
  • Cisco Security Manager

  Cisco IOS-Router und -Switches

  Eindämmung: Transit-Zugriffskontrolllisten

  Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren Transit-Zugriffskontrolllisten (tACLs) bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

  Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete an den TCP-Ports 5060 und 5061, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.

  Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.

  ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP ports and protocol !
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks ! access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5061
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list 150 deny ip any any
  !
  !-- Create the corresponding IPv6 tACL !
  ipv6  access-list IPv6-Transit-ACL-Policy
   ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable << TCP ports and protocols> !
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5061
   ! !-- The following vulnerability-specific ACEs can !-- aid in identification of attacks to global and !-- link-local addresses !
    deny tcp any 2001:DB8:1:60::/64 eq 5060
    deny tcp any 2001:DB8:1:60::/64 eq 5061
   ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets !
    permit icmp any any nd-ns
    permit icmp any any nd-na
    ! 
   !-- Explicit deny for all other IPv6 traffic !
    deny ipv6 any any
   !
  ! !-- Apply tACLs to interfaces in the ingress direction !
  interface GigabitEthernet0/0
   ip access-group 150 in
   ipv6 traffic-filter IPv6-Transit-ACL-Policy in

  Beachten Sie, dass das Filtern mit einer Schnittstellenzugriffsliste die Übertragung von nicht erreichbaren ICMP-Nachrichten zurück an die Quelle des gefilterten Datenverkehrs auslöst. Das Generieren dieser Nachrichten könnte den unerwünschten Effekt einer erhöhten CPU-Auslastung auf dem Gerät haben. In Cisco IOS-Software ist nicht-erreichbare Generation ICMP auf ein Paket alle 500 Millisekunden standardmäßig begrenzt. Die Erzeugung von nicht erreichbaren ICMP-Nachrichten kann mithilfe der Schnittstellenkonfigurationsbefehle no ip unreachables und no ipv6 unreachables deaktiviert werden. Die Durchsatzbegrenzung "ICMP unreachable" kann mithilfe der globalen Konfigurationsbefehle ip icmp rate-limit unreachable interval-in-ms und ipv6 icmp error-interval-interval-in-ms vom Standard geändert werden.

  Identifizierung: Transit-Zugriffskontrolllisten

  Wenn der Administrator die tACL auf eine Schnittstelle anwendet, identifizieren die Befehle show ip access-lists und show ipv6 access-list die Anzahl der gefilterten IPv4- und IPv6-Pakete an den TCP-Ports 5060 und 5061. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen. Beispielausgabe für show ip access-lists 150 und show ipv6 access-list IPv6-Transit-ACL-Policy:

  router#show ip access-lists 150
  Extended IP access list 150
      10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
      20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061
      30 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 (12 matches)
      40 deny tcp any 192.168.60.0 0.0.0.255 eq 5061 (26 matches)
      50 deny ip any any
  router#
  
  

  Im vorherigen Beispiel hat die Zugriffsliste 150 die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

  • 12 Pakete auf TCP-Port 5060 für ACE-Leitung 30
  • 26 Pakete auf TCP-Port 5061 für ACE-Leitung 40

  router#show ipv6 access-list IPv6-Transit-ACL-Policy 
  IPv6 access list IPv6-Transit-ACL-Policy
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 (55 matches) sequence 10
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5061 (38 matches) sequence 20
      deny tcp any 2001:DB8:1:60::/64 eq 5060 (30 matches) sequence 30
      deny tcp any 2001:DB8:1:60::/64 eq 5061 (41 matches) sequence 40
      permit icmp any any nd-ns (41 matches) sequence 50
      permit icmp any any nd-na (41 matches) sequence 60
      deny ipv6 any any (21 matches) sequence 70
  
  

  Im vorherigen Beispiel hat die Zugriffsliste IPv6-Transit-ACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

  • 30 Pakete am TCP-Port 5060 für ACE-Leitung 30
  • 41 Pakete am TCP-Port 5061 für ACE-Leitung 40

  Weitere Informationen zur Untersuchung von Vorfällen mithilfe von ACE-Zählern und Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.

  Administratoren können den Embedded Event Manager verwenden, um eine Instrumentierung bereitzustellen, wenn bestimmte Bedingungen erfüllt sind, z. B. ACE-Zählerzugriffe. Das Whitepaper Embedded Event Manager in a Security Context von Cisco Security Intelligence Operations enthält weitere Informationen zur Verwendung dieser Funktion.

  Identifizierung: Protokollierung der Zugriffsliste

  Die Option log and log-input access control list (ACL) bewirkt, dass Pakete protokolliert werden, die bestimmten ACEs entsprechen. Die Option log-input ermöglicht die Protokollierung der Eingangsschnittstelle zusätzlich zu den IP-Adressen und -Ports für die Paketquelle und das Ziel.

  Achtung: Die Protokollierung von Zugriffskontrolllisten kann sehr CPU-intensiv sein und muss mit äußerster Vorsicht verwendet werden. Faktoren, die die Auswirkungen der ACL-Protokollierung auf die CPU verstärken, sind die Protokollgenerierung, die Protokollübertragung und das Prozess-Switching für die Weiterleitung von Paketen, die mit protokollfähigen ACEs übereinstimmen.

  Bei Cisco IOS-Software kann der Befehl ip access-list logging interval interval-in-ms die Auswirkungen des durch die IPv4-ACL-Protokollierung induzierten Prozess-Switching begrenzen. Der Befehl logging rate-limit rate-per-second [except loglevel] begrenzt die Auswirkungen der Protokollgenerierung und -übertragung.

  Die CPU-Auswirkungen der ACL-Protokollierung können mithilfe optimierter ACL-Protokollierung in der Hardware der Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 mit der Supervisor Engine 720 oder der Supervisor Engine 32 berücksichtigt werden.

  Weitere Informationen zur Konfiguration und Verwendung der ACL-Protokollierung finden Sie im Whitepaper Understanding Access Control List Logging Cisco Security.

  Eindämmung: Spoofing-Schutz

  Unicast Reverse Path Forwarding

  Die in diesem Dokument beschriebenen Schwachstellen können durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können Unicast Reverse Path Forwarding (uRPF) als Schutzmechanismus gegen Spoofing bereitstellen und konfigurieren.

  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. Den Administratoren wird empfohlen, während der Bereitstellung dieser Funktion sicherzustellen, dass der geeignete uRPF-Modus (flexibel oder strikt) konfiguriert wird, da legitimer Datenverkehr, der das Netzwerk durchquert, verworfen werden kann. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene an den benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.

  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.

  IP-Quellschutz

  IP Source Guard (IPSG) ist eine Sicherheitsfunktion, die den IP-Datenverkehr an nicht gerouteten Layer-2-Schnittstellen beschränkt, indem Pakete auf Basis der DHCP-Snooping-Bindungsdatenbank und manuell konfigurierter IP-Source-Bindings gefiltert werden. Administratoren können IPSG verwenden, um Angriffe eines Angreifers zu verhindern, der versucht, Pakete durch Fälschung der Quell-IP-Adresse und/oder der MAC-Adresse zu fälschen. Bei ordnungsgemäßer Bereitstellung und Konfiguration bietet IPSG in Verbindung mit dem strengen Modus "uRPF" den effektivsten Spoofing-Schutz für die in diesem Dokument beschriebenen Schwachstellen.

  Weitere Informationen zur Bereitstellung und Konfiguration von IPSG finden Sie unter Konfigurieren der DHCP-Funktionen und von IP Source Guard.

  Identifizierung: Spoofing-Schutz mit Unicast Reverse Path Forwarding

  Bei ordnungsgemäßer Bereitstellung und Konfiguration von uRPF in der gesamten Netzwerkinfrastruktur können Administratoren den internen Steckplatz/Port des Schnittstellentyps "show cef", die Befehle "show ip interface", "show cef drop", "show ip cef switching statistics" und "show ip traffic" verwenden, um die Anzahl der Pakete zu identifizieren, die uRPF verworfen hat.

  Hinweis: Ab Version 12.4(20)T der Cisco IOS-Software wurde der Befehl show ip cef switching durch die Funktion show ip cef switching statistics ersetzt.

  Hinweis: Der Befehl show begin regex und der Befehl show include regex-Befehlsmodifizierer werden in den folgenden Beispielen verwendet, um die Ausgabe zu minimieren, die Administratoren analysieren müssen, um die gewünschten Informationen anzuzeigen. Weitere Informationen zu Befehlsmodifizierern finden Sie in den Abschnitten show command in der Cisco IOS Configuration Fundamentals Command Reference.

  router#show cef interface GigabitEthernet 0/0 internal | include drop
    ip verify: via=rx (allow default), acl=0, drop=18, sdrop=0
    IPv6 unicast RPF: via=rx acl=None, drop=10, sdrop=0 (if IPv6 applies) 
  router#

  Hinweis: show cef interface type slot/port internal ist ein ausgeblendeter Befehl, der vollständig in die Kommandozeile eingegeben werden muss. Die Befehlsvervollständigung steht dafür nicht zur Verfügung.

  router#show cef drop
  CEF Drop Statistics
  Slot  Encap_fail  Unresolved Unsupported    No_route      No_adj  ChkSum_Err
  RP            27           0           0          18           0           0
  router#
  
  router#show ip interface GigabitEthernet 0/0 | begin verify
  
    IP verify source reachable-via RX, allow default, allow self-ping
    18 verification drops
    0 suppressed verification drops
  router#
  router#show ipv6 interface GigabitEthernet 0/0 | section IPv6 verify
  
    IPv6 verify source reachable-via rx 
    0 verification drop(s) (process), 10 (CEF)
    0 suppressed verification drop(s) (process), 0 (CEF)
    --      CLI Output Truncated       --  
  router#
  
  router#show ip cef switching statistics feature
  
  IPv4 CEF input features:
  Path   Feature                Drop    Consume       Punt  Punt2Host Gave route
  RP PAS uRPF                     18          0          0          0          0
  Total                           18          0          0          0          0
      --      CLI Output Truncated       --  
  router#
  router#show ipv6 cef switching statistics feature
  
  IPv6 CEF input features:
  Feature                       Drop   Consume   Punt   Punt2Host   Gave route
  RP LES Verify Unicast R         10         0      0           0            0
  Total                           10         0      0           0            0
      --      CLI Output Truncated       --  
  router#
  
  router#show ip traffic | include RPF
           18 no route, 18 unicast RPF, 0 forced drop
  router#
  router#show ipv6 traffic | include RPF
           10 RPF drops, 0 RPF suppressed, 0 forced drop
  router# 

  Im vorherigen Beispiel zeigen cef-Schnittstellentyp Slot/Port intern, zeigen cef drop, zeigen ip-Schnittstellentyp Slot/Port und zeigen ipv6-Schnittstellentyp Slot/Port, zeigen ip cef-Switching-Statistik-Funktion und zeigen ipv6 cef-Switching-Statistik-Funktion und zeigen ip-Verkehr-Beispiele, uv6 hat uRPF die folgenden empfangenen Pakete verworfen global an allen Schnittstellen mit uRPF konfiguriert, da die Quelladresse der IP-Pakete in der Weiterleitungsdatenbank von Cisco Express Forwarding nicht überprüft werden kann.

  • 18 IPv4-Pakete
  • 10 IPv6-Pakete

  Cisco IOS NetFlow und Cisco IOS Flexible NetFlow

  Identifikation: Identifikation des IPv4-Datenverkehrs mit Cisco IOS NetFlow

  Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um IPv4-Datenverkehrsflüsse zu identifizieren, die diese Schwachstelle ausnutzen könnten. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen, oder ob es sich um legitime Datenflüsse handelt.

  router#show ip cache flow
  IP packet size distribution (90784136 total packets):
     1-32   64   96  128  160  192  224  256  288  320  352  384  416  448  480
     .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000
  
      512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
     .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000
  
  IP Flow Switching Cache, 4456704 bytes
    1885 active, 63651 inactive, 59960004 added
    129803821 ager polls, 0 flow alloc failures
    Active flows timeout in 30 minutes
    Inactive flows timeout in 15 seconds
  IP Sub Flow Cache, 402056 bytes
    0 active, 16384 inactive, 0 added, 0 added to flow
    0 alloc failures, 0 force free
    1 chunk, 1 chunk added
    last clearing of statistics never
  Protocol         Total    Flows   Packets Bytes  Packets Active(Sec) Idle(Sec)
  --------         Flows     /Sec     /Flow  /Pkt     /Sec     /Flow     /Flow
  TCP-Telnet    11393421      2.8         1    48      3.1       0.0       1.4
  TCP-FTP            236      0.0        12    66      0.0       1.8       4.8
  TCP-FTPD            21      0.0     13726  1294      0.0      18.4       4.1
  TCP-WWW          22282      0.0        21  1020      0.1       4.1       7.3
  TCP-X              719      0.0         1    40      0.0       0.0       1.3
  TCP-BGP              1      0.0         1    40      0.0       0.0      15.0
  TCP-Frag         70399      0.0         1   688      0.0       0.0      22.7
  TCP-other     47861004     11.8         1   211     18.9       0.0       1.3
  UDP-DNS            582      0.0         4    73      0.0       3.4      15.4
  UDP-NTP         287252      0.0         1    76      0.0       0.0      15.5
  UDP-other       310347      0.0         2   230      0.1       0.6      15.9
  ICMP             11674      0.0         3    61      0.0      19.8      15.5
  IPv6INIP            15      0.0         1  1132      0.0       0.0      15.4
  GRE                  4      0.0         1    48      0.0       0.0      15.3 
  Total:        59957957     14.8         1   196     22.5       0.0       1.5
  
  SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
  Gi0/0         192.168.10.201  Gi0/1         192.168.60.102  06 0984 13C4     1
  Gi0/0         192.168.11.54   Gi0/1         192.168.60.158  06 0911 13C4     3
  Gi0/1         192.168.150.60  Gi0/0         10.89.16.226    06 0016 12CA     1
  Gi0/0         192.168.13.97   Gi0/1         192.168.60.28   06 0B3E 13C5     5
  Gi0/0         192.168.10.17   Gi0/1         192.168.60.97   06 0B89 13C5     1
  Gi0/0         10.88.226.1     Gi0/1         192.168.202.22  11 007B 007B     1
  Gi0/0         192.168.12.185  Gi0/1         192.168.60.239  11 0BD7 00A1     1
  Gi0/0         10.89.16.226    Gi0/1         192.168.150.60  06 12CA 0016     1
  router#

  Im vorherigen Beispiel gibt es mehrere Datenflüsse auf dem TCP-Port 5060 (Hexadezimalwert 13C4) und dem TCP-Port 5061 (Hexadezimalwert 13C5).

  Dieser Datenverkehr wird von Adressen im Adressblock 192.168.60.0/24 generiert und an diese gesendet, der von den betroffenen Geräten verwendet wird. Die Pakete in diesen Flows können gefälscht sein und einen Versuch anzeigen, diese Schwachstelle auszunutzen. Den Administratoren wird empfohlen, diese Datenflüsse mit der Basisauslastung für den Datenverkehr zu vergleichen, der über die TCP-Ports 5060 und 5061 gesendet wird. Außerdem sollten sie die Datenflüsse untersuchen, um festzustellen, ob sie von nicht vertrauenswürdigen Hosts oder Netzwerken stammen.

  Um nur die Pakete auf TCP-Port 5060 (Hexadezimalwert 13C4) und TCP-Port 5061 (Hexadezimalwert 13C5) anzuzeigen, verwenden Sie den Befehl show ip cache flow. | include SrcIf|_06_.*(13C4|13C4)_ command to display the related Cisco NetFlow records:

  TCP-Flows

  router#show ip cache flow | include SrcIf|_06_.*(13C4|13C4)_
  SrcIf         SrcIPaddress     DstIf         DstIPaddress    Pr SrcP DstP  Pkts
  Gi0/0         192.168.12.110   Gi0/1         192.168.60.163  06 092A 13C4     6
  Gi0/0         192.168.11.230   Gi0/1         192.168.60.20   06 0C09 13C4     1
  Gi0/0         192.168.11.131   Gi0/1         192.168.60.245  06 0B66 13C4    18
  Gi0/0         192.168.13.7     Gi0/1         192.168.60.162  06 0914 13C5     1
  Gi0/0         192.168.41.86    Gi0/1         192.168.60.27   06 0B7B 13C5     2
  router#
  
  

  Identifikation: Identifikation des IPv6-Datenverkehrs mit Cisco IOS NetFlow

  Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um die Identifizierung von IPv6-Datenverkehrsflüssen zu unterstützen, bei denen möglicherweise versucht wird, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen, oder ob es sich um legitime Datenflüsse handelt.

  Die folgende Ausgabe stammt von einem Cisco IOS-Gerät, auf dem die Cisco IOS Software 12.4 Mainline Train ausgeführt wird. Die Befehlssyntax variiert je nach Cisco IOS Software-Zügen.

  router#show ipv6 flow cache
  
  IP packet size distribution (50078919 total packets):
     1-32  64   96  128  160  192  224  256  288  320  352  384  416  448  480
     .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
      512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
     .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
  IP Flow Switching Cache, 475168 bytes
    8 active, 4088 inactive, 6160 added
    1092984 ager polls, 0 flow alloc failures
    Active flows timeout in 30 minutes
    Inactive flows timeout in 15 seconds
  IP Sub Flow Cache, 33928 bytes
    16 active, 1008 inactive, 12320 added, 6160 added to flow
    0 alloc failures, 0 force free
    1 chunk, 1 chunk added
  SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
  2001:DB...06::201 Gi0/0    2001:DB...28::20 Local    0x06 0x16C4 0x13C4 1464
  2001:DB...6A:5BA6 Gi0/0    2001:DB...28::21 Gi0/1    0x3A 0x0000 0x8000 1191
  2001:DB...6A:5BA6 Gi0/0    2001:DB...134::3 Gi0/1    0x3A 0x0000 0x8000 1191
  2001:DB...6A:5BA6 Gi0/0    2001:DB...128::4 Gi0/1    0x3A 0x0000 0x8000 1192    
  2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x13C4 1597
  2001:DB...06::201 Gi0/0    2001:DB...128::3 Gi0/1    0x06 0x1610 0x13C5 1001  
  2001:DB...06::201 Gi0/0    2001:DB...128::4 Gi0/1    0x06 0x1634 0x13C4 1292  
  2001:DB...6A:5BA6 Gi0/0    2001:DB...128::3 Gi0/1    0x3A 0x0000 0x8000 1155
  2001:DB...6A:5BA6 Gi0/0    2001:DB...146::3 Gi0/1    0x3A 0x0000 0x8000 1092
  2001:DB...6A:5BA6 Gi0/0    2001:DB...144::4 Gi0/1    0x3A 0x0000 0x8000 1193 

  Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.

  Im vorherigen Beispiel gibt es mehrere IPv6-Flows auf dem TCP-Port 5060 (Hexadezimalwert 13C4) und dem TCP-Port 5061 (Hexadezimalwert 13C5).

  Um nur die Pakete auf TCP-Port 5060 (Hex-Wert 13C4) und TCP-Port 5061 (Hex-Wert 13C5) anzuzeigen, verwenden Sie den show ipv6 flow cache | include SrcIf|_06_.*(13C4|13C5)_ command to display the related Cisco NetFlow records:

  TCP-Flows

  router#show ipv6 flow cache | include SrcIf|_06_.*(13C4|13C5)_
  SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
  2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x13C4 1597
  2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x13C5 1597
  router#
  

  Identifikation: Identifikation des IPv4-Datenverkehrs mithilfe von Cisco Flexible NetFlow

  Cisco IOS Flexible NetFlow wurde in den Cisco IOS Software-Versionen 12.2(31)SB2 und 12.4(9)T eingeführt und verbessert die ursprüngliche Cisco NetFlow-Lösung, indem es die Möglichkeit bietet, die Parameter für die Datenverkehrsanalyse an die spezifischen Anforderungen des Administrators anzupassen. Original Cisco NetFlow verwendet feste sieben Tupel an IP-Informationen, um einen Datenfluss zu identifizieren. Cisco IOS Flexible NetFlow hingegen ermöglicht eine benutzerdefinierte Definition des Datenflusses. Sie vereinfacht die Erstellung komplexerer Konfigurationen für die Datenverkehrsanalyse und den Datenexport durch die Verwendung wiederverwendbarer Konfigurationskomponenten.

  Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv4-Datenflüsse basierend auf der Quell-IPv4-Adresse, wie in der Schlüsselfeldaussage match ipv4 source address definiert. Cisco IOS Flexible NetFlow umfasst außerdem nicht-wichtige Feldinformationen zu Quell- und Ziel-IPv4-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.

  ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
  flow record FLOW-RECORD-ipv4
   match ipv4 source address
   collect ipv4 protocol
   collect ipv4 destination address
   collect transport source-port
   collect transport destination-port
   collect interface input
   collect interface output
   collect counter packets
  ! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
  flow monitor FLOW-MONITOR-ipv4
   record FLOW-RECORD-ipv4
  ! !-- Apply the flow monitor to the interface !-- in the ingress direction !
  interface GigabitEthernet0/0
   ip flow monitor FLOW-MONITOR-ipv4 input

  Die Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt:

  router#show flow monitor FLOW-MONITOR-ipv4 cache format table
    Cache type:                               Normal
    Cache size:                                 4096
    Current entries:                               6
    High Watermark:                                1
  
    Flows added:                                   9181
    Flows aged:                                    9175
      - Active timeout      (  1800 secs)          9000
      - Inactive timeout    (    15 secs)           175
      - Event aged                                    0
      - Watermark aged                                0
      - Emergency aged                                0
  
  IPV4 SRC ADDR   ipv4 dst addr   trns src port trns dst port intf input intf output pkts   ip prot
  =============== =============== ============= ============= ========== =========== ====== =======
   192.168.10.201  192.168.60.102          1456          5060      Gi0/0       Gi0/1   1128      6
   192.168.11.54   192.168.60.158           123          5060      Gi0/0       Gi0/1   2212      6
   192.168.150.60    10.89.16.226          2567           443      Gi0/0       Gi0/1     13      6
   192.168.13.97    192.168.60.28          3451          5061      Gi0/0       Gi0/1      1      6
   192.168.10.17    192.168.60.97          4231          5060      Gi0/0       Gi0/1    146      6
     10.88.226.1   192.168.202.22          2678           443      Gi0/0       Gi0/1  10567      6
    10.89.16.226   192.168.150.60          3562            80      Gi0/0       Gi0/1  30012      6

  Um nur die Pakete auf den TCP-Ports 5060 und 5061 anzuzeigen, verwenden Sie die Formattabelle für den Flow Monitor FLOW-MONITOR-ipv4. | IPV4 DST-ADDR einschließen |_(5060|5061)_.*_6_, um die zugehörigen NetFlow-Datensätze anzuzeigen.

  Weitere Informationen zu Cisco IOS Flexible NetFlow finden Sie im Konfigurationsleitfaden für Flexible NetFlow, in Cisco IOS Release 15M&T und in Cisco IOS Flexible NetFlow Configuration Guide, Release 12.4T.

  Identifikation: Identifikation des IPv6-Datenverkehrs mithilfe von Cisco IOS Flexible NetFlow

  Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv6-Datenflüsse basierend auf der IPv6-Quelladresse, wie in der Schlüsselfeldanweisung match ipv6 source address definiert. Cisco IOS Flexible NetFlow bietet darüber hinaus Feldinformationen ohne Schlüssel zu Quell- und Ziel-IPv6-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.

  ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
  flow record FLOW-RECORD-ipv6
   match ipv6 source address
   collect ipv6 protocol
   collect ipv6 destination address
   collect transport source-port
   collect transport destination-port
   collect interface input
   collect interface output
   collect counter packets
  ! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
  flow monitor FLOW-MONITOR-ipv6
   record FLOW-RECORD-ipv6
  ! !-- Apply the flow monitor to the interface !-- in the ingress direction !
  interface GigabitEthernet0/0
    ipv6 flow monitor FLOW-MONITOR-ipv6 input

  Die Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt:

  router#show flow monitor FLOW-MONITOR-ipv6 cache format table
    Cache type:                               Normal
    Cache size:                                 4096
    Current entries:                               6
    High Watermark:                                2
  
    Flows added:                                   539
    Flows aged:                                    532
      - Active timeout      (  1800 secs)          350
      - Inactive timeout    (    15 secs)          182
      - Event aged                                   0
      - Watermark aged                               0
      - Emergency aged                               0
  
  IPV6 SRC ADDR     ipv6 dst addr     trns src port trns dst port intf input intf output pkts ip prot
  ================= ================= ============= ============= ========== =========== ==== =======
  2001:DB...06::201  2001:DB...28::20           123           123      Gi0/0       Gi0/0   17      17
  2001:DB...06::201  2001:DB...28::20          1265          5060      Gi0/0       Gi0/0 1237       6
  2001:DB...06::201  2001:DB...28::20          1441          5060      Gi0/0       Gi0/0 2346       6
  2001:DB...06::201  2001:DB...28::20          1890          5061      Gi0/0       Gi0/0 5009       6
  2001:DB...06::201  2001:DB...28::20          2856          5060      Gi0/0       Gi0/0  486      17
  2001:DB...06::201  2001:DB...28::20          3012            53      Gi0/0       Gi0/0 1016      17
  2001:DB...06::201  2001:DB...28::20          2477            53      Gi0/0       Gi0/0 1563      17

  Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.

  Um nur die Pakete auf den TCP-Ports 5060 und 5061 anzuzeigen, verwenden Sie die Formattabelle show flow monitor FLOW-MONITOR-ipv6 cache | include IPV6 DST ADDR|_(5060|5061)_.*_6_ command to display the related Cisco IOS Flexible NetFlow records.

  Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls

  Eindämmung: Transit-Zugriffskontrolllisten

  Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren tACLs bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

  Die tACL-Richtlinie verweigert nicht autorisierte IPv4- und IPv6-Pakete auf den TCP-Ports 5060 und 5061, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.

  Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.

  ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable  TCP ports protocol !
  access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 255.255.255.0 eq 5060
  access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 255.255.255.0 eq 5061
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
  access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5060
  access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5061
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list tACL-Policy extended deny ip any any
  ! !-- Create the corresponding IPv6 tACL ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP ports protocol !
  ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
            2001:db8:1:60::/64 eq 5060
  ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
            2001:db8:1:60::/64 eq 5061
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
  ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5060
  ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5061
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  ipv6 access-list IPv6-tACL-Policy deny ip any any
  ! !-- Apply tACLs to interfaces in the ingress direction !
  access-group tACL-Policy in interface outside
  access-group IPv6-tACL-Policy in interface outside

  Identifizierung: Transit-Zugriffskontrolllisten

  Nachdem die tACL auf eine Schnittstelle angewendet wurde, können Administratoren mit dem Befehl show access-list die Anzahl der gefilterten IPv4- und IPv6-Pakete an den TCP-Ports 5060 und 5061 identifizieren. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen. Beispielausgabe für show access-list tACL-Policy und show access-list IPv6-tACL-Policy:

  firewall#show access-list tACL-Policy
  access-list tACL-Policy; 5 elements; name hash: 0x3452703d
  access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 
       192.168.60.0 255.255.255.0 eq sip (hitcnt=31)
  access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 
       192.168.60.0 255.255.255.0 eq 5061 (hitcnt=61)
  access-list tACL-Policy line 3 extended deny tcp any 192.168.60.0 
       255.255.255.0 eq sip (hitcnt=8)
  access-list tACL-Policy line 4 extended deny tcp any 192.168.60.0 
       255.255.255.0 eq 5061 (hitcnt=14)
  access-list tACL-Policy line 5 extended deny ip any any (hitcnt=8)

  Im vorherigen Beispiel hat die Zugriffsliste tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

  • 8 Pakete am TCP-Port 5060 für ACE-Leitung 3
  • 14 Pakete am TCP-Port 5061 für ACE-Leitung 4

  firewall#show access-list IPv6-tACL-Policy                 
  ipv6 access-list IPv6-tACL-Policy; 5 elements; name hash: 0x566a4229
  ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:db8:1:100::1 
       2001:db8:1:60::/64 eq sip (hitcnt=59) 
  ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:db8:1:100::1 
       2001:db8:1:60::/64 eq 5061 (hitcnt=28) 
  ipv6 access-list IPv6-tACL-Policy line 3 deny tcp any 
       2001:db8:1:60::/64 eq sip (hitcnt=47) 
  ipv6 access-list IPv6-tACL-Policy line 4 deny tcp any 
       2001:db8:1:60::/64 eq 5061 (hitcnt=33) 
  ipv6 access-list IPv6-tACL-Policy line 5 deny ip any any (hitcnt=27)

   Im vorherigen Beispiel hat die Zugriffsliste IPv6-tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:

  • 47 Pakete auf TCP-Port 5060 für ACE-Leitung 3
  • 33 Pakete auf TCP-Port 5061 für ACE-Leitung 4

  Darüber hinaus kann die Syslog-Meldung 106023 nützliche Informationen bereitstellen, z. B. die Quell- und Ziel-IP-Adresse, die Quell- und Ziel-Port-Nummern und das IP-Protokoll für das abgelehnte Paket.

  Identifizierung: Firewall Access List, Syslog-Meldungen

  Die Firewall-Syslog-Meldung 106023 wird für Pakete generiert, die von einem Zugriffskontrolleintrag (Access Control Entry, ACE) abgelehnt wurden, für die kein log-Schlüsselwort vorhanden ist. Weitere Informationen zu dieser Syslog-Meldung finden Sie in Cisco ASA 5500 Series System Log Message, 8.2 - 106023.

  Informationen zur Konfiguration von Syslog für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Überwachung - Konfigurieren der Protokollierung. Informationen zur Konfiguration von Syslog auf dem Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Logging (Konfigurieren der Protokollierung). Informationen zur Konfiguration von Syslog auf dem FWSM für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 finden Sie im Monitoring the Firewall Services Module.

  Im folgenden Beispiel zeigt die Protokollierung | grep regex extrahiert Syslog-Meldungen aus dem Protokollierungspuffer der Firewall. Diese Meldungen enthalten zusätzliche Informationen zu abgelehnten Paketen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Es ist möglich, verschiedene reguläre Ausdrücke mit dem grep-Schlüsselwort zu verwenden, um nach bestimmten Daten in den protokollierten Nachrichten zu suchen.

  Weitere Informationen zur Syntax regulärer Ausdrücke finden Sie unter Erstellen eines regulären Ausdrucks.

  firewall#show logging | grep 106023
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.18/2944 
           dst inside:192.168.60.191/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.200/2945 
           dst inside:192.168.60.33/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.99/2946 
           dst inside:192.168.60.240/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.100/2947 
           dst inside:192.168.60.115/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.88/2949 
           dst inside:192.168.60.38/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.175/2950 
           dst inside:192.168.60.250/5060 by access-group "tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:2001:db8:2::2:172/2951
           dst inside:2001:db8:1:60::23/5060 by access-group "IPv6-tACL-Policy"
    Aug 21 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:2001:db8:d::a85e:172/2952
           dst inside:2001:db8:1:60::134/5060 by access-group "IPv6-tACL-Policy"
  firewall#

  Im vorherigen Beispiel werden die für die tACL-tACL-Richtlinie und die IPv6-tACL-Richtlinie protokollierten Nachrichten möglicherweise gefälscht angezeigt. Pakete für den TCP-Port 5060 werden an den Adressblock gesendet, der den betroffenen Geräten zugewiesen ist.

  Weitere Informationen zu Syslog-Meldungen für Cisco Adaptive Security Appliances der ASA-Serie finden Sie in Cisco ASA 5500 Series System Log Messages, 8.2. Weitere Informationen zu Syslog-Meldungen für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie im Abschnitt Analyzing Syslog Messages (Analysieren von Syslog-Meldungen) des Cisco ASASM CLI Configuration Guide. Weitere Informationen zu Syslog-Meldungen für Cisco FWSM finden Sie in den Protokollnachrichten des Catalyst Switches der Serie 6500 und des Cisco Routers der Serie 7600, Protokollierungssystem für Firewall-Services-Module.

  Weitere Informationen zur Untersuchung von Vorfällen mithilfe von Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.

  Eindämmung: Verbindungsgrenzwerte

  Die Begrenzung der Anzahl noch nicht vollständig integrierter Verbindungen hilft, Netzwerke vor DoS-Angriffen zu schützen. Die ASA verwendet die Client-spezifischen und die noch nicht ausgereifte Verbindungsbeschränkung, um TCP Intercept auszulösen, das interne Systeme vor DoS-Angriffen schützt, die durch das Fluten einer Schnittstelle mit TCP-SYN-Paketen verursacht werden. Eine embryonale Verbindung ist eine Verbindungsanforderung, die den notwendigen Handshake zwischen Quelle und Ziel nicht beendet hat. TCP Intercept verwendet den SYN-Cookie-Algorithmus, um TCP-SYN-Flooding-Angriffe zu verhindern. Ein SYN-Flooding-Angriff besteht aus einer Reihe von SYN-Paketen, die in der Regel von gefälschten IP-Adressen stammen. Die konstante Flut von SYN-Paketen hält die SYN-Warteschlange des Servers voll, wodurch dieser daran gehindert wird, Verbindungsanforderungen zu bearbeiten. Wenn die embryonale Verbindungsschwelle einer Verbindung überschritten wird, fungiert die ASA als Proxy für den Server und generiert eine SYN-ACK-Antwort auf die SYN-Anfrage des Clients. Wenn die ASA eine ACK vom Client erhält, kann sie den Client authentifizieren und die Verbindung zum Server zulassen.

  Administratoren können eine Überprüfungsrichtlinie für Anwendungen erstellen, die eine besondere Behandlung erfordern. Hierzu können sie Überprüfungsklassen- und Überprüfungsrichtlinienzuordnungen konfigurieren, die über eine globale Richtlinie oder eine Richtlinie für Schnittstellendienste angewendet werden.

  Weitere Informationen zu Verbindungslimits finden Sie im Abschnitt Configuring Connection Limits and Timeouts (Konfigurieren von Verbindungslimits und Timeouts) im Cisco ASA 5500 Series Configuration Guide using the CLI, 8.2 (Konfigurationsleitfaden für Cisco ASA 5500 mit der CLI 8.2).

  Achtung: Administratoren wird empfohlen, die Auswirkungen von Verbindungslimits in einer Laborumgebung auf die Leistung zu testen, bevor diese Funktion in Produktionsumgebungen bereitgestellt wird.

  ! !-- Configure the class-map, policy-map and service-policy !-- limit embryonic connections !
  firewall(config)# class-map embryonic
  firewall(config-cmap)# match any
  firewall(config-cmap)# policy-map embryonic
  firewall(config-pmap)# class embryonic
  firewall(config-pmap-c)# set connection conn-max 1000 embryonic-conn-max 3000
  firewall(config-pmap-c)# set connection timeout tcp 2:0:0 embryonic 0:40:0 
          half-closed 0:20:0 dcd
  firewall(config-pmap-c)# service-policy embryonic interface outside
  ! !

  Identifikation: Verbindungsgrenzwerte

  Bei korrekt konfigurierten Verbindungslimits können Administratoren show Befehle zum Anzeigen statistischer Informationen zu Verbindungslimits auf der Cisco ASA und dem Cisco ASASM. Das folgende Beispiel zeigt die nach Verbindungslimit aufgezeichneten Verwerfungen.

  firewall# sh service-policy set connection detail | include conn          
        Set connection policy: conn-max 1000 embryonic-conn-max 3000 
          current embryonic conns 994, current conns 994, drop 8844541
  
  firewall# sh threat-detection rate conn-limit-drop                           
  						   Average(eps)    Current(eps) Trigger      Total events
    10-min Conn limt:              14712               0      25           8827467
    1-hour Conn limt:               2456               0       5           8844390

  Im vorherigen Beispiel zeigt die Ausgabe des Befehls Verbindungsdetails für den Dienstrichtliniensatz an. | include conn zeigt 8.884.541 unterbrochene Verbindungen zu den betroffenen Geräten an. Die Ausgabe des Befehls show threat-detection rate conn-limit-drop zeigt Zähler für unterbrochene Verbindungsgrenzwerte an.

  Identifikation: Erkennung von Bedrohungen

  Die Cisco Adaptive Security Appliance unterstützt die Funktion zur Erkennung von Sicherheitsrisiken der Softwareversionen 8.0 und höher. Mithilfe der grundlegenden Bedrohungserkennung überwacht die Sicherheits-Appliance die Rate der verworfenen Pakete und Sicherheitsereignisse aus den folgenden Gründen:

  • Verweigerung durch Zugriffslisten
  • Ungültiges Paketformat (wie invalid-ip-header oder invalid-tcp-hdr-length)
  • Verbindungsgrenzwerte überschritten (systemweite Ressourcengrenzwerte und in der Konfiguration festgelegte Grenzwerte)
  • Erkannter DoS-Angriff (z. B. ungültige Stateful Packet Inspection (SPI), fehlgeschlagene Stateful Firewall-Prüfung)
  • Grundlegende Prüfungen der Firewall fehlgeschlagen (Diese Option ist eine kombinierte Rate, die alle Firewall-bezogenen Paketverluste in dieser Aufzählung berücksichtigt. Dies beinhaltet keine nicht Firewall-bezogenen Drops, wie z. B. Überlastung der Schnittstellen, bei der Anwendungsinspektion fehlgeschlagene Pakete und erkannte Scanning-Angriffe.)
  • Verdächtige ICMP-Pakete erkannt
  • Fehler bei der Anwendungsprüfung.
  • Schnittstellenüberlastung
  • Scan-Angriff erkannt (Diese Option überwacht Scan-Angriffe; z. B. ist das erste TCP-Paket kein SYN-Paket, oder die TCP-Verbindung hat den Drei-Wege-Handshake nicht bestanden. Vollständige Scanning-Bedrohungserkennung [weitere Informationen finden Sie unter Konfigurieren der Scanning-Bedrohungserkennung]. Diese Informationen zur Scanning-Angriffsrate werden verwendet, um Hosts als Angreifer zu klassifizieren und sie beispielsweise automatisch zu meiden.)
  • Unvollständige Sitzungserkennung, z. B. ein TCP-SYN-Angriff oder kein UDP-Datensitzungsangriff erkannt.

  Da die grundlegende Bedrohungserkennung Statistiken für verschiedene Bedrohungen erfasst, ist es wichtig zu beachten, dass eine Syslog-Meldung (733100) generiert wird, wenn die Cisco ASA oder Cisco ASASM diese Bedrohungen erkennen. Passen Sie den Befehl rate scan-threat rate-interval (Scanning-Bedrohungsrate-Intervall) an, um diese Syslog-Meldungen entsprechend der in Ihrem Netzwerk festgelegten Sicherheitsrichtlinie zu erhöhen oder zu reduzieren. Die erweiterte Bedrohungserkennung zeichnet Statistiken zu Bedrohungen auf Zugriffslisten-, Host-, Protokoll- oder Port-Basis auf und kann mit dem Befehl Threat Detection Statistics konfiguriert werden.

  Achtung: Die Konfiguration von Statistiken zur erweiterten Bedrohungserkennung kann erhebliche Auswirkungen auf die CPU des Geräts haben.

  Weitere Informationen zur Konfiguration der Bedrohungserkennung für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Configuring Threat Detection. Informationen zur Konfiguration der Bedrohungserkennung für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Threat Detection.
  
  Um die Erkennung von Bedrohungen zu aktivieren, geben Sie den Befehl Threat-Detection Basic-Threat (Grundlegende Bedrohungserkennung) ein.

  Bei ordnungsgemäßer Konfiguration der grundlegenden Bedrohungserkennung können Administratoren mit dem Befehl sh threat-detection rate conn-limit-drop die von der Cisco ASA oder Cisco ASASM erkannten Bedrohungsereignisse anzeigen. Das folgende Beispiel zeigt 20 SYN-angriffsbezogene Ereignisse pro Sekunde und 223 SYN-Trigger-Ereignisse innerhalb des Burst-Intervalls sowie 30 angriffsbezogene Ereignisse und 451 Scan-Trigger-Ereignisse innerhalb des Burst-Intervalls und 28471 Connection Limit-Ereignisse im Burst-Intervall, die auf eine SYN-Flut.

  firewall# show threat-detection rate
                            Average(eps)    Current(eps) Trigger      Total events
    10-min ACL  drop:                  1              10       0               983
    1-hour ACL  drop:                  0               0       0               983
    10-min SYN attck:                  2              20     223              1982
    1-hour SYN attck:                  0               0      87              1982
    10-min  Scanning:                  3              30     451              2269
    1-hour  Scanning:                  0               0     154              2269
    10-min Conn limt:              37923           28471     141          22754052
    1-hour Conn limt:              12132           31485      58          43677273
    10-min Bad  pkts:                  0               0       0                 4
    1-hour Bad  pkts:                  0               0       0                 4
    10-min  Firewall:                  1              10       0               987
    1-hour  Firewall:                  0               0       0               987
    10-min Interface:                  1               0       0               851
    1-hour Interface:                  0               0       0               851
  firewall# 

  Eindämmung: Spoofing-Schutz mit Unicast Reverse Path Forwarding

  Die in diesem Dokument beschriebenen Schwachstellen können durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können uRPF als Spoofing-Schutzmechanismus bereitstellen und konfigurieren.

  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene der benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.

  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie in der Cisco Security Appliance Command Reference for ip verify reverse path und im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.

  Identifizierung: Spoofing-Schutz mit Unicast Reverse Path Forwarding

  Die Firewall-Syslog-Meldung 106021 wird für Pakete generiert, die von uRPF abgelehnt wurden. Weitere Informationen zu dieser Syslog-Meldung finden Sie in Cisco ASA 5500 Series System Log Message, 8.2 - 106021.

  Informationen zur Konfiguration von Syslog für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Überwachung - Konfigurieren der Protokollierung. Informationen zur Konfiguration von Syslog für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Logging (Konfigurieren der Protokollierung). Informationen zur Konfiguration von Syslog auf dem FWSM für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 finden Sie im Monitoring the Firewall Services Module.

  Im folgenden Beispiel zeigt die Protokollierung | grep regex extrahiert Syslog-Meldungen aus dem Protokollierungspuffer der Firewall. Diese Meldungen enthalten zusätzliche Informationen zu abgelehnten Paketen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Es ist möglich, verschiedene reguläre Ausdrücke mit dem grep-Schlüsselwort zu verwenden, um nach bestimmten Daten in den protokollierten Nachrichten zu suchen.

  Weitere Informationen zur Syntax regulärer Ausdrücke finden Sie unter Erstellen eines regulären Ausdrucks.

  firewall#show logging | grep 106021
    Aug 21 2013 00:15:13: %ASA-1-106021: Deny TCP reverse path check from
           192.168.60.1 to 192.168.60.100 on interface outside
    Aug 21 2013 00:15:13: %ASA-1-106021: Deny TCP reverse path check from
           192.168.60.1 to 192.168.60.100 on interface outside
    Aug 21 2013 00:15:13: %ASA-1-106021: Deny TCP reverse path check from
           192.168.60.1 to 192.168.60.100 on interface outside

  Der Befehl show asp drop kann außerdem die Anzahl der Pakete identifizieren, die durch die uRPF-Funktion verworfen wurden, wie im folgenden Beispiel gezeigt:

  firewall#show asp drop frame rpf-violated
    Reverse-path verify failed                          11
  firewall#

  Im vorherigen Beispiel hat uRPF 11 IP-Pakete verworfen, die an Schnittstellen mit konfiguriertem uRPF empfangen wurden. Fehlende Ausgabe zeigt an, dass die uRPF-Funktion der Firewall keine Pakete verworfen hat.

  Weitere Informationen zum Debuggen von Paketen oder Verbindungen, die über einen beschleunigten Sicherheitspfad verworfen wurden, finden Sie unter Cisco Security Appliance Command Reference (Cisco Security Appliance-Befehlsreferenz) für show asp drop.

  Cisco Security Manager

  Identifikation: Cisco Security Manager

  Cisco Security Manager, Ereignisanzeige

  Ab Softwareversion 4.0 kann Cisco Security Manager Syslogs von Cisco Firewalls und Cisco IPS-Geräten sammeln und stellt die Ereignisanzeige bereit, mit der nach Ereignissen gesucht werden kann, die mit den in diesem Dokument beschriebenen Sicherheitslücken zusammenhängen.

  Die Verwendung der folgenden Filter in der vordefinierten Ansicht "Firewall Denied Events" in der Ereignisanzeige stellt alle erfassten Cisco Firewall-Zugriffslisten-Syslog-Meldungen Deny bereit, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen.

  • Verwenden Sie den Zielereignisfilter, um Netzwerkobjekte zu filtern, die den von den betroffenen Geräten verwendeten IP-Adressraum enthalten (z. B. IPv4-Adressbereich 192.168.60.0/24 und IPv6-Adressbereich 2001:DB8:1:60::/64).
  • Verwenden Sie den Zieldienst-Ereignisfilter, um Objekte zu filtern, die den TCP-Port 5060 oder 5061 enthalten.

  Ein Ereignistyp-ID-Filter kann in Verbindung mit der vordefinierten Ansicht Firewall Denied Events (Von Firewall abgelehnte Ereignisse) in der Ereignisanzeige verwendet werden, um die in der folgenden Liste aufgeführten Syslog-IDs zu filtern und alle erfassten Cisco Firewall-Syslog-Meldungen Deny bereitzustellen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen:

  • ASA-4-106021 (uRPF-Spoofing)
  • ASA-4-106023 (ACL verweigert)
  • ASA-4-733100 (Objekt-Drop-Rate überschritten)

  Weitere Informationen zu Cisco Security Manager-Ereignissen finden Sie im Abschnitt Filtering and Querying Events im Cisco Security Manager User Guide.

  Identifikation: Event Management System - Partnerveranstaltungen

  Cisco arbeitet über das Cisco Developer Network mit branchenführenden Anbietern von Security Information and Event Management (SIEM) zusammen. Diese Partnerschaft unterstützt Cisco bei der Bereitstellung validierter und getesteter SIEM-Systeme, die geschäftliche Herausforderungen wie langfristige Protokollarchivierung und Forensik, heterogene Ereigniskorrelation und erweiterte Compliance-Berichte bewältigen. Partnerprodukte für das Security Information and Event Management können zum Erfassen von Ereignissen von Cisco Geräten und anschließenden Abfragen der erfassten Ereignisse nach Vorfällen verwendet werden, die durch eine Cisco IPS-Signatur verursacht wurden, oder Syslog-Meldungen von Firewalls verweigern, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebenen Schwachstellen auszunutzen. Die Abfragen können anhand der Signature-ID und der Syslog-ID durchgeführt werden, wie in der folgenden Liste gezeigt:

  • ASA-4-106021 (uRPF-Spoofing)
  • ASA-4-106023 (ACL verweigert)
  • ASA-4-733100 (Objekt-Drop-Rate überschritten)

  Weitere Informationen zu SIEM-Partnern finden Sie auf der Website zum Security Management System (Sicherheitsmanagementsystem).

Zusätzliche Informationen

• Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.

Revisionsverlauf

• Version	Beschreibung	Abschnitt	Datum
  1	Erstveröffentlichung		21. August 2013, 16:02 Uhr GMT

  Weniger anzeigen

Cisco Sicherheitsverfahren

• Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.

Zugehörige Informationen

• • Cisco Applied Mitigation Bulletins
  • Cisco Security
  • Cisco Security IntelliShield Alert Manager Service
  • Cisco Leitfaden zum Absichern von Cisco IOS-Geräten
  • Überblick über die XSS-Bedrohungsvektoren (Cross-Site Scripting)
  • Cisco IOS NetFlow - Startseite auf Cisco.com
  • Cisco IOS NetFlow-Whitepaper
  • NetFlow-Leistungsanalyse
  • Cisco Network Foundation Protection - Whitepaper
  • Cisco Network Foundation Protection - Präsentationen
  • Erkennung von und Beseitigung von TTL-Ablaufangriffen
  • Ein sicherheitsorientierter Ansatz für die IP-Adressierung
  • Gegenmaßnahmen für die böswillige Verwendung von IPv6-Typ-0-Routing-Headern
  • Grundlegendes zum Schutz der Kontrollebene
  • Sichern der Tool Command Language auf Cisco IOS
  • Cisco Firewall-Produkte - Startseite auf Cisco.com
  • Cisco Catalyst ASA Services Module der Serie 6500
  • Cisco ACE Application Control Engine Module - Dokumentation
  • Verbesserungen der Unicast Reverse Path Forwarding für den Internet Service Provider
  • Cisco Intrusion Prevention System
  • Cisco IPS-Signatur-Downloads
  • Seite für die Suche nach Cisco IPS-Signaturen
  • Cisco Security Manager
  • Common Vulnerabilities and Exposures (CVE)

Betroffene Produkte

• Die Sicherheitslücke betrifft die folgenden Produktkombinationen.
  
  

  Primäre Produkte
  Cisco	Cisco Unified Communications Manager IM- und Presence-Service	9,0 (1) | 9,1 (1)

  
  
  

  Zugehörige Produkte