Cisco Applied Mitigation Bulletin-
Im Rahmen des monatlichen Security Bulletins vom 14. April 2015 kündigte Microsoft elf Security Bulletins zur Behebung von 26 Sicherheitslücken an. Eine Zusammenfassung dieser Bulletins finden Sie auf der Microsoft-Website unter http://technet.microsoft.com/en-us/security/bulletin/ms15-apr. Dieses Dokument enthält Identifizierungs- und Eindämmungstechniken, die Administratoren auf Cisco Netzwerkgeräten bereitstellen können.
Die Schwachstellen mit einem Client-Software-Angriffsvektor, die lokal auf dem anfälligen Gerät ausgenutzt werden können, eine Benutzerinteraktion erfordern, können mithilfe von webbasierten Angriffen (darunter Site-übergreifendes Skripting, Phishing und webbasierte E-Mail-Bedrohungen) oder E-Mail-Anhängen ausgenutzt werden. Dateien, die in Netzwerkfreigaben gespeichert sind, sind in der folgenden Liste aufgeführt: Die folgende Liste enthält eine Liste von Schwachstellen, die das Netzwerk entschärfen, einschließlich Web- und E-Mail-Sicherheitsproblemen. Cisco Geräte bieten verschiedene Gegenmaßnahmen für Schwachstellen mit einem Netzwerkangriffsvektor, auf die weiter unten in diesem Dokument noch näher eingegangen wird. Darüber hinaus verwenden mehrere Cisco Produkte Microsoft-Betriebssysteme als Basisbetriebssystem. Cisco Produkte, die durch die in den Microsoft Advisories genannten Sicherheitslücken betroffen sein könnten, werden in der Tabelle "Associated Products" im Abschnitt "Product Sets" genauer beschrieben.
-
MS15-033, Vulnerabilities in Microsoft Office Could Allow RCE (3038314): Diesen Schwachstellen wurden Common Vulnerabilities and Exposures (CVE) Identifiers CVE-2015-1639, CVE-2015-1641, CVE-2015-16 zugewiesen 49, CVE-2015-1650 und CVE-2015-1651. Diese Schwachstellen können ohne Authentifizierung per Remote-Zugriff ausgenutzt werden und erfordern eine Benutzerinteraktion.
Die erfolgreiche Ausnutzung der Verwundbarkeit, die mit CVE-2015-1639 verbunden ist, kann die Ausführung von beliebigem Code erlauben. Der Angriffsvektor für die Nutzung von CVE-2015-1639 erfolgt über HTTP- und HTTPS-Pakete, die in der Regel TCP-Port 80 und Port 443 verwenden, aber auch TCP-Ports 3128, 8000, 8010, 8080, 8888 und 24326 verwenden können. Aufgrund der Art der Site-übergreifenden Skripting-Schwachstellen werden in diesem Bulletin keine weiteren Informationen präsentiert.
Weitere Informationen zu Site-übergreifenden Skripting-Angriffen und den Methoden zur Ausnutzung dieser Schwachstellen finden Sie im Cisco Applied Mitigation Bulletin Understanding Cross-Site Scripting (XSS) Threat Vectors.
MS15-035, Vulnerability in Microsoft Graphics Component Could Allow RCE (3046306): Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2015-1645 zugewiesen. Diese Schwachstelle kann ohne Authentifizierung per Remote-Zugriff ausgenutzt werden und erfordert eine Benutzerinteraktion. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann die Ausführung von beliebigem Code ermöglichen. Der Angriffsvektor zur Ausnutzung dieser Schwachstelle sind HTTP- und HTTPS-Pakete, die in der Regel TCP-Port 80 und Port 443 verwenden, aber auch TCP-Ports 3128, 8000, 8010, 8080, 8888 und 24326 verwenden können.
-
Informationen zu betroffenen und nicht betroffenen Produkten finden Sie in den entsprechenden Microsoft-Warnmeldungen und -Warnmeldungen, auf die im Cisco Event Response: Microsoft Security Bulletin Release vom April 2015 verwiesen wird.
-
Die Schwachstellen mit einem Client-Software-Angriffsvektor können lokal auf dem anfälligen Gerät ausgenutzt werden, erfordern eine Benutzerinteraktion oder können durch webbasierte Angriffe (darunter Site-übergreifendes Skripting, Phishing und webbasierte E-Mail-Bedrohungen) oder E-Mail-Anhänge oder Dateien, die in Netzwerkfreigaben gespeichert sind, ausgenutzt werden. Diese Schwachstellen werden am erfolgreichsten am Endpunkt durch Software-Updates, Benutzerschulungen, Best Practices für die Desktop-Administration und Endpunkt-Schutzsoftware wie Host Intrusion Prevention Systems (HIPS) oder Antivirus-Produkte behoben.
Die folgende Liste enthält eine Liste von Schwachstellen, die das Netzwerk entschärfen, einschließlich Web- und E-Mail-Sicherheitsproblemen. Cisco Geräte bieten eine Reihe von Gegenmaßnahmen für diese Sicherheitslücken. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken. Die Cisco Adaptive Security Appliances der Serien ASA 5500 und 5500-X, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten unter Verwendung von Anwendungen eine effektive Exploit-Erkennung. Layer-Protokollüberprüfung.
Die Cisco ACE Application Control Engine Appliance und das Cisco ACE-Modul bieten zudem mithilfe der Anwendungsprotokollüberprüfung einen effektiven Schutz vor Exploits.
Diese Schutzmechanismen filtern nach und löschen Pakete, die versuchen, diese Schwachstellen auszunutzen.
Die effektive Nutzung von Cisco Intrusion Prevention System (IPS)-Ereignisaktionen bietet Transparenz und Schutz vor Angriffen, die diese Schwachstellen ausnutzen.
Die effektive Nutzung von Ereignisaktionen des Sourcefire Intrusion Prevention System (IPS) bietet Transparenz und Schutz vor Angriffen, die diese Schwachstellen ausnutzen.
Die effektive Nutzung der Ereignisaktionen der Cisco Web Security Appliance bietet Transparenz und Schutz vor Angriffen, bei denen versucht wird, Schwachstellen mit einem Angriffsvektor über das Internet auszunutzen.
Die effektive Nutzung der Cisco E-Mail Security Appliance bietet Schutz vor Angriffen, bei denen versucht wird, Schwachstellen mit einem Angriffsvektor für E-Mails auszunutzen.
Die effektive Nutzung von Cisco Cloud Web Security-Ereignisaktionen bietet Transparenz und Schutz vor Angriffen, die Schwachstellen ausnutzen, die einen Angriffsvektor über das Internet aufweisen.
-
Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstellen anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.
-
Gerätespezifische Eindämmung und Identifizierung
Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.
Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:- Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
- Cisco ACE
- Cisco Intrusion Prevention System
- Sourcefire Intrusion Prevention-System
- Cisco Web und E-Mail Security
- Cisco Cloud Web Security
Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
Eindämmung: Protokollüberprüfung auf Anwendungsebene
Die Protokollprüfung auf Anwendungsebene ist ab Cisco IOS Software Release 7.2(1) für die Cisco Adaptive Security Appliance der Serien ASA 5500 und 5500-X, IOS Software Release 8.5 für das Cisco Catalyst ASA Services Module der Serie 6500 und IOS Software Release 4.0(1) für das Cisco Firewall Services Module verfügbar. Diese erweiterte Sicherheitsfunktion führt eine eingehende Paketprüfung des Datenverkehrs durch, der die Firewall passiert. Administratoren können eine Überprüfungsrichtlinie für Anwendungen erstellen, die eine besondere Behandlung erfordern. Hierzu können sie Überprüfungsklassen- und Überprüfungsrichtlinienzuordnungen konfigurieren, die über eine globale Richtlinie oder eine Richtlinie für Schnittstellendienste angewendet werden. Bei der Anwendungsinspektion werden sowohl IPv4- als auch IPv6-Pakete überprüft, die den in der Klassenzuordnung der Richtlinie definierten Paketen entsprechen.
Weitere Informationen zur Protokollprüfung auf Anwendungsebene und zum Modular Policy Framework (MPF) finden Sie im Abschnitt Erste Schritte mit der Protokollprüfung auf Anwendungsebene in Book 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.2.
Vorsicht: Die Protokollprüfung auf Anwendungsebene führt zu einer Verringerung der Firewall-Leistung. Den Administratoren wird empfohlen, die Auswirkungen auf die Leistung in einer Laborumgebung zu testen, bevor diese Funktion in Produktionsumgebungen bereitgestellt wird.
HTTP-Anwendungsinspektion
Für MS15-035 können Administratoren mithilfe der HTTP-Prüfungs-Engine der Cisco Adaptive Security Appliances der Serien ASA 5500 und 5500-X, der Cisco ASA Services Module der Serie 6500 und des Cisco Firewall Services-Moduls reguläre Ausdrücke (Regexe) für den Mustervergleich konfigurieren und Prüfklassen- und Prüfrichtlinienzuordnungen erstellen. Diese Methoden können zum Schutz vor spezifischen Schwachstellen, wie der in diesem Dokument beschriebenen, und anderen Bedrohungen, die mit HTTP-Datenverkehr in Verbindung stehen, beitragen. Bei der folgenden HTTP-Anwendungsinspektionskonfiguration wird das Cisco Modular Policy Framework (MPF) verwendet, um eine Richtlinie für die Inspektion des Datenverkehrs an den TCP-Ports 80, 3128, 8000, 8010, 8080, 8888 und 24326 zu erstellen. Diese sind die Standardports für die Cisco IPS #WEBPORTS-Variable. Die HTTP-Anwendungsinspektionsrichtlinie verwirft Verbindungen, bei denen der HTTP-Antworttext einen der regulären Werte enthält, die so konfiguriert sind, dass sie mit dem ActiveX-Steuerelement übereinstimmen, das mit diesen Sicherheitslücken verknüpft ist.
Achtung: Die konfigurierten regulären Ausdrücke können Textzeichenfolgen an jeder beliebigen Stelle im Text einer HTML-Antwort zuordnen. Es sollte darauf geachtet werden, dass legitime Geschäftsanwendungen, die übereinstimmende Textzeichenfolgen verwenden, nicht beeinträchtigt werden. Weitere Informationen zur Syntax von regex finden Sie unter Erstellen eines regulären Ausdrucks.
! ! !-- Configure regexes that look for the .emf file !-- extension that is typically used to exploit !-- the vulnerability associated with MS15-035 !-- ! regex MS15-035 "\.[Ee][Mm][Ff]" ! !-- Configure a regex class to match on the regular !-- expressions that are configured above ! class-map type regex match-any MS15-035_regex_class match regex MS15-035 ! !-- Configure an object group for the default ports that !-- are used by the Cisco IPS #WEBPORTS variable, which !-- are TCP ports 80 (www), 3128, 8000, 8010, 8080, 8888, !-- and 24326 ! object-group service WEBPORTS tcp port-object eq www port-object eq 3128 port-object eq 8000 port-object eq 8010 port-object eq 8080 port-object eq 8888 port-object eq 24326 ! !-- Configure an access list that uses the WEBPORTS object !-- group, which will be used to match TCP packets that !-- are destined to the #WEBPORTS variable that is used !-- by a Cisco IPS device ! access-list Webports_ACL extended permit tcp any any object-group WEBPORTS ! !-- Configure a class that uses the above-configured !-- access list to match TCP packets that are destined !-- to the ports that are used by the Cisco IPS #WEBPORTS !-- variable ! class-map Webports_Class match access-list Webports_ACL ! !-- Configure an HTTP application inspection policy that !-- identifies, drops, and logs connections that contain !-- the regexes that are configured above ! policy-map type inspect http MS_Apr_2015_policy parameters ! !-- "body-match-maximum" indicates the maximum number of !-- characters in the body of an HTTP message that !-- should be searched in a body match. The default value is !-- 200 bytes. A large number such as shown here may have an !-- impact on system performance. Administrators are advised !-- to test performance impact in a lab environment before !-- this command is deployed in production environments. ! body-match-maximum 1380 match response body regex class MS15-035_regex_class drop-connection log ! !-- Add the above-configured "Webports_Class" that matches !-- TCP packets that are destined to the default ports !-- that are used by the Cisco IPS #WEBPORTS variable to !-- the default policy "global_policy" and use it to !-- inspect HTTP traffic that transits the firewall ! policy-map global_policy class Webports_Class inspect http MS_Apr_2015_policy ! !-- By default, the policy "global_policy" is applied !-- globally, which results in the inspection of !-- traffic that enters the firewall from all interfaces ! service-policy global_policy global
Weitere Informationen zur Konfiguration und Verwendung von Objektgruppen finden Sie im Abschnitt Objekte und ACLs in Book 1: Cisco ASA Series General Operations CLI Configuration Guide, 9.2.
Weitere Informationen zu HTTP-Anwendungsprüfungen und MPF finden Sie im Abschnitt HTTP-Prüfung in Book 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.2.
Informationen zur Verwendung der Cisco Firewall-CLI zur Messung der Effektivität der Anwendungsprüfung finden Sie im Cisco Security Whitepaper Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls.Cisco ACE
Eindämmung: Anwendungsprotokollüberprüfung
Die Anwendungsprotokollüberprüfung ist für die Cisco ACE Application Control Engine Appliance und das Modul verfügbar. Diese erweiterte Sicherheitsfunktion führt eine eingehende Paketprüfung des Datenverkehrs durch, der das Cisco ACE-Gerät durchläuft. Administratoren können eine Überprüfungsrichtlinie für Anwendungen erstellen, die eine besondere Behandlung erfordern. Hierzu können sie Überprüfungsklassen- und Überprüfungsrichtlinienzuordnungen konfigurieren, die über eine globale Richtlinie oder eine Richtlinie für Schnittstellendienste angewendet werden.
Weitere Informationen zur Prüfung von Anwendungsprotokollen finden Sie im Abschnitt Configuring Application Protocol Inspection im Security Guide vA5(1.0), Cisco ACE Application Control Engine.
HTTP Deep Packet Inspection
Zur Durchführung von HTTP Deep Packet Inspection für MS15-035 können Administratoren reguläre Ausdrücke (reguläre Ausdrücke) für den Mustervergleich konfigurieren und Klassenzuordnungen und Richtlinienzuordnungen für die Überprüfung erstellen. Diese Methoden können zum Schutz vor spezifischen Schwachstellen, wie in diesem Dokument beschrieben, und vor anderen Bedrohungen, die mit HTTP-Datenverkehr in Verbindung stehen, beitragen. Die folgende HTTP-Anwendungsprotokollprüfungskonfiguration prüft den Datenverkehr an den TCP-Ports 80, 3128, 8000, 8010, 8080, 8888 und 24326, den Standardports für die Cisco IPS #WEBPORTS-Variable.
Achtung: Die konfigurierten regulären Ausdrücke können Textzeichenfolgen an jeder beliebigen Stelle im Inhalt eines HTML-Pakets zuordnen. Es sollte darauf geachtet werden, dass legitime Geschäftsanwendungen, die übereinstimmende Textzeichenfolgen verwenden, nicht beeinträchtigt werden.
! !-- Configure an HTTP application inspection class that !-- looks for HTTP packets that contain a combination of !-- the .emf file extension that is typically used to exploit !-- the vulnerability associated with MS15-035 ! class-map type http inspect match-any MS15-035_class
2 match content ".*\.[Ee][Mm][Ff].*" policy-map type inspect http all-match MS_Apr_2015 class MS15-035_class
reset log ! !-- Configure an access list that matches TCP packets !-- that are destined to the #WEBPORTS variable that is !-- used by a Cisco IPS device ! access-list WEBPORTS line 8 extended permit tcp any any eq www access-list WEBPORTS line 16 extended permit tcp any any eq 3128 access-list WEBPORTS line 24 extended permit tcp any any eq 8000 access-list WEBPORTS line 32 extended permit tcp any any eq 8010 access-list WEBPORTS line 40 extended permit tcp any any eq 8080 access-list WEBPORTS line 48 extended permit tcp any any eq 8888 access-list WEBPORTS line 56 extended permit tcp any any eq 24326 ! !-- Configure a Layer 4 class that uses the above-configured !-- access list to match TCP packets that are destined !-- to the ports that are used by the Cisco IPS #WEBPORTS !-- variable ! class-map match-all L4_http_class match access-list WEBPORTS ! !-- Configure a Layer 4 policy that applies the HTTP application !-- inspection policy configured above to TCP packets that !-- are destined to the ports that are used by the Cisco IPS !-- #WEBPORTS variable ! policy-map multi-match L4_MS_Apr_2015 class L4_http_class inspect http policy MS_Apr_2015 ! !-- Apply the configuration globally across all interfaces, !-- which results in the inspection of all traffic that enters !-- the ACE ! service-policy input L4_MS_Apr_2015
Weitere Informationen zur Verwendung der ACE-CLI zur Messung der Effektivität der Anwendungsinspektion finden Sie im Cisco Security Whitepaper Identification of Malicious Traffic Using Cisco ACE.Cisco Intrusion Prevention System
Eindämmung: Cisco IPS-Signaturereignisaktionen
Administratoren können die Cisco IPS-Appliances und -Servicemodule verwenden, um Bedrohungen zu erkennen und Versuche zur Ausnutzung einiger der in diesem Dokument beschriebenen Schwachstellen zu verhindern. Die folgende Tabelle bietet einen Überblick über CVE-IDs und die jeweiligen Cisco IPS-Signaturen, die Ereignisse auslösen, wenn diese Schwachstellen ausgenutzt werden.
CVE-ID Signaturfreigabe Signature-ID Signaturname Aktiviert Schweregrad Genauigkeit* CVE 2015 1635 S862
6043-0 Microsoft HTTP.sys-Remotecodeausführung Ja Hoch 90 CVE 2015 1640 S862
5232-0 URL mit XSS Ja Hoch 80 CVE 2015 1641 S862
6035-0 Microsoft Office-Speicherbeschädigung Ja Hoch 80 CVE 2015 1645 S862
6034-0 Microsoft EMF-Verarbeitung Remotecodeausführung Ja Hoch 80 CVE 2015 1648 S862
6044-0 Microsoft .NET Framework-Informationsübermittlung Ja Niedrig 80 CVE 2015-1651 S862
6036-0 Fehler: Microsoft Office RTF Double Free Ja Hoch 85 CVE 2015 1652 S862 6019-0 Microsoft Internet Explorer: Remotecodeausführung Ja Hoch 85 CVE 2015-1653 S862
5232-0 URL mit XSS Ja Hoch 80 CVE 2015-1657 S862
6018-0 Microsoft Internet Explorer - Offenlegung von Informationen Ja Hoch 85 CVE 2015 1660 S862
6021-0 Microsoft Internet Explorer: Speicherbeschädigung Ja Hoch 85 CVE 2015 1661 S862
6033-0 Microsoft Internet Explorer-Sicherheitslücke bei Speicherbeschädigung Ja Hoch 75 CVE 2015-1665 S862
6010-0 Microsoft Internet Explorer-Codeausführung Ja Hoch 80 CVE 2015 1666 S862
6006-0 Microsoft Internet Explorer-Codeausführung Ja Hoch 80 CVE 2015-1667 S862
6038-0 Microsoft Internet Explorer: Remotecodeausführung Ja Hoch 85 CVE 2015-1668 S862
6042-0 Microsoft Internet Explorer: Remotecodeausführung Ja Hoch 85
* Fidelity wird auch als Signature Fidelity Rating (SFR) bezeichnet und ist das relative Maß für die Genauigkeit der Signatur (vordefiniert). Der Wert reicht von 0 bis 100 und wird von Cisco Systems, Inc. festgelegt.
Administratoren können Cisco IPS-Sensoren so konfigurieren, dass sie eine Ereignisaktion ausführen, wenn ein Angriff erkannt wird. Die konfigurierte Ereignisaktion führt eine präventive oder abschreckende Kontrolle durch, um den Schutz vor einem Angriff zu gewährleisten, der versucht, die in der vorherigen Tabelle aufgeführten Schwachstellen auszunutzen.
Cisco IPS-Sensoren sind am effektivsten, wenn sie im Inline-Schutzmodus in Verbindung mit einer Ereignisaktion bereitgestellt werden. Der automatische Schutz vor Bedrohungen für Cisco IPS 7.x- und 6.x-Sensoren, die im Inline-Schutzmodus bereitgestellt werden, bietet Schutz vor Bedrohungen bei einem Angriff, der versucht, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Der Schutz vor Bedrohungen wird durch eine Standardüberschreibung erreicht, die eine Ereignisaktion für ausgelöste Signaturen mit einem riskRatingValue größer als 90 ausführt.
Weitere Informationen zur Berechnung von Risikoeinstufung und Bedrohungseinstufung finden Sie unter Risikoeinstufung und Bedrohungseinstufung: Vereinfachtes IPS-Richtlinienmanagement.
Informationen zur Verwendung von Cisco Security Manager zum Anzeigen der Aktivität von einem Cisco IPS-Sensor finden Sie im Whitepaper Identification of Malicious Traffic Using Cisco Security Manager.Signaturinformationen von Sourcefire
Die folgenden Sourcefire Snort-Signaturen sind für das Microsoft Security Update vom April 2015 verfügbar.
Microsoft Advisory-ID Microsoft Advisory-Name Geltende Regeln MS15-032 Kumuliertes Sicherheitsupdate für Internet Explorer (3038314) 1:32442, 1:32443, 1:34059, 1:34060, 1:34064, 1:34065, 1:34068 bis 1:34071, 1:34074 bis 1:34077, 1:34084, 1:34085 und 1:34089 34090 MS15-033 Schwachstellen in Microsoft Office könnten die Ausführung von Remote-Code ermöglichen (3048019) 1:34062, 1:34063, 1:34066, 1:34067, 1:34086, 1:34087, 1:34093 und 1:34094 MS15-034 Schwachstelle in HTTP.sys könnte die Ausführung von Remote-Code erlauben (3042553) 1:34061 MS15-035 Schwachstelle in Microsoft Graphics Component könnte die Ausführung von Remote-Code ermöglichen (3046306) 1:34082 und 1:34083 MS15-036 Sicherheitslücken in Microsoft SharePoint Server können die Privilegstufe erhöhen (3052044) 1:34099 MS15-037 Schwachstelle in Windows Task Scheduler könnte Privilegienerweiterung ermöglichen (3046269) 1:34091 und 1:34092 MS15-038 Sicherheitslücken in Microsoft Windows können Privilegienerweiterung ermöglichen (3049576) 1:34078 bis 1:34081, 1:34095 und 1:34096 MS15-039 Sicherheitslücke in XML-Kerndiensten könnte Umgehung von Sicherheitsfunktionen ermöglichen (3046482) 1:34097 und 1:34099 MS15-041 Sicherheitslücke in .NET Framework kann die Offenlegung von Informationen ermöglichen (3048010) 1:34088 Informationen zur Verwendung von Sourcefire Snort und Sourcefire Next Generation IPS finden Sie unter Sourcefire Security der nächsten Generation.
Cisco Web und E-Mail Security Appliance
Eindämmung: Web-Sicherheit
Cisco Web Security Appliances (WSA) filtern Unternehmensnetzwerke und schützen sie vor webbasierter Malware und Spyware, die die Sicherheit des Unternehmens gefährden und geistiges Eigentum ans Tageslicht bringen kann. Sie dienen als Proxy und stellen benutzer- und gruppenbasierte Richtlinien bereit, die bestimmte URL-Kategorien, Webinhalte, Transparenz und Kontrolle von Webanwendungen (AVC), Websites auf Basis von Webreputation und Malware-Inhalten filtern. Mithilfe der L4-Datenverkehrsüberwachung (L4TM) kann die WSA auch infizierte Clients erkennen und schädliche Aktivitäten daran hindern, sich außerhalb des Unternehmensnetzwerks zu bewegen. Richtlinien können über eine Web-GUI konfiguriert werden. Eine CLI kann ebenfalls verwendet werden. Die WSA bietet Schutz für Standard-Kommunikationsprotokolle wie HTTP, HTTPS, FTP und SOCKS.
Für den Betrieb mit Netzwerkgeräten wie Routern und Firewalls verwendet die WSA das Web Cache Communication Protocol (WCCP). Mit WCCP werden Content-Anfragen transparent an die WSA weitergeleitet, die auf Basis ihrer Konfiguration agiert. Benutzer müssen in ihren Browsern keinen Web-Proxy konfigurieren. In der Cisco IOS Software wird WCCP mithilfe der ip wccp-Befehle und in der Cisco ASA mithilfe der wccp-Befehle aktiviert.
Die Cisco WSA kann verwendet werden, um MS15-035 abzuschwächen, indem der Web-Datenverkehr anhand der folgenden Kriterien gefiltert wird:- URL-Ziele mit niedriger Reputation;
- .emf-Dateitypen
Risikominimierung: E-Mail-Sicherheit
Cisco Email Security Appliances (ESA) beseitigen E-Mail-Spam und -Viren, setzen Unternehmensrichtlinien durch und sichern den Netzwerkperimeter. Sie fungieren als SMTP-Gateway, auch bekannt als Mail-Exchanger oder MX. Sie können Viren, Spam und Phishing-Angriffe filtern. Sie bieten außerdem E-Mail-Verschlüsselung, Nachrichtenfilterung, Anti-Spam-Services, Antivirus-Services und vieles mehr.
Mit der Cisco ESA kann MS15-035 reduziert werden, indem Nachrichten basierend auf dem Anlagetyp . emf gefiltert werden.
Filteraktionen ermöglichen das Verwerfen, Zurücksenden, Archivieren, Kopieren oder Ändern von Nachrichten mit blindem CO2. Filter können auch Benachrichtigungen generieren.
Weitere Informationen finden Sie im Cisco AsyncOS Email Configuration Guide (PDF).Cisco Cloud Web Security
Eindämmung: Cloud Web Security
Cisco Cloud Web Security (CWS) analysiert sämtliche Webanfragen und -antworten, um anhand der definierten Sicherheitsrichtlinien festzustellen, ob Inhalte bösartig, bedenklich oder akzeptabel sind. Dies bietet effektiven Schutz vor Bedrohungen, einschließlich Zero-Day-Bedrohungen, die andernfalls erfolgreich wären. Cisco CWS kann benutzer- und gruppenbasierte Richtlinien bereitstellen, die bestimmte URL-Kategorien, Webinhalte, Dateien und Dateitypen, Webanwendungen (AVC), Websites nach Webreputation und Malware filtern. Es kann sowohl HTTP- als auch HTTPS-Datenverkehr prüfen.
Ab Cisco IOS 15.2MT auf ISR-G2-Routern und der Cisco ASA Software Version 9.0 kann Cisco CWS transparent in Cisco IOS und Cisco ASA integriert werden. Darüber hinaus kann CWS ab AnyConnect 3.0 mit dem AnyConnect-Client bereitgestellt werden. CWS kann auch auf Endhosts als Cisco Cloud Connector-Anwendung bereitgestellt werden.
Cisco CWS kann verwendet werden, um MS15-035 einzudämmen, indem der Web-Datenverkehr anhand der folgenden Kriterien gefiltert wird:- URL-Ziele mit niedriger Reputation
- .emf-Dateitypen
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.
-
Weniger anzeigenVersion Beschreibung Abschnitt Datum 2 Dieses Applied Mitigation Bulletin wurde mit den Signaturinformationen von Sourcefire aktualisiert. 14. April 2015, 20:40 Uhr GMT 1 Cisco Applied Mitigation Bulletin (erste öffentliche Version) 14. April 2015, 17:19 Uhr GMT
-
Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.
-
Die Sicherheitslücke betrifft die folgenden Produktkombinationen.
Primäre Produkte Microsoft, Inc. .NET Framework 1,1 (SP1) | 2,0 (SP2) | 3,0 (SP2) | 3,5 (Basis) | 3.5.1 (Basis) | 4,0 (Basis) | 4,5 (Basis) | 4.5.1 (Basis) | 4.5.2 (Basis) Active Directory-Verbunddienste (ADFS) 3,0 (Basis) Internet-Explorer 6,0 (Basis) | 7,0 (Basis) | 8,0 (Basis) | 9,0 (Basis) | 10,0 (Basis) | 11,0 (Basis) Büro 2010 (SP2) Office-Kompatibilitätspaket SP3 (Basis) Office für Mac 2011 (Basis) Project Server 2010 (SP2) | 2013 (SP1) Windows 7 für 32-Bit-Systeme (Base, SP1) | für x64-basierte Systeme (Basis, SP1) Windows 8 für 32-Bit-Systeme (Basis) | für x64-basierte Systeme (Basis) Windows 8.1 für 32-Bit-Systeme (Basis) | für x64-basierte Systeme (Basis) Windows RT Ursprüngliche Version (Basis) | 8.1 (Basis) Windows Server 2003 Datacenter Edition (SP2) | Datacenter Edition, 64-Bit (Itanium) (SP2) | Datacenter Edition x64 (AMD/EM64T) (SP2) | Enterprise Edition (SP2) | Enterprise Edition, 64-Bit (Itanium) (SP2) | Enterprise Edition x64 (AMD/EM64T) (SP2) | Standard Edition (SP2) | Standard Edition, 64-Bit (Itanium) (SP2) | Standard Edition x64 (AMD/EM64T) (SP2) | Web Edition (SP2) Windows Server 2008 Datacenter Edition (SP2) | Datacenter Edition, 64-Bit (SP2) | Itanium-basierte Systems Edition (SP2) | Enterprise Edition (SP2) | Enterprise Edition, 64-Bit (SP2) | Essential Business Server Standard (SP2) | Essential Business Server Premium (SP2) | Essential Business Server Premium, 64-Bit (SP2) | Standard Edition (SP2) | Standard Edition, 64-Bit (SP2) | Webserver (SP2) | Webserver, 64-Bit (SP2) Windows Server 2008 R2 x64-basierte Systems Edition (SP1) | Itanium-basierte Systems Edition (SP1) Windows Server 2012 Ursprüngliche Version (Basis) Windows Server 2012 R2 Ursprüngliche Version (Basis) Windows Vista Home Basic (SP2) | Home Premium (SP2) | Unternehmen (SP2) | Unternehmen (SP2) | Ultimate (SP2) | Home Basic x64 Edition (SP2) | Home Premium x64 Edition (SP2) | Business x64 Edition (SP2) | Enterprise x64 Edition (SP2) | Ultimate x64 Edition (SP2) Wort 2007 (SP3) | 2010 (SP2) | 2013 (RT, SP1) Word-Web-Apps Ursprüngliche Version (Basis) Word für Mac 2011 (Basis) Word-Viewer Ursprüngliche Version (Basis) SharePoint-Grundlage 2010 (SP2) | 2013 (SP1) Word-Automatisierungsservices 2010 (Basis) | 2013 (Basis)
Zugehörige Produkte Microsoft, Inc. Windows 7 für 32-Bit-Systeme | für x64-basierte Systeme Windows 8 für 32-Bit-Systeme | für x64-basierte Systeme Windows 8.1 für 32-Bit-Systeme | für x64-basierte Systeme Windows RT Ursprüngliche Version | 8,1 Windows Server 2003 Datacenter Edition | Datacenter Edition, 64-Bit (Itanium) | Datacenter Edition x64 (AMD/EM64T) | Enterprise Edition | Enterprise Edition, 64-Bit (Itanium) | Enterprise Edition x64 (AMD/EM64T) | Standard Edition | Standard Edition, 64-Bit (Itanium) | Standard Edition x64 (AMD/EM64T) | Web-Edition Windows Server 2008 Datacenter Edition | Datacenter Edition, 64-Bit | Itanium-basierte Systems Edition | Enterprise Edition | Enterprise Edition, 64-Bit | Essential Business Server Standard | Essential Business Server Premium | Essential Business Server Premium, 64-Bit | Standard Edition | Standard Edition, 64-Bit | Webserver | Webserver, 64-Bit Windows Server 2008 R2 x64-basierte Systems Edition | Itanium-basierte Systems Edition Windows Server 2012 Ursprüngliche Version Windows Server 2012 R2 Ursprüngliche Version Windows Vista Home Basic | Home Premium | Unternehmen | Unternehmen | Ultimativ | Home Basic x64 Edition | Home Premium x64 Edition | Business x64-Edition | Enterprise x64 Edition | Ultimative x64-Edition SharePoint Enterprise Server 2013 (SP1)
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. CISCO BEHÄLT SICH DAS RECHT VOR, WARNUNGEN JEDERZEIT ZU ÄNDERN ODER ZU AKTUALISIEREN.
Eine eigenständige Kopie oder Umschreibung des Texts in diesem Dokument, die die Verteilungs-URL auslässt, ist eine unkontrollierte Kopie und enthält möglicherweise keine wichtigen Informationen oder sachliche Fehler. Die Informationen in diesem Dokument sind für Endbenutzer von Cisco Produkten bestimmt.