Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Operaciones de Seguridad

Monitoreo de Boletines y Respuestas de Seguridad de Cisco

Aprovechamiento de Autenticación, Autorización y Contabilización

Centralización de Monitoreo y Colección de Registros

Uso de Protocolos de Seguridad Siempre Que Sea Posible

Netflow para Visibilidad del Tráfico

Administración de la Configuración

Plano de Administración

Fortalecimiento del plano de gestión

Administración de Contraseña

Habilitar servicio HTTP

Habilitar SSH

Configuración del Tiempo de Espera para las Sesiones de Inicio de Sesión

Administración de Contraseña

Configuración del usuario local y la contraseña cifrada

Configurar contraseña

Configuración de la Autenticación AAA para el Modo Habilitar

Autenticación, autorización y contabilidad

autenticación TACACS+

Verificación y firma de imágenes ASA

Configuración de la zona horaria del reloj

Configurar NTP

Servicio de servidor DHCP (si no se está utilizando)

Lista de acceso del plano de control

Desde ASA

Para el tráfico

Randomization del número de secuencia TCP

Reducción de TTL

dnsguard

Configuración de las Verificaciones de Fragmentación de Cadena de Fragmento

Configurar inspección de protocolo

Configuración de Unicast Reverse Path Forwarding

Detección de amenazas

Filtro Botnet

Adiciones de caché ARP para subredes no conectadas

Registro y supervisión

Configuración de SNMP

Identificaciones de comunidad SNMP

Habilitar acceso de lectura SNMP:

Habilitar trampas SNMP

Configuración de Syslog

Configuración del Nivel de Gravedad del Registro de la Consola

Configurar marcas de tiempo en mensajes de registro

Configuración de Netflow

Proteger configuración

Verificación de la imagen en ASA

Contraseñas en la configuración

Recuperación de contraseña de servicio

Troubleshoot

Introducción

Este documento contiene información para ayudarle a proteger los dispositivos Cisco ASA, lo que aumenta la seguridad general de su red. Este documento está estructurado en 4 secciones

Consolidación del Plano de Administración - Esto se aplica a toda la Administración relacionada con ASA/Al tráfico de caja como SNMP,SSH, etc.

Proteger configuración: comandos a través de los cuales podemos dejar de llenar las contraseñas, etc. para la configuración en ejecución, etc.

Registro y supervisión: se aplica a cualquier configuración relacionada con el registro en ASA.

A través del tráfico - Esto se aplica al tráfico que pasa a través del ASA.

En este documento las funciones de seguridad se describen en profundidad para que usted pueda configurarlas. Sin embargo, cuando la descripción no es exhaustiva, la función se explica de una manera que le permita evaluar si necesita prestarle más atención a la función. Siempre que sea posible y adecuado, este documento contiene recomendaciones que, de ser implementadas, ayudan a asegurar una red.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco ASA5500-X 9.4(1) y posterior.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Productos Relacionados

Esta configuración también se puede utilizar con la versión 9.x del software del dispositivo de seguridad Cisco ASA serie 5500-X.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Operaciones de Seguridad

Las operaciones de seguridad de la red constituyen un tema primordial. Aunque la mayor parte de este documento se dedica a la configuración segura de un dispositivo Cisco ASA, las configuraciones por sí solas no protegen completamente una red. Los procedimientos operativos que se utilizan en la red contribuyen tanto a la seguridad como a la configuración de los dispositivos subyacentes.

Estos temas contienen las recomendaciones operativas que se le aconseja implementar. Estos temas resaltan áreas fundamentales específicas de las operaciones de la red y no son exhaustivos.

Monitoreo de Boletines y Respuestas de Seguridad de Cisco

El Equipo de Respuesta a Incidentes de Seguridad en Productos Cisco (PSIRT) crea y mantiene publicaciones, comúnmente conocidas como boletines de PSIRT, para los problemas relacionados con la seguridad en productos Cisco. El método usado para la comunicación de problemas de menor gravedad es Respuesta de Seguridad de Cisco. En PSIRT hay disponibles recomendaciones y respuestas de seguridad.

Hay información adicional sobre estos medios de comunicación disponible en la Política de Vulnerabilidad de Seguridad de Cisco.

Para mantener una red segura, debe estar al tanto de los boletines y las respuestas de seguridad de Cisco que se han publicado. Debe tener conocimiento de una vulnerabilidad para que se pueda evaluar la amenaza que representa para una red. Consulte Determinación de Prioridad de los Riesgos para los Anuncios de Vulnerabilidad de la Seguridad a fin de obtener ayuda con este proceso de evaluación.

Aprovechamiento de Autenticación, Autorización y Contabilización

El marco de trabajo de autenticación, autorización y auditoría (AAA) es vital para proteger los dispositivos de redes. El protocolo AAA proporciona autenticación de las sesiones de administración y puede también limitar a los usuarios a comandos específicos definidos por el administrador y registrar todos los comandos ingresados por cada usuario. En la sección Autenticación, autorización y auditoría de este documento, hallará más información sobre cómo aprovechar el AAA.

Centralización de Monitoreo y Colección de Registros

Para conocer mejor los eventos actuales, emergentes e históricos relativos a incidentes de seguridad, su organización debe tener una estrategia unificada para el registro y la correlación de eventos. Esta estrategia debe aprovechar el registro de todos los dispositivos de red y utilizar capacidades de correlación personalizables y previamente diseñadas.

Después de que se implemente el registro centralizado, usted debe desarrollar un método estructurado para registrar el seguimiento de incidentes y análisis. De acuerdo con las necesidades de su organización, este método puede ser una simple revisión minuciosa de datos de registro e, incluso, un análisis avanzado basado en reglas.

Uso de Protocolos de Seguridad Siempre Que Sea Posible

Muchos protocolos se utilizan para transportar datos de administración de red confidenciales Debe utilizar protocolos de seguridad siempre que sea posible. Una elección de protocolo de seguridad incluye el uso del SSH en vez de Telnet para cifrar los datos de autenticación y la información de administración. Además, debe utilizar protocolos de transferencia de archivos seguros al copiar datos de configuración. Un ejemplo es el uso del protocolo Secure Copy Protocol (SCP) en lugar de FTP o de TFTP.

Netflow para Visibilidad del Tráfico

La herramienta Netflow le permite monitorear los flujos de tráfico en la red. Si bien en un principio su objetivo fue exportar la información del tráfico a las aplicaciones de administración de red, la herramienta Netflow también puede ser utilizada para mostrar la información de flujo en un router. Gracias a esta capacidad, usted puede ver el momento en que el tráfico cruza la red en tiempo real. Independientemente de si la información de flujo se exporta a un recolector remoto, se recomienda que configure los dispositivos de red para que admitan Netflow a fin de poder utilizar la herramienta como respuesta si es necesario.

Administración de la Configuración

La administración de la configuración es un proceso mediante el cual se proponen, revisan, aprueban e implementan cambios de configuración. En el contexto de una configuración de dispositivos Cisco ASA, son fundamentales dos aspectos adicionales de la administración de la configuración: seguridad y archivo de configuración.

Usted puede utilizar archivos de configuración para restaurar los cambios que se realizan a los dispositivos de red. En un contexto de seguridad, los archivos de configuración también se pueden utilizar para determinar qué cambios se realizaron en la seguridad y cuándo ocurrieron estos cambios. Junto con los datos de registro del protocolo AAA, esta información puede contribuir con la auditoría de seguridad de los dispositivos de red.

La configuración de un dispositivo Cisco ASA contiene muchos detalles confidenciales. Los nombres de usuario, las contraseñas y el contenido de las listas de control de acceso son ejemplos de este tipo de información. Es necesario proteger el repositorio que utiliza para archivar las configuraciones de dispositivos Cisco ASA. El acceso inseguro a esta información puede disminuir la seguridad de toda la red.

Administración Plane

El plano de administración consiste en funciones que permiten alcanzar las metas de administración de la red. Esto incluye las sesiones de administración interactiva que emplean SSH y también recopilación de estadísticas con SNMP o NetFlow. Cuando usted considera la seguridad de un dispositivo de red, es crucial que el plano de administración esté protegido. Si un incidente de seguridad tiene la capacidad de disminuir las funciones del plano de administración, puede resultarle imposible recuperar o estabilizar la red.

Fortalecimiento del plano de gestión

El plano de administración se utiliza para acceder, configurar y manejar un dispositivo, así como para monitorear sus operaciones y la red en las cual se ha implementado. El plano de administración es el que recibe y envía el tráfico para las operaciones de estas funciones. El plano de administración utiliza esta lista de protocolos:

- Simple Network Management Protocol

- Secure Shell Protocol

- File Transfer Protocol

- Trivial File Transfer Protocol

- Secure Copy Protocol

- TACACS+

- RADIUS

- Netflow

- Network Time Protocol

- Syslog

- ICMP

- SMB

Nota: No se recomienda habilitar TELNET porque es texto sin formato.

Administración de Contraseña

Las contraseñas controlan el acceso a recursos o a dispositivos. Esto se logra con la definición de una contraseña o de un secreto que se utilice para autenticar solicitudes. Cuando se recibe una solicitud para el acceso a un recurso o a un dispositivo, la solicitud exige la verificación de la contraseña y de la identidad, y el acceso se puede conceder, negar o limitar según el resultado de la verificación. Como práctica recomendada de seguridad, las contraseñas se deben administrar con un servidor de autenticación TACACS+ o RADIUS. Sin embargo, tenga en cuenta que, si fallan los servicios TACACS+ o RADIUS, aún se necesita una contraseña de acceso privilegiado configurada localmente. Un dispositivo puede también tener otra información de contraseña presente dentro de su configuración, como un clave NTP, una comunidad SNMP o una clave de Protocolo de Ruteo.

ASA utiliza Message Digest 5 (MD5) para el hash de contraseñas. Este algoritmo ha tenido considerable revisión pública y no es reversible. Sin embargo, el algoritmo está sujeto a ataques de diccionario. En un ataque de diccionario, un atacante prueba todas las palabras de un diccionario o de otra lista de contraseñas candidatas para encontrar una coincidencia. Por lo tanto, los archivos de configuración se deben guardar con seguridad y compartir solamente con individuos de confianza.

Habilitar servicio HTTP

Para utilizar ASDM, debe habilitar el servidor HTTPS y permitir conexiones HTTPS al ASA. El dispositivo de seguridad permite un máximo de 5 instancias ASDM simultáneas por contexto, si están disponibles, con un máximo de 32 instancias ASDM entre todos los contextos. Para configurar el acceso ASDM, utilice:

http server enable <port>

Permitir sólo las IP que se necesitan en la lista ACL. Permitir un acceso amplio es una práctica equivocada.

http 0.0.0.0 0.0.0.0 <interface>

Configuración del control de acceso ASDM:

http <remote_ip_address> <remote_subnet_mask> <interface_name>

A partir de la versión 9.1(2),8.4(4.1) del software ASA, el ASA admite ahora los siguientes conjuntos de cifrado SSL Diffie-Hellman (DHE) efímeros.

DHE-AES128-SHA1

DHE-AES256-SHA1

Estos conjuntos de cifrado se especifican en RFC 3268, Advanced Encryption Standard (AES) Ciphersuites for Transport Layer Security (TLS).

Cuando es compatible con el cliente, DHE es el cifrado preferido porque proporciona un secreto de reenvío perfecto. Consulte las limitaciones siguientes:

DHE no es compatible con las conexiones SSL 3.0, así que asegúrese de activar también TLS 1.0 para el servidor SSL.

// Set server version

ASA(config)# ssl server-version tlsv1 sslv3

// Set client version

ASA(config) # ssl client-version any

Algunas aplicaciones populares no admiten DHE, por lo que se incluye al menos otro método de cifrado SSL para garantizar que se pueda utilizar un conjunto de cifrado común tanto al cliente SSL como al servidor. Es posible que algunos clientes no admitan DHE, incluidos AnyConnect 2.5 y 3.0, Cisco Secure Desktop e Internet Explorer 9.0.

De forma predeterminada, el ASA tiene las cifras siguientes activadas en el orden siguiente.

ASA(config)#ssl encryption rc4-sha1 dhe-aes128-sha1 dhe-aes256-sha1 aes128-sha1 aes256-sha1 3des-sha1

ssl server-version any (valor predeterminado)

El ASA utiliza de forma predeterminada un certificado temporal autofirmado que cambia en cada reinicio. Si busca un solo certificado, puede seguir el siguiente enlace para generar un certificado permanente autofirmado.

Ahora ASA admite TLS versión 1.2 comenzando con la versión de software 9.3.1para la transmisión segura de mensajes para ASDM, SSVPN sin cliente y VPN AnyConnect. Los siguientes comandos han sido insertados o modificados: ssl client-version, ssl server-version, ssl cipher, ssl trust-point, ssl dh-group, show ssl, show ssl cipher, show vpn-sessiondb

ASA-1/act(config)# ssl server-version ?

configure mode commands/options:

tlsv1    Enter this keyword to accept SSLv2 ClientHellos and negotiate TLSv1

(or greater)

tlsv1.1  Enter this keyword to accept SSLv2 ClientHellos and negotiate

TLSv1.1 (or greater)

tlsv1.2  Enter this keyword to accept SSLv2 ClientHellos and negotiate

TLSv1.2 (or greater)

ASA-1/act(config)# ssl cipher ?

configure mode commands/options:

default  Specify the set of ciphers for outbound connections

dtlsv1   Specify the ciphers for DTLSv1 inbound connections

tlsv1    Specify the ciphers for TLSv1 inbound connections

tlsv1.1  Specify the ciphers for TLSv1.1 inbound connections

tlsv1.2  Specify the ciphers for TLSv1.2 inbound connections

Habilitar SSH

El ASA permite conexiones SSH al ASA para fines de administración. El ASA permite un máximo de 5 conexiones SSH simultáneas por contexto, si están disponibles, con un máximo de 100 conexiones divididas entre todos los contextos.

hostname <device_hostname>

domain-name <domain-name>

crypto key generate rsa modulus 2048

El tipo de par de llaves predeterminado es clave general . El tamaño predeterminado del módulo es 1024. La cantidad de espacio NVRAM para almacenar pares de claves varía según la plataforma ASA. Puede alcanzar un límite si genera más de 30 pares de claves. Las claves RSA de 4096 bits sólo se soportan en las plataformas ASA5580, 5585 o posteriores.

Para quitar los pares de claves del tipo indicado (rsa o dsa)

crypto key zeroize { rsa | dsa } [ label key-pair-label ] [ default ] [ noconfirm ]

Configuración de SSH para el Acceso de Dispositivo Remoto:

ssh <remote_ip_address> <remote_subnet_mask> <interface_name>

Para restringir la versión de SSH aceptada por ASA, utilice el comando ssh version en el modo de configuración global. Para restringir el ASA a utilizar solamente la versión 2, se puede utilizar el siguiente comando.

ASA(config)#ssh version 2

Para intercambiar claves mediante el método Diffie-Hellman (DH) Group 1 o DH Group 14 key-exchange, utilice el comando ssh key-exchange en el modo de configuración global. a partir de 9.1(2) ASA soporta dh-group14-sha1 para SSH

ASA(config)#ssh key-exchange dh-group14-sha1

Configuración del Tiempo de Espera para las Sesiones de Inicio de Sesión

// Configure Console timeout

ASA(config)#console timeout 10

// Configure Console timeout

ASA(config)#ssh timeout 10

Administración de Contraseña

Las contraseñas controlan el acceso a recursos o a dispositivos. Esto se logra con la definición de una contraseña o de un secreto que se utilice para autenticar solicitudes. Cuando se recibe una solicitud para el acceso a un recurso o a un dispositivo, la solicitud exige la verificación de la contraseña y de la identidad, y el acceso se puede conceder, negar o limitar según el resultado de la verificación. Como práctica recomendada de seguridad, las contraseñas se deben administrar con un servidor de autenticación TACACS+ o RADIUS. Sin embargo, tenga en cuenta que, si fallan los servicios TACACS+ o RADIUS, aún se necesita una contraseña de acceso privilegiado configurada localmente. Un dispositivo puede también tener otra información de contraseña presente dentro de su configuración, como un clave NTP, una comunidad SNMP o una clave de Protocolo de Ruteo.

Configuración del usuario local y la contraseña cifrada

username <local_username> password <local_password> encrypted

Configurar contraseña

enable password <enable_password> encrypted

Configuración de la Autenticación AAA para el Modo Habilitar

ASA(config)#aaa authentication enable console LOCAL

Autenticación, autorización y contabilidad

El marco de trabajo de autenticación, autorización y auditoría (AAA) es fundamental para proteger el acceso interactivo a dispositivos de redes. Este marco ofrece un entorno muy configurable que se puede acomodar a las necesidades de las redes.

autenticación TACACS+

TACACS+ es un protocolo de autenticación que ASA puede utilizar para la autenticación de usuarios de administración contra un servidor AAA remoto. Estos usuarios de administración pueden acceder al dispositivo ASA a través de SSH, HTTPS, Telnet o HTTP.

La autenticación TACACS+, más comúnmente conocida como autenticación AAA, le da a cada administrador de red la posibilidad de utilizar cuentas de usuarios individuales. Al no dependerse de una contraseña compartida, se mejora la seguridad de la red y se refuerza la responsabilidad individual.

RADIUS es un protocolo de finalidad similar a la de TACACS+; no obstante, solo encripta la contraseña enviada por la red. En cambio, TACACS+ encripta toda la carga útil de TCP, que incluye el nombre de usuario y la contraseña. Por esta razón, se recomienda el uso de TACACS+ en lugar de RADIUS cuando el servidor AAA admite el protocolo TACACS+. Consulte Comparación entre TACACS+ y RADIUS para obtener una comparación más detallada de estos dos protocolos.

La autenticación TACACS+ se puede habilitar en un dispositivo Cisco ASA con una configuración similar a este ejemplo:

aaa authentication serial console Tacacs

aaa authentication ssh console Tacacs

aaa authentication http console Tacacs

aaa authentication telnet console Tacacs

Verificación y firma de imágenes ASA

A partir de la versión de software 9.3.1, las imágenes ASA se firman ahora con una firma digital. La firma digital se verifica después de arrancar el ASA.

ASA-1/act(config)# verify flash:/asa941-smp-k8.bin

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!                                                                                        !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Done!

Embedded Hash SHA-512: 0e707a0e45b1c7c5afa9ef4e802a273677a5e46f7e1d186292abe1154                                                                                        c948a63c625463b74119194da029655487659490c2873506974cab78b66d6d9742ed73e

Computed Hash SHA-512: 0e707a0e45b1c7c5afa9ef4e802a273677a5e46f7e1d186292abe1154                                                                                        c948a63c625463b74119194da029655487659490c2873506974cab78b66d6d9742ed73e

CCO Hash      SHA-512: 1b6d41e893868aab9e06e78a9902b925227c82d8e31978ff2c412c18a                                                                                        c99f49f70354715441385e0b96e4bd3e861d18fb30433d52e12b15b501fa790f36d0ea0

Signature Verified

ASA(config)# verify /signature running

Requesting verify signature of the running image...

Starting image verification

Hash Computation:    100% Done!

Computed Hash   SHA2: 2fbb0f62b5fbc61b081acfca76bddbb2

26ce7a5fb4b424e5e21636c6c8a7d665

1e688834203dfb7ffa6eaefc7fdf9d3d

1d0a063a20539baba72c2526ca37771c

Get key records from key storage: PrimaryASA, key_store_type: 6

Embedded Hash   SHA2: 2fbb0f62b5fbc61b081acfca76bddbb2

26ce7a5fb4b424e5e21636c6c8a7d665

1e688834203dfb7ffa6eaefc7fdf9d3d

1d0a063a20539baba72c2526ca37771c

Returned. rc: 0, status: 1

The digital signature of the running image verified successfully

ASA-1/act(config)# show software authenticity running

Image type : Release

Signer Information

Common Name : abraxas

Organization Unit : ASAv

Organization Name : CiscoSystems

Certificate Serial Number : 550DBBD5

Hash Algorithm : SHA2 512

Signature Algorithm : 2048-bit RSA

Key Version : A

Configuración de la zona horaria del reloj

clock timezone GMT <hours offset>

Configurar NTP

El protocolo Network Time Protocol (NTP) no es un servicio particularmente peligroso, pero cualquier servicio innecesario puede representar un vector de ataque. Si se utiliza el protocolo NTP, es importante configurar explícitamente un origen de hora confiable y utilizar la autenticación adecuada. La hora exacta y confiable es necesaria para los fines de syslog, por ejemplo durante las investigaciones forenses de posibles ataques, así como para la conectividad VPN exitosa cuando se depende de certificados para la autenticación de Fase 1.

- Zona horaria de NTP: Al configurar NTP, debe configurarse la zona horaria para que las marcas de tiempo se correlacionen bien. Estos son los dos métodos habituales para configurar la zona horaria en los dispositivos de redes con presencia global. Un método es configurar todos los dispositivos de red con el Tiempo Universal Coordinado (UTC), previamente conocido como Tiempo Medio de Greenwich (GMT). El otro método es configurar los dispositivos de red con el huso horario local.

ntp server ip_address [ key key_id ] [ source interface_name ] [ prefer ]

- Autenticación de NTP: Si configura la autenticación de NTP, se garantiza que los mensajes de NTP se intercambien entre pares de NTP confiables. Habilite la autenticación mediante el comando ntp authenticate, establece el ID de clave de confianza para este servidor. Si habilita la autenticación, el ASA sólo se comunica con un servidor NTP si utiliza la clave de confianza correcta en los paquetes. Para habilitar la autenticación con un servidor NTP, utilice el comando ntp authenticate en el modo de configuración global.

ASA(config)#ntp authenticate

Servicio de servidor DHCP (si no se está utilizando)

clear configure dhcpd

no dhcpd enable <interface_name>

Nota: ASA no admite CDP.

Lista de acceso del plano de control

Las reglas de control de acceso para el tráfico de administración integrada (definido por comandos como http, ssh o telnet) tienen mayor prioridad que una lista de acceso aplicada con la opción de plano de control. Por lo tanto, se permitirá que dicho tráfico de administración permitido entre incluso si la lista de acceso integrada lo niega explícitamente.

access-list <name> in interface <Interface_name> control-plane

Desde ASA

Estos son los protocolos que se pueden utilizar para copiar/transferir archivos a ASA.

Borrar texto:

- FTP

- HTTP

- TFTP

- SMB

Seguro:

- HTTPS

- SCP (Secure Copy Client) a partir de 9.1(5), ASA admite el cliente SCP para transferir archivos a y desde un servidor SCP.

Para el tráfico

Randomization del número de secuencia TCP

Cada conexión TCP tiene dos ISN: uno generado por el cliente y otro generado por el servidor. El ASA aleatoriza el ISN del TCP SYN pasando tanto en las direcciones de entrada como de salida.

Al aleatorizar el ISN del host protegido, se evita que un atacante predeccione el siguiente ISN para una nueva conexión y posiblemente se apropie de la nueva sesión.

La aleatorización del número de secuencia inicial de TCP se puede inhabilitar si es necesario. Por ejemplo:

- Si otro firewall en línea también está randomizando los números de secuencia iniciales, no es necesario que ambos firewalls realicen esta acción, aunque esta acción no afecte al tráfico.

- Si utiliza el salto múltiple eBGP a través del ASA, y los peers eBGP están usando MD5. La aleatorización rompe la suma de comprobación MD5.

- Si utilizamos un dispositivo WAAS que requiere que el ASA no aleatorice los números de secuencia de conexiones.

Reducción de TTL

De forma predeterminada, no disminuye el TTL en el encabezado IP debido al cual ASA no aparece como salto de router al realizar Traceroute.

dnsguard

Aplica una respuesta DNS por consulta. Se puede habilitar usando el comando en el modo de configuración global.

ASA(config)#dns-guard

Configuración de las Verificaciones de Fragmentación de Cadena de Fragmento

Para proporcionar una administración adicional de la fragmentación de paquetes y mejorar la compatibilidad con NFS, utilice el comando fragment en el modo de configuración global.

fragment reassembly { full | virtual } { size | chain | timeout limit } [ interface ]

Configurar inspección de protocolo

Los motores de inspección son necesarios para los servicios que incrustan información de direccionamiento IP en el paquete de datos del usuario o que abren canales secundarios en los puertos asignados dinámicamente. Estos protocolos requieren que el ASA realice una inspección profunda de paquetes en lugar de pasar el paquete a través del trayecto rápido. Como resultado, los motores de inspección pueden afectar al rendimiento general. Consulte la Guía de configuración de ASA 9.4 para obtener información detallada sobre la inspección del protocolo de capa de aplicación.

La inspección en ASA se puede habilitar utilizando el siguiente comando

policy-map <Policy-map_name>

class inspection_default

inspect <Protocol>

service-policy <Policy-map_name> interface <Interface_name> (Per Interface)

service-policy <Policy-map_name> global (Globally)

De forma predeterminada, ASA tiene "global_policy" habilitado globalmente.

Configuración de Unicast Reverse Path Forwarding

ip verify reverse-path interface <interface_name>

Cuando el tráfico se interrumpe debido a la verificación de RPF, el siguiente contador "show asp drop" en ASA aumenta .

ASA(config)# show asp drop

Frame drop:

Invalid TCP Length (invalid-tcp-hdr-length)                  21

Reverse-path verify failed (rpf-violated)                    90

// Check Reverse path statistics

ASA(config)# sh ip verify statistics

interface inside: 11 unicast rpf drops

interface outside: 79 unicast rpf drops

Detección de amenazas

La detección de amenazas proporciona a los administradores de firewall las herramientas necesarias para identificar, comprender y detener los ataques antes de que lleguen a la infraestructura de red interna. Para ello, la función se basa en varios desencadenadores y estadísticas diferentes, que se describen con más detalle en estas secciones.

Refiérase a Funcionalidad y Configuración de Detección de Amenazas ASA para obtener una explicación detallada sobre la Detección de Amenazas en ASA.

Filtro Botnet

El filtro de tráfico BotNet supervisa las solicitudes y respuestas del Servidor de nombres de dominio (DNS) entre los clientes DNS internos y los servidores DNS externos. Cuando se procesa una respuesta DNS, el dominio asociado a la respuesta se compara con la base de datos de dominios maliciosos conocidos. Si hay una coincidencia, se bloquea cualquier tráfico adicional a la dirección IP presente en la respuesta DNS.

El malware es un software malintencionado instalado en un host desconocido. El filtrado de tráfico Botnet puede detectar el malware que intenta realizar actividades de red, como el envío de datos privados (contraseñas, números de tarjetas de crédito, trazos clave o datos patentados) cuando el malware inicia una conexión a una dirección IP incorrecta conocida. El filtrado de tráfico Botnet verifica las conexiones entrantes y salientes con una base de datos dinámica de nombres de dominio y direcciones IP erróneas conocidos (la lista negra) y, a continuación, registra o bloquea cualquier actividad sospechosa.

También puede complementar la base de datos dinámica de Cisco con las direcciones en la lista negra que elija agregándolas a una lista negra estática; si la base de datos dinámica incluye direcciones en la lista negra que cree que no deben estar en la lista negra, puede introducirlas manualmente en una lista blanca estática. Las direcciones de la lista blanca aún generan mensajes de syslog, pero como sólo tiene como objetivo los mensajes de syslog de la lista negra, son informativos. Consulte Configuración del Filtrado de Tráfico Botnet para obtener información detallada.

Adiciones de caché ARP para subredes no conectadas

De forma predeterminada, ASA no responde al ARP para las direcciones IP de subred no conectadas directamente. Si tiene una IP NAT en ASA que no pertenece a la misma IP de subred de la interfaz ASA, tendremos que habilitar "arp permit-nonconnected" en ASA para que proxy-ARP para la IP NATted.

arp permit-nonconnected

Siempre se recomienda tener el ruteo correcto en los dispositivos ascendentes y descendentes para que NAT funcione sin habilitar el comando anterior.

Registro y supervisión

Configuración de SNMP

Esta sección resalta varios métodos que se pueden utilizar para asegurar la implementación de SNMP dentro de los dispositivos ASA. Es fundamental fortalecer bien el SNMP, para proteger la confidencialidad, la integridad, y la disponibilidad de los datos de redes y de los dispositivos de redes por donde pasan los datos. SNMP le brinda una gran cantidad de información sobre el estado de los dispositivos de red. Hay que proteger esta información de los usuarios maliciosos que desean emplearla para lanzar ataques contra las redes.

Identificaciones de comunidad SNMP

Las cadenas de comunidad son contraseñas que se aplican a un dispositivo ASA para restringir el acceso, tanto de sólo lectura como de lectura y escritura, a los datos SNMP del dispositivo. Al igual que con todas las contraseñas, estas comunidades se deben elegir cuidadosamente para asegurarse de que no sean triviales. Se recomienda cambiar las comunidades regularmente y de acuerdo con las políticas de seguridad de la red. Por ejemplo, las comunidades se deben modificar cuando un administrador de red cambia los roles o deja la compañía.

Habilitar acceso de lectura SNMP:

snmp-server host <interface_name> <remote_ip_address>

Habilitar trampas SNMP

snmp-server enable traps all

Configuración de Syslog

Se recomienda enviar información de registro a un servidor syslog remoto. Esto hace posible correlacionar y auditar con más eficiencia los eventos de seguridad y redes en los dispositivos de redes. Tenga en cuenta que los mensajes syslog son transmitidos de manera poco fiable por el protocolo UDP y en texto sin formato. Por este motivo, las protecciones que ofrecen las redes al tráfico de administración (por ejemplo, encriptación o acceso fuera de banda) deben ampliarse para incluir el tráfico de syslog. Los registros se pueden configurar para que se envíen al siguiente destino desde ASA:

- ASDM

- Búfer

- Flash

- Correo electrónico

- servidor FTP

- SNMP server as traps

- servidor Syslogs

Configuración del Nivel de Gravedad del Registro de la Consola

logging console critical

El syslog basado en TCP también está disponible. Todos los syslogs se pueden enviar al servidor syslog en texto simple o en cifrado en caso de TCP.

Texto sin formato

logging host interface_name syslog_ip [ tcp/ port

Cifrados

logging host interface_name syslog_ip [ tcp/ port | [seguro]

Si no se puede establecer una conexión TCP con el servidor syslogs, se denegarán todas las conexiones nuevas. Puede cambiar este comportamiento predeterminado ingresando el comando "logging permit-hostdown".

Configurar marcas de tiempo en mensajes de registro

La configuración de fechados de registro lo ayuda a correlacionar los eventos en los dispositivos de red. Es importante implementar una configuración correcta y constante de los fechados de registro para asegurarse de que pueda correlacionar los datos de registro.

logging timestamp

Para obtener información adicional relacionada con syslog, consulte Ejemplo de Configuración de Syslog ASA.

Configuración de Netflow

A veces, usted puede necesitar identificar y determinar rápidamente el origen del tráfico de la red, especialmente durante una respuesta a un incidente o un rendimiento deficiente de la red. Netflow permite ver todo el tráfico en la red. Además, Netflow se puede implementar con colectores que pueden proporcionar tendencia a largo plazo y análisis automatizado.

Cisco ASA admite los servicios de la versión 9 de NetFlow. Las implementaciones ASA y ASASM de NSEL proporcionan un método de seguimiento de flujo IP con estado que exporta solamente aquellos registros que indican eventos significativos en un flujo. En el seguimiento de flujo con estado, los flujos de seguimiento pasan por una serie de cambios de estado. Los eventos NSEL se utilizan para exportar datos sobre el estado del flujo y son activados por el evento que causó el cambio de estado.

Consulte la Guía de Implementación de NetFlow de Cisco ASA para obtener más información sobre Netflow en ASA:

Proteger configuración

Verificación de la imagen en ASA

A partir de 9.1(2) y 8.4(4.1), se agregó soporte para la verificación de integridad de la imagen SHA-512. Para verificar la suma de comprobación de un archivo, utilice el comando verify en el modo EXEC privilegiado.

Calcula y muestra el valor MD5 para la imagen de software especificada. Compare este valor con el valor disponible en Cisco.com para esta imagen.

verify [ /md5 path ] [ md5-value ]

Contraseñas en la configuración

Todas las contraseñas y las claves se cifran o se confunden . "show running-config" no revela las contraseñas reales.

Dicha copia de seguridad no se puede utilizar para la copia de seguridad/restauración en ASA. La copia de seguridad que se realiza con fines de restauración se debe realizar usando el comando "more system:running-config".Las contraseñas de configuración de ASA se pueden cifrar usando una frase de contraseña maestra. Consulte Cifrado de contraseña para obtener información detallada.

Recuperación de contraseña de servicio

Si se desactiva, se desactivará el mecanismo de recuperación de contraseñas y se desactivará el acceso a ROMMON. La única forma de recuperarse de las contraseñas perdidas o olvidadas será que ROMMON borre todos los sistemas de archivos, incluidos los archivos de configuración y las imágenes. Debe realizar una copia de seguridad de su configuración y tener un mecanismo para restaurar imágenes desde la línea de comandos ROMMON.

Troubleshoot

No hay sección de solución de problemas para este documento.