Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Convenzioni

Operazioni sicure

Monitoraggio dei consigli e delle risposte in materia di sicurezza di Cisco

Utilizzo di autenticazione, autorizzazione e accounting

Raccolta e monitoraggio centralizzati dei log

Usa protocolli sicuri quando possibile

Maggiore visibilità del traffico con NetFlow

Gestione della configurazione

Piano di gestione

Piano di gestione della protezione avanzata

Gestione password

Abilita servizio HTTP

Abilitazione SSH

Configura timeout per sessioni di accesso

Gestione password

Configura utente locale e password crittografata

Configura abilitazione password

Configurazione dell'autenticazione AAA per la modalità di abilitazione

Autenticazione, autorizzazione e accounting

Autenticazione TACACS+

Firma e verifica dell'immagine ASA

Configura fuso orario orologio

Configurazione NTP

Servizio server DHCP (se non in uso)

Control-Plane Access-list

Da ASA

Per il traffico in transito

Numero di sequenza TCP

Decremento TTL

dnsguard

Configurazione dei controlli di frammentazione della catena di frammenti

Configura ispezione protocollo

Configura inoltro percorso inverso unicast

Rilevamento delle minacce

Filtro botnet

Aggiunte cache ARP per subnet non connesse

Registrazione e monitoraggio

Configurazione di SNMP

Stringhe della community SNMP

Abilita accesso in lettura SNMP:

Abilitazione delle trap SNMP

Configurazione di Syslog

Configura livello di gravità registrazione console

Configura timestamp nei messaggi di log

Configurazione di NetFlow

Protezione della configurazione

Verifica dell'immagine sull'appliance ASA

Password nella configurazione

Recupero password servizio

Risoluzione dei problemi

Introduzione

In questo documento viene spiegato come rendere sicuri i dispositivi Cisco ASA e aumentare quindi la sicurezza complessiva della rete. Questo documento è strutturato in 4 sezioni

Protezione avanzata del piano di gestione: si applica a tutta la gestione ASA e al traffico di sistema, come SNMP, SSH, ecc.

Proteggere la configurazione - Comandi tramite i quali è possibile interrompere il popolamento delle password, ecc. per la configurazione in esecuzione, ecc.

Log and Monitoring: si applica a tutte le impostazioni relative all'accesso all'ASA.

Traffico diretto: questo problema si verifica con il traffico che attraversa l'appliance ASA.

La descrizione delle funzionalità di sicurezza in questo documento spesso fornisce informazioni sufficienti per configurare la funzionalità. Tuttavia, in caso contrario, la feature viene spiegata in modo che sia possibile valutare se è necessaria una maggiore attenzione alla feature. Ove possibile e opportuno, questo documento contiene raccomandazioni che, se implementate, contribuiscono a proteggere una rete.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco ASA 5500-X 9.4(1) e versioni successive.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Questa configurazione può essere utilizzata anche con il software dell'appliance di sicurezza Cisco ASA serie 5500-X versione 9.x.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Operazioni sicure

La sicurezza delle operazioni di rete è un argomento fondamentale. Anche se la maggior parte di questo documento è dedicata alla configurazione sicura di un dispositivo Cisco ASA, le sole configurazioni non proteggono completamente una rete. Le procedure operative in uso sulla rete contribuiscono alla sicurezza tanto quanto la configurazione dei dispositivi sottostanti.

Questi argomenti contengono suggerimenti operativi che è consigliabile implementare. Questi argomenti evidenziano aree critiche specifiche delle operazioni di rete e non sono completi.

Monitoraggio dei consigli e delle risposte in materia di sicurezza di Cisco

Il Cisco Product Security Incident Response Team (PSIRT) crea e gestisce pubblicazioni, comunemente note come consigli PSIRT, per problemi relativi alla sicurezza dei prodotti Cisco. Il metodo utilizzato per la comunicazione di problemi meno gravi è Cisco Security Response. Consulenze e risposte sulla sicurezza sono disponibili sul sito PSIRT.

Ulteriori informazioni su questi veicoli di comunicazione sono disponibili in Cisco Security Vulnerability Policy.

Per mantenere una rete sicura, è necessario conoscere le avvertenze e le risposte sulla sicurezza Cisco rilasciate. È necessario essere a conoscenza di una vulnerabilità prima di poter valutare la minaccia che può rappresentare per una rete. Per informazioni sul processo di valutazione, fare riferimento a Valutazione dei rischi per la vulnerabilità della sicurezza.

Utilizzo di autenticazione, autorizzazione e accounting

Il framework AAA (Authentication, Authorization, and Accounting) è essenziale per proteggere i dispositivi di rete. La struttura AAA fornisce l'autenticazione delle sessioni di gestione e può inoltre limitare gli utenti a comandi specifici definiti dall'amministratore e registrare tutti i comandi immessi da tutti gli utenti. Per ulteriori informazioni su come usare il protocollo AAA, vedere la sezione Autenticazione, autorizzazione e accounting di questo documento.

Raccolta e monitoraggio centralizzati dei log

Per conoscere gli eventi esistenti, emergenti e storici relativi agli incidenti di sicurezza, l'organizzazione deve disporre di una strategia unificata per la registrazione e la correlazione degli eventi. Questa strategia deve sfruttare la registrazione da tutti i dispositivi di rete e utilizzare funzionalità di correlazione preconfigurate e personalizzabili.

Dopo l'implementazione della registrazione centralizzata, è necessario sviluppare un approccio strutturato per l'analisi dei registri e il monitoraggio degli incidenti. In base alle esigenze dell'organizzazione, questo approccio può variare da una semplice analisi diligente dei dati di registro ad un'analisi avanzata basata su regole.

Usa protocolli sicuri quando possibile

Molti protocolli vengono utilizzati per trasportare dati sensibili relativi alla gestione della rete. Ove possibile, è necessario utilizzare protocolli sicuri. Un protocollo sicuro include l'uso del protocollo SSH anziché Telnet, in modo che i dati di autenticazione e le informazioni di gestione vengano crittografati. Quando si copiano i dati di configurazione, è inoltre necessario utilizzare protocolli di trasferimento file protetti. Un esempio è l'uso del protocollo SCP (Secure Copy Protocol) al posto di FTP o TFTP.

Maggiore visibilità del traffico con NetFlow

NetFlow consente di monitorare i flussi di traffico nella rete. Originariamente progettato per esportare informazioni sul traffico in applicazioni di gestione di rete, NetFlow può essere usato anche per mostrare le informazioni sul flusso su un router. Questa funzionalità consente di visualizzare in tempo reale il traffico che attraversa la rete. Indipendentemente dal fatto che le informazioni di flusso vengano esportate in un raccoglitore remoto, è consigliabile configurare i dispositivi di rete per NetFlow in modo che possano essere utilizzati in modo reattivo, se necessario.

Gestione della configurazione

La gestione della configurazione è un processo mediante il quale vengono proposte, esaminate, approvate e distribuite le modifiche alla configurazione. Nel contesto di una configurazione di dispositivo Cisco ASA, altri due aspetti della gestione della configurazione sono critici: archiviazione e protezione della configurazione.

È possibile utilizzare gli archivi di configurazione per eseguire il rollback delle modifiche apportate ai dispositivi di rete. In un contesto di protezione, è possibile utilizzare gli archivi di configurazione anche per determinare quali modifiche alla protezione sono state apportate e quando sono state apportate. Insieme ai dati di registro AAA, queste informazioni possono essere utili per il controllo della sicurezza dei dispositivi di rete.

La configurazione di un dispositivo Cisco ASA contiene molti dettagli riservati. Nomi utente, password e contenuto degli elenchi di controllo di accesso sono esempi di questo tipo di informazioni. Il repository usato per archiviare le configurazioni dei dispositivi Cisco ASA deve essere protetto. Un accesso non sicuro a queste informazioni può compromettere la sicurezza dell'intera rete.

Gestione Piano

Il piano di gestione è costituito da funzioni che consentono di raggiungere gli obiettivi di gestione della rete. Ciò include sessioni di gestione interattive che usano SSH, nonché la raccolta di statistiche con SNMP o NetFlow. Se si considera la sicurezza di un dispositivo di rete, è fondamentale proteggere il piano di gestione. Se un problema di sicurezza può compromettere le funzioni del piano di gestione, potrebbe essere impossibile ripristinare o stabilizzare la rete.

Piano di gestione della protezione avanzata

Il piano di gestione viene utilizzato per accedere, configurare e gestire un dispositivo, nonché per monitorarne le operazioni e la rete in cui viene distribuito. Il piano di gestione è il piano che riceve e invia traffico per le operazioni di queste funzioni. Questo elenco di protocolli viene utilizzato dal management plane:

- Protocollo SCEP (Simple Network Management Protocol)

- Protocollo Secure Shell

- Protocollo di trasferimento file

- Protocollo Trivial File Transfer

- Secure Copy Protocol

- TACACS+

- RAGGIO

- NetFlow

- Protocollo orario di rete

- Syslog

- ICMP

- PMI

Nota: L'attivazione di TELNET non è consigliata in quanto si tratta di testo normale.

Gestione password

Le password controllano l'accesso a risorse o dispositivi. A tale scopo, è necessario definire una password o un segreto utilizzato per autenticare le richieste. Quando si riceve una richiesta di accesso a una risorsa o a un dispositivo, la richiesta viene contestata per la verifica della password e dell'identità e l'accesso può essere concesso, negato o limitato in base al risultato. Come buona norma per la sicurezza, le password devono essere gestite con un server di autenticazione TACACS+ o RADIUS. Tuttavia, si noti che, in caso di errore dei servizi TACACS+ o RADIUS, è ancora necessaria una password configurata localmente per l'accesso privilegiato. Un dispositivo può inoltre includere altre informazioni sulla password nella propria configurazione, ad esempio una chiave NTP, una stringa della community SNMP o una chiave del protocollo di routing.

ASA utilizza Message Digest 5 (MD5) per l'hashing della password. Questo algoritmo ha avuto una notevole revisione pubblica e non è noto per essere reversibile. Tuttavia, l'algoritmo è soggetto ad attacchi di dizionario. In un attacco di dizionario, un utente malintenzionato prova ogni parola in un dizionario o in un altro elenco di password candidate per trovare una corrispondenza. Pertanto, i file di configurazione devono essere archiviati in modo sicuro e condivisi solo con utenti attendibili.

Abilita servizio HTTP

Per utilizzare ASDM, è necessario abilitare il server HTTPS e consentire le connessioni HTTPS all'appliance ASA. L'appliance di sicurezza consente un massimo di 5 istanze ASDM simultanee per contesto, se disponibili, con un massimo di 32 istanze ASDM tra tutti i contesti. Per configurare l'accesso ASDM, utilizzare:

http server enable <port>

Selezionare solo gli indirizzi IP da includere nell'elenco degli ACL. Consentire un accesso esteso è una pratica errata.

http 0.0.0.0 0.0.0.0 <interface>

Configura controllo di accesso ASDM:

http <remote_ip_address> <remote_subnet_mask> <interface_name>

A partire dal software ASA versione 9.1(2),8.4(4.1), l'ASA supporta le seguenti suite di cifratura effimere Diffie-Hellman (DHE) e SSL.

DHE-AES128-SHA1

DHE-AES256-SHA1

Queste suite di cifratura sono specificate nella RFC 3268, Advanced Encryption Standard (AES) Ciphersuites per Transport Layer Security (TLS).

Se supportato dal client, il protocollo DHE è la cifratura preferita in quanto fornisce il segreto di inoltro perfetto. Vedere le limitazioni seguenti:

Il protocollo DHE non è supportato sulle connessioni SSL 3.0, quindi assicurarsi di abilitare anche TLS 1.0 per il server SSL.

// Set server version

ASA(config)# ssl server-version tlsv1 sslv3

// Set client version

ASA(config) # ssl client-version any

Alcune applicazioni comuni non supportano il protocollo DHE, quindi includono almeno un altro metodo di crittografia SSL per garantire che sia possibile utilizzare una suite di cifratura comune sia al client che al server SSL. Alcuni client potrebbero non supportare DHE, tra cui AnyConnect 2.5 e 3.0, Cisco Secure Desktop e Internet Explorer 9.0.

Per impostazione predefinita, l'ASA usa i seguenti cifrari nell'ordine in cui sono abilitati.

ASA(config)#ssl encryption rc4-sha1 dhe-aes128-sha1 dhe-aes256-sha1 aes128-sha1 aes256-sha1 3des-sha1

ssl server-version any (predefinito)

Per impostazione predefinita, l'appliance ASA usa un certificato temporaneo autofirmato che cambia a ogni riavvio. Se si sta cercando un singolo certificato, è possibile utilizzare il collegamento seguente per generare un certificato autofirmato permanente.

Ora ASA supporta TLS versione 1.2 a partire dalla versione software 9.3.1 per la trasmissione sicura dei messaggi per ASDM, VPN senza client e VPN AnyConnect. Sono stati introdotti o modificati i seguenti comandi: ssl client-version, ssl server-version, ssl cipher, ssl trust-point, ssl dh-group, show ssl, show ssl cipher, show vpn-sessiondb

ASA-1/act(config)# ssl server-version ?

configure mode commands/options:

tlsv1    Enter this keyword to accept SSLv2 ClientHellos and negotiate TLSv1

(or greater)

tlsv1.1  Enter this keyword to accept SSLv2 ClientHellos and negotiate

TLSv1.1 (or greater)

tlsv1.2  Enter this keyword to accept SSLv2 ClientHellos and negotiate

TLSv1.2 (or greater)

ASA-1/act(config)# ssl cipher ?

configure mode commands/options:

default  Specify the set of ciphers for outbound connections

dtlsv1   Specify the ciphers for DTLSv1 inbound connections

tlsv1    Specify the ciphers for TLSv1 inbound connections

tlsv1.1  Specify the ciphers for TLSv1.1 inbound connections

tlsv1.2  Specify the ciphers for TLSv1.2 inbound connections

Abilitazione SSH

L'ASA consente le connessioni SSH all'appliance ASA a scopo di gestione. L'ASA consente un massimo di 5 connessioni SSH simultanee per contesto, se disponibili, con un massimo di 100 connessioni divise tra tutti i contesti.

hostname <device_hostname>

domain-name <domain-name>

crypto key generate rsa modulus 2048

Il tipo di coppia di chiavi predefinito è General Key. La dimensione predefinita del modulo è 1024. La quantità di spazio della NVRAM per archiviare le coppie di chiavi varia in base alla piattaforma ASA. Se si generano più di 30 coppie di chiavi, è possibile che venga raggiunto un limite. Le chiavi RSA a 4096 bit sono supportate solo sulle piattaforme ASA5580, 5585 o successive.

Per rimuovere le coppie di chiavi del tipo indicato (rsa o dsa)

crypto key zeroize { rsa | dsa } [ label key-pair-label ] [ default ] [ noconfirm ]

Configurare SSH per l'accesso remoto ai dispositivi:

ssh <remote_ip_address> <remote_subnet_mask> <interface_name>

Per limitare la versione di SSH accettata dall'ASA, usare il comando ssh version in modalità di configurazione globale. Per limitare l'appliance ASA all'uso della sola versione 2, usare il comando seguente.

ASA(config)#ssh version 2

Per scambiare le chiavi utilizzando il metodo di scambio chiavi Diffie-Hellman (DH) Group 1 o DH Group 14, utilizzare il comando ssh key-exchange in modalità di configurazione globale. a partire dalla versione 9.1(2), ASA supporta dh-group14-sha1 per SSH

ASA(config)#ssh key-exchange dh-group14-sha1

Configura timeout per sessioni di accesso

// Configure Console timeout

ASA(config)#console timeout 10

// Configure Console timeout

ASA(config)#ssh timeout 10

Gestione password

Le password controllano l'accesso a risorse o dispositivi. A tale scopo, è necessario definire una password o un segreto utilizzato per autenticare le richieste. Quando si riceve una richiesta di accesso a una risorsa o a un dispositivo, la richiesta viene contestata per la verifica della password e dell'identità e l'accesso può essere concesso, negato o limitato in base al risultato. Come buona norma per la sicurezza, le password devono essere gestite con un server di autenticazione TACACS+ o RADIUS. Tuttavia, si noti che, in caso di errore dei servizi TACACS+ o RADIUS, è ancora necessaria una password configurata localmente per l'accesso privilegiato. Un dispositivo può inoltre includere altre informazioni sulla password nella propria configurazione, ad esempio una chiave NTP, una stringa della community SNMP o una chiave del protocollo di routing.

Configura utente locale e password crittografata

username <local_username> password <local_password> encrypted

Configura abilitazione password

enable password <enable_password> encrypted

Configurazione dell'autenticazione AAA per la modalità di abilitazione

ASA(config)#aaa authentication enable console LOCAL

Autenticazione, autorizzazione e accounting

Il framework AAA (Authentication, Authorization, and Accounting) è fondamentale per proteggere l'accesso interattivo ai dispositivi di rete. La struttura AAA fornisce un ambiente altamente configurabile che può essere personalizzato in base alle esigenze della rete.

Autenticazione TACACS+

TACACS+ è un protocollo di autenticazione che l'ASA può utilizzare per autenticare gli utenti di gestione su un server AAA remoto. Questi utenti possono accedere al dispositivo ASA tramite SSH, HTTPS, telnet o HTTP.

L'autenticazione TACACS+, o più in generale l'autenticazione AAA, consente di usare i singoli account utente per ciascun amministratore di rete. Quando non si dipende da una singola password condivisa, la sicurezza della rete è migliorata e la responsabilità è rafforzata.

RADIUS è un protocollo simile a TACACS+; tuttavia, viene crittografata solo la password inviata attraverso la rete. Al contrario, TACACS+ cripta l'intero payload TCP, che include sia il nome utente che la password. Per questo motivo, TACACS+ deve essere usato al posto di RADIUS quando TACACS+ è supportato dal server AAA. Per un confronto più dettagliato dei due protocolli, fare riferimento a TACACS+ e RADIUS Comparison.

L'autenticazione TACACS+ può essere abilitata su un dispositivo Cisco ASA con una configurazione simile a quella dell'esempio seguente:

aaa authentication serial console Tacacs

aaa authentication ssh console Tacacs

aaa authentication http console Tacacs

aaa authentication telnet console Tacacs

Firma e verifica dell'immagine ASA

A partire dalla versione software 9.3.1, le immagini ASA sono ora firmate con una firma digitale. La firma digitale viene verificata dopo l'avvio dell'ASA.

ASA-1/act(config)# verify flash:/asa941-smp-k8.bin

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!                                                                                        !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Done!

Embedded Hash SHA-512: 0e707a0e45b1c7c5afa9ef4e802a273677a5e46f7e1d186292abe1154                                                                                        c948a63c625463b74119194da029655487659490c2873506974cab78b66d6d9742ed73e

Computed Hash SHA-512: 0e707a0e45b1c7c5afa9ef4e802a273677a5e46f7e1d186292abe1154                                                                                        c948a63c625463b74119194da029655487659490c2873506974cab78b66d6d9742ed73e

CCO Hash      SHA-512: 1b6d41e893868aab9e06e78a9902b925227c82d8e31978ff2c412c18a                                                                                        c99f49f70354715441385e0b96e4bd3e861d18fb30433d52e12b15b501fa790f36d0ea0

Signature Verified

ASA(config)# verify /signature running

Requesting verify signature of the running image...

Starting image verification

Hash Computation:    100% Done!

Computed Hash   SHA2: 2fbb0f62b5fbc61b081acfca76bddbb2

26ce7a5fb4b424e5e21636c6c8a7d665

1e688834203dfb7ffa6eaefc7fdf9d3d

1d0a063a20539baba72c2526ca37771c

Get key records from key storage: PrimaryASA, key_store_type: 6

Embedded Hash   SHA2: 2fbb0f62b5fbc61b081acfca76bddbb2

26ce7a5fb4b424e5e21636c6c8a7d665

1e688834203dfb7ffa6eaefc7fdf9d3d

1d0a063a20539baba72c2526ca37771c

Returned. rc: 0, status: 1

The digital signature of the running image verified successfully

ASA-1/act(config)# show software authenticity running

Image type : Release

Signer Information

Common Name : abraxas

Organization Unit : ASAv

Organization Name : CiscoSystems

Certificate Serial Number : 550DBBD5

Hash Algorithm : SHA2 512

Signature Algorithm : 2048-bit RSA

Key Version : A

Configura fuso orario orologio

clock timezone GMT <hours offset>

Configurazione NTP

Il Network Time Protocol (NTP) non è un servizio particolarmente pericoloso, ma qualsiasi servizio non necessario può rappresentare un vettore di attacco. Se si utilizza NTP, è importante configurare in modo esplicito un'origine ora attendibile e utilizzare l'autenticazione corretta. Per gli scopi del syslog, ad esempio durante le indagini forensi su potenziali attacchi, nonché per una connettività VPN efficace quando si dipende dai certificati per l'autenticazione di fase 1, è necessario disporre di tempo accurato e affidabile.

- Fuso orario NTP - Quando si configura NTP, il fuso orario deve essere configurato in modo che i timestamp possano essere accuratamente correlati. Di solito ci sono due approcci per configurare il fuso orario per i dispositivi in una rete con una presenza globale. Un metodo consiste nel configurare tutti i dispositivi di rete con l'ora UTC (Coordinated Universal Time), in precedenza GMT (Greenwich Mean Time). L'altro approccio consiste nel configurare i dispositivi di rete con il fuso orario locale.

ntp server ip_address [ key key_id ] [ source interface_name ] [ prefer ]

- Autenticazione NTP - Se si configura l'autenticazione NTP, questa assicura che i messaggi NTP vengano scambiati tra peer NTP attendibili. Abilita l'autenticazione tramite il comando ntp authentication, imposta l'ID della chiave trusted per il server. Se si abilita l'autenticazione, l'ASA comunica con un server NTP solo se usa la chiave attendibile corretta nei pacchetti. Per abilitare l'autenticazione con un server NTP, utilizzare il comando ntp authentication in modalità di configurazione globale.

ASA(config)#ntp authenticate

Servizio server DHCP (se non in uso)

clear configure dhcpd

no dhcpd enable <interface_name>

Nota: L'ASA non supporta CDP.

Control-Plane Access-list

Le regole di controllo d'accesso per il traffico di gestione diretto (definito da comandi come http, ssh o telnet) hanno la precedenza su un elenco degli accessi applicato con l'opzione control-plane. Pertanto, il traffico di gestione autorizzato potrà entrare anche se esplicitamente negato dall'elenco degli accessi diretto.

access-list <name> in interface <Interface_name> control-plane

Da ASA

Di seguito sono elencati i protocolli che possono essere utilizzati per copiare/trasferire i file sull'appliance ASA.

Testo non crittografato:

- FTP

- HTTP

- TFTP

- PMI

Sicurezza:

- HTTPS

- SCP (Secure Copy Client) a partire dalla versione 9.1(5), ASA supporta il client SCP per il trasferimento di file da e verso un server SCP.

Per il traffico in transito

Numero di sequenza TCP

Ogni connessione TCP ha due ISDN: uno generato dal client e uno generato dal server. L'ASA rende casuale l'ISN della rete TCP SYN, passando in entrambe le direzioni, in entrata e in uscita.

La casualità dell'ISDN dell'host protetto impedisce all'autore di un attacco di predire l'ISDN successivo per una nuova connessione e potenzialmente di dirottare la nuova sessione.

Se necessario, è possibile disabilitare la randomizzazione dei numeri di sequenza iniziali TCP. Ad esempio:

- Se anche un altro firewall in linea sta randomizzando i numeri di sequenza iniziali, non è necessario che entrambi i firewall eseguano questa azione, anche se questa azione non influisce sul traffico.

- Se si utilizza il multi-hop eBGP tramite l'ASA e i peer eBGP utilizzano l'MD5. La casualità interrompe il checksum MD5.

- Se si usa un dispositivo WAAS che richiede all'appliance ASA di non casualizzare i numeri di sequenza delle connessioni.

Decremento TTL

per impostazione predefinita, non diminuisce il valore TTL nell'intestazione IP, per cui l'ASA non viene visualizzata come hop del router quando si esegue il comando traceroute.

dnsguard

Impone una risposta DNS per query. Può essere abilitato usando il comando in modalità di configurazione globale.

ASA(config)#dns-guard

Configurazione dei controlli di frammentazione della catena di frammenti

Per migliorare la gestione della frammentazione dei pacchetti e la compatibilità con NFS, usare il comando fragment in modalità di configurazione globale.

fragment reassembly { full | virtual } { size | chain | timeout limit } [ interface ]

Configura ispezione protocollo

I motori di ispezione sono necessari per i servizi che incorporano le informazioni sull'indirizzo IP nel pacchetto dati utente o che aprono i canali secondari sulle porte assegnate dinamicamente. Questi protocolli richiedono che l'ASA esegua un'ispezione approfondita del pacchetto anziché passarlo sul percorso rapido. Di conseguenza, i motori di ispezione possono influire sul throughput complessivo. Per informazioni dettagliate sull'ispezione del protocollo a livello di applicazione, consultare la guida alla configurazione di ASA 9.4.

Il controllo sull'appliance ASA può essere abilitato con il comando seguente

policy-map <Policy-map_name>

class inspection_default

inspect <Protocol>

service-policy <Policy-map_name> interface <Interface_name> (Per Interface)

service-policy <Policy-map_name> global (Globally)

Per impostazione predefinita, sull'appliance ASA è abilitato "global_policy" a livello globale.

Configura inoltro percorso inverso unicast

ip verify reverse-path interface <interface_name>

Quando il traffico viene interrotto a causa di un controllo RPF, il contatore seguente "show asp drop" sugli incrementi ASA.

ASA(config)# show asp drop

Frame drop:

Invalid TCP Length (invalid-tcp-hdr-length)                  21

Reverse-path verify failed (rpf-violated)                    90

// Check Reverse path statistics

ASA(config)# sh ip verify statistics

interface inside: 11 unicast rpf drops

interface outside: 79 unicast rpf drops

Rilevamento delle minacce

Il rilevamento delle minacce fornisce agli amministratori del firewall gli strumenti necessari per identificare, comprendere e arrestare gli attacchi prima che raggiungano l'infrastruttura di rete interna. A tal fine, la funzione si basa su una serie di trigger e statistiche differenti, che sono descritti in dettaglio in queste sezioni.

Per una spiegazione dettagliata del rilevamento delle minacce sull'appliance ASA, consultare la configurazione e la funzionalità di rilevamento delle minacce ASA.

Filtro botnet

Il filtro del traffico BotNet monitora le richieste e le risposte DNS (Domain Name Server) tra client DNS interni e server DNS esterni. Quando viene elaborata una risposta DNS, il dominio associato alla risposta viene confrontato con il database dei domini dannosi noti. In caso di corrispondenza, qualsiasi ulteriore traffico verso l'indirizzo IP presente nella risposta DNS viene bloccato.

Il malware è un malware installato su un host sconosciuto. Il malware che tenta di eseguire attività di rete come l'invio di dati privati (password, numeri di carte di credito, sequenze di tasti o dati proprietari) può essere rilevato dal filtro Traffico Botnet quando il malware avvia una connessione a un indirizzo IP notoriamente non valido. Il filtro traffico Botnet controlla le connessioni in entrata e in uscita confrontandole con un database dinamico di nomi di dominio e indirizzi IP noti e non validi (la lista nera), quindi registra o blocca qualsiasi attività sospetta.

È inoltre possibile integrare il database dinamico Cisco con gli indirizzi della blacklist desiderati aggiungendoli a una blacklist statica; se il database dinamico include indirizzi in blacklist che si ritiene non debbano essere inseriti in una blacklist, è possibile immetterli manualmente in una whitelist statica. Gli indirizzi inseriti nelle liste bianche continuano a generare messaggi syslog, ma poiché si utilizzano solo messaggi syslog delle liste nere, si tratta di messaggi informativi. Per informazioni dettagliate, consultare la sezione Configurazione del filtro per il traffico Botnet.

Aggiunte cache ARP per subnet non connesse

Per impostazione predefinita, l'ASA non risponde al protocollo ARP per gli indirizzi IP delle subnet non connessi direttamente. Se l'IP NAT sull'appliance ASA non appartiene alla stessa IP subnet dell'interfaccia ASA, sarà necessario abilitare la modalità "arp allow-nonconnected" sull'appliance ASA per proxy-ARP sull'IP NATted.

arp permit-nonconnected

Si consiglia sempre di avere il routing corretto sui dispositivi a monte e a valle in modo che NAT funzioni senza abilitare il comando precedente.

Registrazione e monitoraggio

Configurazione di SNMP

In questa sezione vengono evidenziati diversi metodi che possono essere utilizzati per proteggere la distribuzione di SNMP nei dispositivi ASA. È fondamentale proteggere correttamente il protocollo SNMP per proteggere la riservatezza, l'integrità e la disponibilità sia dei dati di rete che dei dispositivi di rete attraverso cui transitano tali dati. L'SNMP fornisce una vasta gamma di informazioni sullo stato dei dispositivi di rete. È consigliabile proteggere queste informazioni da utenti malintenzionati che desiderano utilizzare questi dati per eseguire attacchi alla rete.

Stringhe della community SNMP

Le stringhe della community sono password applicate a un dispositivo ASA per limitare l'accesso, sia di sola lettura che di lettura/scrittura, ai dati SNMP sul dispositivo. Queste stringhe della community, come tutte le password, devono essere scelte attentamente per evitare che siano insignificanti. Le stringhe comunitarie dovrebbero essere modificate periodicamente e in conformità delle politiche di sicurezza delle reti. Ad esempio, le stringhe devono essere modificate quando un amministratore di rete cambia ruolo o lascia la società.

Abilita accesso in lettura SNMP:

snmp-server host <interface_name> <remote_ip_address>

Abilitazione delle trap SNMP

snmp-server enable traps all

Configurazione di Syslog

Si consiglia di inviare le informazioni di registrazione a un server syslog remoto. Ciò rende possibile correlare e controllare gli eventi di rete e di sicurezza tra i dispositivi di rete in modo più efficace. I messaggi syslog vengono trasmessi in modo non affidabile da UDP e in formato non crittografato. Per questo motivo, tutte le protezioni offerte da una rete per la gestione del traffico (ad esempio, la crittografia o l'accesso fuori banda) devono essere estese in modo da includere il traffico syslog. È possibile configurare l'invio dei log dall'appliance ASA alla seguente destinazione:

- ASDM

- Buffer

- Flash

- Email

- server FTP

- Server SNMP come trap

- server Syslogs

Configura livello di gravità registrazione console

logging console critical

È disponibile anche un syslog basato su TCP. Tutti i syslog possono essere inviati al server syslog in testo normale o crittografati in caso di TCP.

Testo normale

logging host interface_name syslog_ip [ tcp/ porta

Crittografia

logging host interface_name syslog_ip [ tcp/ porta] | [ sicuro ]

Se non è possibile stabilire una connessione TCP con il server syslogs, tutte le nuove connessioni verranno negate. È possibile modificare questo comportamento predefinito immettendo il comando "logging allow-hostdown".

Configura timestamp nei messaggi di log

La configurazione della registrazione dei timestamp consente di correlare gli eventi tra i dispositivi di rete. È importante implementare una configurazione di timestamp di registrazione corretta e coerente per garantire la correlazione dei dati di registrazione.

logging timestamp

Per ulteriori informazioni relative al syslog, consultare l'esempio di configurazione del syslog ASA.

Configurazione di NetFlow

In alcuni casi, è necessario identificare rapidamente e rintracciare il traffico di rete, in particolare durante la risposta a un problema o durante prestazioni di rete insoddisfacenti. NetFlow può fornire visibilità su tutto il traffico della rete. Inoltre, NetFlow può essere implementato con collector in grado di fornire analisi dei trend e analisi automatizzate a lungo termine.

Cisco ASA supporta i servizi NetFlow versione 9. Le implementazioni ASA e ASASM di NSEL forniscono un metodo di tracciamento del flusso IP con conservazione dello stato che esporta solo i record che indicano eventi significativi in un flusso. Nel tracciamento del flusso con conservazione dello stato, i flussi tracciati attraversano una serie di modifiche dello stato. Gli eventi NSEL vengono utilizzati per esportare i dati relativi allo stato del flusso e vengono attivati dall'evento che ha causato la modifica dello stato.

Per ulteriori informazioni su Netflow sull'ASA, consultare la Cisco ASA NetFlow Implementation Guide:

Protezione della configurazione

Verifica dell'immagine sull'appliance ASA

A partire dalla versione 9.1(2) e 8.4(4.1), è stato aggiunto il supporto per il controllo dell'integrità dell'immagine SHA-512. Per verificare il checksum di un file, utilizzare il comando verify in modalità di esecuzione privilegiata.

Calcola e visualizza il valore MD5 per l'immagine software specificata. Confrontare questo valore con quello disponibile su Cisco.com per questa immagine.

verify [ /md5 path ] [ md5-value ]

Password nella configurazione

Tutte le password e le chiavi sono crittografate o offuscate. Il comando "show running-config" non rivela le password in uso.

Questo tipo di backup non può essere usato per il backup/ripristino su appliance ASA. Il backup utilizzato a scopo di ripristino deve essere eseguito usando il comando "more system:running-config". Le password di configurazione dell'ASA possono essere crittografate con una passphrase master. Per informazioni dettagliate, fare riferimento a Crittografia password.

Recupero password servizio

Disabilitando questa opzione si disabilita il meccanismo di recupero della password e l'accesso a ROMMON. L'unico modo per recuperare le password perse o dimenticate sarà che ROMMON cancelli tutti i file system, compresi i file di configurazione e le immagini. È consigliabile eseguire un backup della configurazione e disporre di un meccanismo per ripristinare le immagini dalla riga di comando di ROMMON.

Risoluzione dei problemi

In questo documento non è disponibile una sezione per la risoluzione dei problemi.