Cisco Applied Mitigation 게시판-
Cisco ASA-CX Context-Aware Security Appliance 및 Cisco PRSM(Prime Security Manager)에는 9.0.2-103 이전 버전의 DoS(서비스 거부) 취약성이 포함되어 있습니다. Cisco ASA-CX에서 이 취약성을 성공적으로 악용하면 디바이스에서 사용자 트래픽 처리를 중지하고 Cisco ASA-CX에 대한 관리 액세스를 차단할 수 있습니다. Cisco PRSM에서 이 취약성을 성공적으로 악용하면 소프트웨어가 응답하지 않고 사용할 수 없게 될 수 있습니다.
취약성은 Cisco ASA-CX Context-Aware Security 및 Cisco Prime Security Manager용 Cisco 버그 ID CSCub70603(등록된 고객만 해당)에 문서화되어 있으며 CVE(Common Vulnerabilities and Exposures) ID CVE-2012-4629가 할당되었습니다.
-
취약한 소프트웨어, 영향을 받지 않는 소프트웨어, 그리고 고정된 소프트웨어에 대한 정보는 Cisco Security Advisory에서 확인할 수 있습니다. Cisco Security Advisory는 다음 링크에서 확인할 수 있습니다. https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120905-asacx
-
Cisco 디바이스는 이러한 취약성에 대한 몇 가지 대응책을 제공합니다. 관리자는 이러한 보호 방법을 인프라 디바이스 및 네트워크를 이동하는 트래픽에 대한 일반적인 보안 모범 사례로 고려하는 것이 좋습니다. 이 문서에서는 이러한 기술에 대한 개요를 제공합니다.
Cisco IOS Software는 iACL(infrastructure access control list)을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다. 이 보호 메커니즘은 이 취약성을 악용하려는 패킷을 필터링하고 삭제합니다.
CX 서비스 모듈이 없는 ASA가 서비스 모듈을 사용하여 ASA CX를 보호하는 경우, Cisco ASA 5500 Series Adaptive Security Appliance, Cisco Catalyst 6500 Series ASASM(ASA Services Module) 및 Cisco Catalyst 6500 Series Switches 및 Cisco 7600 Series Routers용 FWSM(Firewall Services Module)에서도 효과적인 익스플로잇 방지를 제공할 수 있습니다.
Cisco IOS NetFlow 레코드는 네트워크 기반 익스플로잇 시도에 대한 가시성을 제공할 수 있습니다.
Cisco IOS Software, Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽은 show 명령의 출력에 표시되는 syslog 메시지 및 카운터 값을 통해 가시성을 제공할 수 있습니다.
-
조직은 이 취약성의 잠재적인 영향을 판단하기 위해 표준 위험 평가 및 완화 프로세스를 따르는 것이 좋습니다. 분류(Triage)란 성공 가능성이 가장 높은 프로젝트를 분류하고 노력을 우선 순위를 정하는 것을 말한다. Cisco는 조직이 정보 보안 팀을 위해 위험 기반 분류 기능을 개발하는 데 도움이 될 문서를 제공했습니다. 보안 취약성 알림에 대한 위험 분류 및 위험 분류 및 프로토타이핑은 조직이 반복 가능한 보안 평가 및 대응 프로세스를 개발하는 데 도움이 될 수 있습니다.
-
주의: 완화 기법의 효과는 제품 혼합, 네트워크 토폴로지, 트래픽 동작, 조직 임무 등과 같은 특정 고객 상황에 따라 달라집니다. 모든 컨피그레이션 변경과 마찬가지로, 변경 사항을 적용하기 전에 이 컨피그레이션의 영향을 평가합니다.
완화 및 식별에 대한 구체적인 정보를 다음 장치에 사용할 수 있습니다.
- Cisco IOS 라우터 및 스위치
- Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow
- Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽
Cisco IOS 라우터 및 스위치
완화: 인프라 액세스 제어 목록
인프라 디바이스를 보호하고 직접 인프라 공격의 위험, 영향 및 효과를 최소화하기 위해 관리자는 인프라 장비에 전송된 트래픽의 정책 시행을 수행하기 위해 iACL(infrastructure access control list)을 구축하는 것이 좋습니다. 관리자는 기존 보안 정책 및 컨피그레이션에 따라 인프라 디바이스로 전송되는 승인된 트래픽만 명시적으로 허용하여 iACL을 구성할 수 있습니다. 인프라 디바이스를 최대한 보호하려면 구축된 iACL을 IP 주소가 구성된 모든 인터페이스의 인그레스 방향으로 적용해야 합니다. iACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이 취약성에 대한 완벽한 보호를 제공할 수 없습니다.
아래의 iACL 정책은 영향을 받는 ASA-CX 관리 인터페이스로 전송되는 TCP 포트 22, TCP 443, UDP 포트 3799 및 ICMP 에코 요청과 영향을 받는 PRSM 서버 관리 인터페이스로 전송되는 TCP 포트 446 및 UDP 포트 514 요청에 대한 무단 IPv4 및 IPv6 패킷을 거부합니다. 다음 예에서 192.168.60.0/24은 ASA-CX 관리 인터페이스가 상주하는 네트워크이고 192.168.60.6/32은 PRSM 서버 관리 인터페이스입니다. 2001:DB8:1:60::/64는 영향을 받는 ASA-CX 관리 인터페이스 및 PRSM 서버 관리 인터페이스에서 사용되는 IPv6 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다. 인프라 주소 공간은 가능한 경우 사용자 및 서비스 세그먼트에 사용되는 주소 공간과 구분되어야 합니다. 이 주소 지정 방법론을 사용하면 iACL의 구축 및 구축에 도움이 됩니다.
iACL에 대한 추가 정보는 코어 보호: Infrastructure Protection Access Control Lists에 있습니다.
ip access-list extended Infrastructure-ACL-Policy
!
!-- Include explicit permit statements for trusted sources
!-- that require access to the management port on the ASA-CX
!
permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 22
permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 443
permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 3799
permit icmp host 192.168.100.1 192.168.60.0 0.0.0.255 8
!
!-- Include additional permit statements for trusted sources
!-- that require access on the PRSM server
!
permit tcp host 192.168.100.1 host 192.168.60.6 eq 4466
permit udp host 192.168.100.1 host 192.168.60.6 eq 514
!
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
!
deny tcp any 192.168.60.0 0.0.0.255 eq 22
deny tcp any 192.168.60.0 0.0.0.255 eq 443
deny udp any 192.168.60.0 0.0.0.255 eq 3799
deny icmp any 192.168.60.0 0.0.0.255 8
deny tcp any host 192.168.60.6 eq 4466
deny udp any host 192.168.60.6 eq 514
!
!-- Explicit deny ACE for traffic sent to addresses configured within
!-- the infrastructure address space
!
deny ip any 192.168.60.0 0.0.0.255
!
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
!
!-- Create the corresponding IPv6 tACL
!
ipv6 access-list IPv6-Infrastructure-ACL-Policy
!
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable protocol and port
!
permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 22 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 443
permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 4466
permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 3799
permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 514
permit icmp6 host 2001:DB8::100:1 2001:DB8:1:60::/64
!
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks to global and
!-- link-local addresses
!
deny tcp any 2001:DB8:1:60::/64 eq 22
deny tcp any 2001:DB8:1:60::/64 eq 443
deny tcp any 2001:DB8:1:60::/64 eq 4466
deny udp any 2001:DB8:1:60::/64 eq 3799
deny udp any 2001:DB8:1:60::/64 eq 514
!
!-- Permit other required traffic to the infrastructure address
!-- range and allow IPv6 neighbor discovery packets, which
!-- include neighbor solicitation packets and neighbor
!-- advertisement packets
!
permit icmp any any nd-ns
permit icmp any any nd-na
!
!-- Explicit deny for all other IPv6 traffic to the global
!-- infrastructure address range
!
deny ipv6 any 2001:DB8:1:60::/64
!
!-- Permit or deny all other Layer 3 and Layer 4 traffic
!-- in accordance with existing security policies and configurations
!
!
!-- Apply tACLs to interfaces in the ingress direction
!
interface GigabitEthernet0/0
ip access-group Infrastructure-ACL-Policy in
ipv6 traffic-filter IPv6-Infrastructure-ACL-Policy in인터페이스 액세스 목록으로 필터링하면 ICMP 도달 불가 메시지를 필터링된 트래픽의 소스로 다시 전송합니다. 이러한 메시지를 생성하면 디바이스에서 CPU 사용률이 증가하는 원치 않는 영향을 미칠 수 있습니다. Cisco IOS Software에서 ICMP 연결 불가능 생성은 기본적으로 500밀리초마다 하나의 패킷으로 제한됩니다. ICMP 연결 불가 메시지 생성은 인터페이스 컨피그레이션 명령 no ip unreachable 및 no ipv6 unreachable을 사용하여 비활성화할 수 있습니다. ICMP 연결 불가능 속도 제한은 ip icmp rate-limit unreachable interval-in-ms 및 ipv6 icmp error-interval interval-in-ms 전역 컨피그레이션 명령을 사용하여 기본값에서 변경할 수 있습니다.
식별: 인프라 액세스 제어 목록
관리자가 인터페이스에 iACL을 적용한 후 show ip access-lists 및 show ipv6 access-list 명령은 iACL이 적용된 인터페이스에서 필터링된 IPv4 및 IPv6 패킷의 수를 식별합니다. 관리자는 필터링된 패킷을 조사하여 이 취약성을 악용하려는 시도인지 확인해야 합니다. show ip access-lists Infrastructure-ACL-Policy 및 show ipv6 access-list IPv6-Infrastructure-ACL-Policy의 출력 예는 다음과 같습니다.
router#show ip access-lists Infrastructure-ACL-Policy Extended IP access list Infrastructure-ACL-Policy 10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 22 (60 matches) 20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 443 (38 matches) 30 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 3799 (47 matches) 40 permit icmp host 192.168.100.1 192.168.60.0 0.0.0.255 8 (60 matches) 50 permit tcp host 192.168.100.1 host 192.168.60.6 eq 4466 (45 matches) 60 permit udp host 192.168.100.1 host 192.168.60.6 eq 514 (46 matches) 70 deny tcp any 192.168.60.0 0.0.0.255 eq 22 (9 matches) 80 deny tcp any 192.168.60.0 0.0.0.255 eq 443 (27 matches) 90 deny udp any 192.168.60.0 0.0.0.255 eq 3799(13 matches) 100 deny icmp any 192.168.60.0 0.0.0.255 8 (55 matches) 110 deny tcp any host 192.168.60.6 eq 4466(11 matches) 120 deny udp any host 192.168.60.6 eq 514 (12 matches) 130 deny ip any 192.168.60.0 0.0.0.255 (17 matches)
router#앞의 예에서 액세스 목록 Infrastructure-ACL-Policy가 삭제되었습니다.
- ACE(Access Control List Entry) 라인 70에 대한 TCP 포트 22의 9개 SSH 패킷
- ACE(Access Control List Entry) 라인 80에 대한 TCP 포트 443의 27개 HTTPS 패킷
- ACE(access control list entry) 라인 90에 대한 UDP 포트 3799의 13개 패킷
- ACE(Access Control List Entry) 라인 100에 대한 55개의 ICMP 패킷
- ACE(access control list entry) 라인 110에 대한 TCP 포트 4466의 11개 TCP 패킷
- ACE(access control list entry) 라인 120에 대한 UDP 포트 514의 12개 SYSLOG 패킷.
router#show ipv6 access-list IPv6-Infrastructure-ACL-Policy IPv6 access list IPv6-Infrastructure-ACL-Policy permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 22 (71 matches) sequence 10 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 443 (71 matches) sequence 20 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 4466 (71 matches) sequence 30 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 3799 (71 matches) sequence 40 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 514 (71 matches) sequence 50 permit icmp6 any 2001:DB8:1:60::/64 (71 matches) sequence 60 deny tcp any 2001:DB8:1:60::/64 eq 22 (9 matches) sequence 70 deny tcp any 2001:DB8:1:60::/64 eq 443 (27 matches) sequence 80 deny tcp any 2001:DB8:1:60::/64 eq 4466 (13 matches) sequence 90 deny udp any 2001:DB8:1:60::/64 eq 3799 (55 matches) sequence 100 deny udp any 2001:DB8:1:60::/64 eq 514 (12 matches) sequence 101 permit icmp any any nd-ns (80 matches) sequence 102 permit icmp any any nd-na (80 matches) sequence 103 deny ipv6 any 2001:DB8:1:60::/64 (5 matches) sequence 104앞의 예에서 액세스 목록 IPv6-Infrastructure-ACL-Policy가 삭제되었습니다
- ACE(Access Control List Entry) 라인 70을 위한 TCP 포트 22의 9개 SSH 패킷
- ACE(Access Control List Entry) 라인 80에 대한 TCP 포트 443의 27개 HTTPS 패킷
- ACE(access control list entry) 라인 90에 대한 TCP 포트 4466의 13개 패킷
- ACE(access control list entry) 라인 100에 대한 UDP 포트 3799의 55개 TCP 패킷.
- ACE(access control list entry) 라인 101에 대한 UDP 포트 514의 12개 SYSLOG 패킷.
ACE 카운터 및 syslog 이벤트를 사용한 인시던트 조사에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security 백서를 참조하십시오.
관리자는 ACE 카운터 적중과 같은 특정 조건이 충족될 때 Embedded Event Manager를 사용하여 계측을 제공할 수 있습니다. Cisco Security Intelligence Operations 백서 Embedded Event Manager in a Security Context에서는 이 기능을 사용하는 방법에 대한 추가 세부 정보를 제공합니다.
Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow
식별: Cisco IOS NetFlow를 사용한 IPv4 트래픽 흐름 식별
관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이 취약성을 악용하려는 시도일 수 있는 IPv4 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다.
router#show ip cache flow IP packet size distribution (90784136 total packets): 1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480 .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000 512 544 576 1024 1536 2048 2560 3072 3584 4096 4608 .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000 IP Flow Switching Cache, 4456704 bytes 1885 active, 63651 inactive, 59960004 added 129803821 ager polls, 0 flow alloc failures Active flows timeout in 30 minutes Inactive flows timeout in 15 seconds IP Sub Flow Cache, 402056 bytes 0 active, 16384 inactive, 0 added, 0 added to flow 0 alloc failures, 0 force free 1 chunk, 1 chunk added last clearing of statistics never Protocol Total Flows Packets Bytes Packets Active(Sec) Idle(Sec) -------- Flows /Sec /Flow /Pkt /Sec /Flow /Flow TCP-Telnet 11393421 2.8 1 48 3.1 0.0 1.4 TCP-FTP 236 0.0 12 66 0.0 1.8 4.8 TCP-FTPD 21 0.0 13726 1294 0.0 18.4 4.1 TCP-WWW 22282 0.0 21 1020 0.1 4.1 7.3 TCP-X 719 0.0 1 40 0.0 0.0 1.3 TCP-BGP 1 0.0 1 40 0.0 0.0 15.0 TCP-Frag 70399 0.0 1 688 0.0 0.0 22.7 TCP-other 47861004 11.8 1 211 18.9 0.0 1.3 UDP-DNS 582 0.0 4 73 0.0 3.4 15.4 UDP-NTP 287252 0.0 1 76 0.0 0.0 15.5 UDP-other 310347 0.0 2 230 0.1 0.6 15.9 ICMP 11674 0.0 3 61 0.0 19.8 15.5 IPv6INIP 15 0.0 1 1132 0.0 0.0 15.4 GRE 4 0.0 1 48 0.0 0.0 15.3 Total: 59957957 14.8 1 196 22.5 0.0 1.5 SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 01 0984 0800 9 Gi0/0 192.168.11.54 Gi0/1 192.168.60.158 01 0911 0000 4 Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 06 0984 0016 1 Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 06 0984 01BB 1 Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 11 0984 0ED7 1 Gi0/0 192.168.11.54 Gi0/1 192.168.60.158 06 0911 0016 3 Gi0/1 192.168.150.60 Gi0/0 10.89.16.226 06 0016 12CA 1 Gi0/0 10.89.16.226 Gi0/1 192.168.150.60 06 12CA 0016 1 router#앞의 예에서는 TCP 포트 22(16진수 값 0016)의 SSH, TCP 포트 443(16진수 값 01BB)의 HTTPS, UDP 포트 3799(16진수 값 0ED7)는 물론 ICMP 에코 요청 및 에코 응답(16진수 값 0800 및 0000)에 대한 여러 플로우가 있습니다(각각).
다음 예에 표시된 것처럼 TCP 포트 22(16진수 값 0016) 및 TCP 포트 4466 패킷(16진수 값 1172)의 SSH 패킷만 보려면 show ip cache flow를 사용합니다 | SrcIf|_06_.*(0016|1172)_ 명령을 포함하여 관련 Cisco NetFlow 레코드를 표시합니다.
TCP 흐름router#show ip cache flow | include SrcIf|_06_.*(0016|1172) SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 06 0984 0016 1 Gi0/0 192.168.11.54 Gi0/1 192.168.60.158 06 0911 0016 3
Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 06 0984 1172 1
Gi0/0 192.168.11.54 Gi0/1 192.168.60.158 06 0911 1172 3 router#식별: Cisco IOS NetFlow를 사용한 IPv6 트래픽 흐름 식별
관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이 문서에 설명된 취약성을 악용하려는 시도가 될 수 있는 IPv6 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다.
다음은 Cisco IOS Software 12.4 메인라인 트레인을 실행하는 Cisco IOS 디바이스의 출력입니다. 명령 구문은 Cisco IOS 소프트웨어 트레인마다 다릅니다.
router#show ipv6 flow cache IP packet size distribution (50078919 total packets): 1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480 .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 512 544 576 1024 1536 2048 2560 3072 3584 4096 4608 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 IP Flow Switching Cache, 475168 bytes 8 active, 4088 inactive, 6160 added 1092984 ager polls, 0 flow alloc failures Active flows timeout in 30 minutes Inactive flows timeout in 15 seconds IP Sub Flow Cache, 33928 bytes 16 active, 1008 inactive, 12320 added, 6160 added to flow 0 alloc failures, 0 force free 1 chunk, 1 chunk added> SrcAddress InpIf DstAddress OutIf Prot SrcPrt DstPrt Packets 2001:DB...06::201 Gi0/0 2001:DB...28::20 Go0/1 0x06 0x16C4 0x0016 1464 2001:DB...6A:5BA6 Gi0/0 2001:DB...28::21 Gi0/1 0x3A 0x0000 0x8000 1191 2001:DB...6A:5BA6 Gi0/0 2001:DB...28::21 Gi0/1 0x11 0x0000 0x0ED7 1168 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::2 Gi0/1 0x06 0x160A 0x0016 1597 2001:DB...06::201 Gi0/0 2001:DB...28::20 Go0/1 0x06 0x16C4 0x1172 1466 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::3 Gi0/1 0x3A 0x0000 0x8000 1155전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.
앞의 예에서는 TCP 포트 22(16진수 값 0016), UDP 포트 3799(16진수 값 0ED7), 포트 4466(16진수 값 1172)의 SSH에 대한 여러 IPv6 플로우가 있습니다.
다음 예에 표시된 것처럼 TCP 포트 22의 SSH 패킷만 보려면(16진수 값 0016) show ipv6 flow cache를 사용합니다 | SrcIf|_06_.*0016_ 명령을 포함하여 관련 Cisco NetFlow 레코드를 표시합니다.
TCP 흐름
router#show ipv6 flow cache | include SrcIf|_06_.*0016_ SrcAddress InpIf DstAddress OutIf Prot SrcPrt DstPrt Packets 2001:DB...06::201 Gi0/0 2001:DB...28::20 Local 0x06 0x16C4 0x0016 1464 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::2 Gi0/1 0x06 0x160A 0x0016 1597 router#
식별: Cisco Flexible NetFlow를 사용한 IPv4 트래픽 흐름 식별
Cisco IOS Software 릴리스 12.2(31)SB2 및 12.4(9)T에 도입된 Cisco IOS Flexible NetFlow는 관리자의 특정 요구 사항에 맞게 트래픽 분석 매개변수를 맞춤화하는 기능을 추가하여 원래의 Cisco NetFlow를 개선합니다. 원래의 Cisco NetFlow는 IP 정보의 고정된 7튜플을 사용하여 플로우를 식별하는 반면, Cisco IOS Flexible NetFlow는 플로우를 사용자 정의할 수 있게 해줍니다. 재사용 가능한 구성 구성 요소를 사용하여 트래픽 분석 및 데이터 내보내기를 위한 더 복잡한 구성을 쉽게 생성할 수 있습니다.
다음 출력은 15.1T 트레인의 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 출력입니다. 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 match ipv4 source address key(ipv4 소스 주소 키) 필드 명령문에 정의된 대로 소스 IPv4 주소를 기반으로 수신 IPv4 흐름에 대한 인터페이스 GigabitEthernet0/0에 대한 정보를 수집합니다. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv4 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다.
! !-- Configure key and nonkey fields !-- in the user-defined flow record ! flow record FLOW-RECORD-ipv4 match ipv4 source address collect ipv4 protocol collect ipv4 destination address collect transport source-port collect transport destination-port collect interface input collect interface output collect counter packets ! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record ! flow monitor FLOW-MONITOR-ipv4 record FLOW-RECORD-ipv4 ! !-- Apply the flow monitor to the interface !-- in the ingress direction ! interface GigabitEthernet0/0 ip flow monitor FLOW-MONITOR-ipv4 input
Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.
router#show flow monitor FLOW-MONITOR-ipv4 cache format table Cache type: Normal Cache size: 4096 Current entries: 6 High Watermark: 1 Flows added: 9181 Flows aged: 9175 - Active timeout ( 1800 secs) 9000 - Inactive timeout ( 15 secs) 175 - Event aged 0 - Watermark aged 0 - Emergency aged 0 IPV4 SRC ADDR ipv4 dst addr trns src port trns dst port intf input intf output pkts ip prot ============== ============== ============= ============= ========== =========== ===== ======= 192.168.10.201 192.168.60.102 1456 22 Gi0/0 Gi0/1 10128 6 192.168.10.201 192.168.60.102 1316 443 Gi0/0 Gi0/1 1898 6 192.168.10.201 192.168.60.102 1456 4466 Gi0/0 Gi0/1 1128 6 192.168.10.17 192.168.60.97 4231 514 Gi0/0 Gi0/1 14606 17 192.168.10.17 192.168.60.97 4231 3799 Gi0/0 Gi0/1 10223 17 10.88.226.1 192.168.202.22 2678 53 Gi0/0 Gi0/1 10567 17 10.89.16.226 192.168.150.60 3562 80 Gi0/0 Gi0/1 30012 6TCP 포트 22의 SSH 패킷만 보려면 show flow monitor FLOW-MONITOR-ipv4 cache format 테이블을 사용합니다 | IPV4 DST 주소 포함 |_22_.*_6_ 명령을 입력하여 관련 NetFlow 레코드를 표시합니다.
Cisco IOS Flexible NetFlow에 대한 자세한 내용은 Flexible Netflow 컨피그레이션 가이드, Cisco IOS 릴리스 15.1M&T 및 Cisco IOS Flexible NetFlow 컨피그레이션 가이드, 릴리스 12.4T를 참조하십시오.
식별: Cisco IOS Flexible NetFlow를 사용한 IPv6 트래픽 흐름 식별
다음 출력은 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 15.1T 기차 . 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 소스 IPv6 주소를 기반으로 수신 IPv6 흐름에 대한 인터페이스 GigabitEthernet0/0에 대한 정보를 수집합니다. ipv6 소스 주소 일치 key field 문. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv6 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다.! !-- Configure key and nonkey fields !-- in the user-defined flow record ! flow record FLOW-RECORD-ipv6 match ipv6 source address collect ipv6 protocol collect ipv6 destination address collect transport source-port collect transport destination-port collect interface input collect interface output collect counter packets ! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record ! flow monitor FLOW-MONITOR-ipv6 record FLOW-RECORD-ipv6 ! !-- Apply the flow monitor to the interface !-- in the ingress direction ! interface GigabitEthernet0/0 ipv6 flow monitor FLOW-MONITOR-ipv6 input
Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.
router#show flow monitor FLOW-MONITOR-ipv6 cache format table Cache type: Normal Cache size: 4096 Current entries: 6 High Watermark: 2 Flows added: 539 Flows aged: 532 - Active timeout ( 1800 secs) 350 - Inactive timeout ( 15 secs) 182 - Event aged 0 - Watermark aged 0 - Emergency aged 0 IPV6 SRC ADDR ipv6 dst addr trns src port trns dst port intf input intf output pkts ip prot ================= ================ ============= ============= ========== =========== ==== ======= 2001:DB...06::201 2001:DB...28::20 123 123 Gi0/0 Gi0/0 17 17 2001:DB...06::201 2001:DB...28::20 1265 22 Gi0/0 Gi0/0 1237 6 2001:DB...06::201 2001:DB...28::20 1890 443 Gi0/0 Gi0/0 5009 6 2001:DB...06::201 2001:DB...28::20 1043 4466 Gi0/0 Gi0/0 501 6 2001:DB...06::201 2001:DB...28::20 2044 3799 Gi0/0 Gi0/0 4522 17 2001:DB...06::201 2001:DB...28::20 2856 514 Gi0/0 Gi0/0 486 17전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.
TCP 포트 22의 SSH 패킷만 보려면 show flow monitor FLOW-MONITOR-ipv6 cache format 테이블을 사용합니다 | IPV6 DST ADDR|_22_.*_6_ 명령을 포함하여 관련 Cisco IOS Flexible NetFlow 레코드를 표시합니다.
Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽
완화: 통과 액세스 제어 목록
인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL을 구축하여 정책 적용을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이 취약성에 대한 완벽한 보호를 제공할 수 없습니다.
tACL 정책은 무단 SSH를 거부합니다 영향을 받는 ASA-CX 관리 인터페이스로 전송되는 TCP 포트 22, TCP 443, UDP 포트 3799 및 ICMP 에코 요청과 영향을 받는 PRSM 서버 관리 인터페이스로 전송되는 TCP 포트 446 및 UDP 포트 514 요청의 패킷입니다. 다음 예에서 192.168.60.0/24 및 2001:DB8:1:60::/64는 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다.
tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다.
! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocol and port ! access-list tACL-Policy extended permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 22 access-list tACL-Policy extended permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 443 access-list tACL-Policy extended permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 3799 access-list tACL-Policy extended permit icmp host 192.168.100.1 192.168.60.0 0.0.0.255 8 access-list tACL-Policy extended permit tcp host 192.168.100.1 host 192.168.60.6 eq 4466 access-list tACL-Policy extended permit udp host 192.168.100.1 host 192.168.60.6 eq 514 ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks ! access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 22 access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 443 access-list tACL-Policy extended deny udp any 192.168.60.0 0.0.0.255 eq 3799 access-list tACL-Policy extended deny tcp any host 192.168.60.6 eq 4466 access-list tACL-Policy extended deny udp any host 192.168.60.6 eq 514 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations access-list tACL-Policy extended permit icmp any any nd-ns access-list tACL-Policy extended permit icmp any any nd-na ! !-- Explicit deny for all other IP traffic ! access-list tACL-Policy extended deny ip any any access-group tACL-Policy in interface outside access-group IPv6-tACL-Policy in interface outside
!
!-- Create the corresponding IPv6 tACL
!
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable protocols and ports
! ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 22 ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 443 ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 4466 ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 3799 ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 514 ipv6 access-list IPv6-tACL-Policy permit icmp6 host 2001:DB8::100:1 2001:DB8:1:60::/64 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
! ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:DB8:1:60::/64 eq 22 ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:DB8:1:60::/64 eq 443 ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:DB8:1:60::/64 eq 4466 ipv6 access-list IPv6-tACL-Policy deny udp any 2001:DB8:1:60::/64 eq 3799 ipv6 access-list IPv6-tACL-Policy deny udp any 2001:DB8:1:60::/64 eq 514 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
ipv6 access-list IPv6-tACL-Policy permit icmp any any nd-ns ipv6 access-list IPv6-tACL-Policy permit icmp any any nd-na !-- Explicit deny for all other IP traffic
! ipv6 access-list IPv6-tACL-Policy deny ip any any !
!--식별: 통과 액세스 제어 목록
인터페이스에 tACL이 적용되면 관리자는 show access-list 명령을 사용하여 TCP 포트 22, TCP 443, UDP 포트 3799 및 영향받는 ASA-CX 관리 인터페이스로 전송되는 ICMP 에코 요청의 수와 필터링된 영향받는 PRSM 서버 관리 인터페이스로 전송되는 TCP 포트 446 및 UDP 포트 514 요청을 식별할 수 있습니다. 관리자는 필터링된 패킷을 조사하여 이 취약성을 악용하려는 시도인지 확인하는 것이 좋습니다. show access-list tACL-Policy 및 show access-list IPv6-tACL-Policy의 출력 예:
firewall#show access-list tACL-Policy access-list tACL-Policy; 14 elements; name hash: 0x3452703d access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0
eq ssh (hitcnt=31) access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0
eq https (hitcnt=13) access-list tACL-Policy line 3 extended permit udp host 192.168.100.1 192.168.60.0 255.255.255.0
eq 3799 (hitcnt=8) access-list tACL-Policy line 4 extended permit icmp host 192.168.100.1 192.168.60.0 255.255.255.0 8
(hitcnt=8) access-list tACL-Policy line 5 extended permit tcp host 192.168.100.1 192.168.60.6 255.255.255.255
eq 4466 (hitcnt=8) access-list tACL-Policy line 6 extended permit udp host 192.168.100.1 192.168.60.6 255.255.255.255
eq syslog (hitcnt=8) access-list tACL-Policy line 7 extended deny tcp any 192.168.60.0 0.0.0.255 eq ssh (hitcnt=9) access-list tACL-Policy line 8 extended deny tcp any 192.168.60.0 0.0.0.255 eq https (hitcnt=27) access-list tACL-Policy line 9 extended deny udp any 192.168.60.0 0.0.0.255 eq 3799 (hitcnt=13) access-list tACL-Policy line 10 extended deny tcp any 192.168.60.6 0.0.0.0 eq 4466 (hitcnt=11) access-list tACL-Policy line 11 extended deny udp any 192.168.60.6 0.0.0.0 eq syslog (hitcnt=12) access-list tACL-Policy line 12 extended permit icmp any any nd-ns (hitcnt=144) access-list tACL-Policy line 13 extended permit icmp any any nd-na (hitcnt=128) access-list tACL-Policy line 14 extended deny ip any any (hitcnt=8)앞의 예에서 액세스 목록 tACL-Policy가 삭제되었습니다.
- ACE(access control list entry) 라인 7에 대한 TCP 포트 22의 9개 SSH 패킷
- ACE 라인 8에 대한 TCP 포트 443의 27개 HTTPS 패킷
- ACE 라인 9의 UDP 포트 3799에서 13개 패킷
- ACE 라인 10에 대한 TCP 포트 4466의 11개 TCP 패킷
- ACE 라인 11에 대한 UDP 포트 514의 12개 SYSLOG 패킷
firewall#show access-list IPv6-tACL-Policy ipv6 access-list IPv6-tACL-Policy; 14 elements; name hash: 0x566a4229 ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64
eq 22 (hitcnt=52) ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64
eq 443 (hitcnt=59) ipv6 access-list IPv6-tACL-Policy line 3 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64
eq 4466 (hitcnt=12) ipv6 access-list IPv6-tACL-Policy line 4 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64
eq 3799 (hitcnt=22) ipv6 access-list IPv6-tACL-Policy line 5 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64
eq 514 (hitcnt=11) ipv6 access-list IPv6-tACL-Policy line 6 permit icmp6 host 2001:DB8::100:1 2001:DB8:1:60::/64
(hitcnt=19) ipv6 access-list IPv6-tACL-Policy line 7 deny tcp any 2001:DB8:1:60::/64 eq 22 (hitcnt=53) ipv6 access-list IPv6-tACL-Policy line 8 deny tcp any 2001:DB8:1:60::/64 eq 443 (hitcnt=133) ipv6 access-list IPv6-tACL-Policy line 9 deny tcp any 2001:DB8:1:60::/64 eq 4466 (hitcnt=11) ipv6 access-list IPv6-tACL-Policy line 10 deny udp any 2001:DB8:1:60::/64 eq 3799 (hitcnt=35) ipv6 access-list IPv6-tACL-Policy line 11 deny udp any 2001:DB8:1:60::/64 eq 514 (hitcnt=159) ipv6 access-list IPv6-tACL-Policy line 12 permit icmp any any nd-ns (hitcnt=19) ipv6 access-list IPv6-tACL-Policy line 13 permit icmp any any nd-na (hitcnt=19) ipv6 access-list IPv6-tACL-Policy line 14 deny ipv6 any 2001:DB8:1:60::/64 (hitcnt=89)앞의 예에서 액세스 목록 IPv6-tACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.
- ACE 라인 7에 대한 TCP 포트 22의 53개 SSH 패킷
- ACE 라인 8에 대한 TCP 포트 443의 133개 HTTPS 패킷
- ACE 라인 9에 대한 TCP 포트 4466의 11개 패킷
- ACE 라인 10에 대한 UDP 포트 3799의 35개 패킷
- ACE 라인 11에 대한 UDP 포트 514의 159개 SYSLOG 패킷
식별: 방화벽 액세스 목록 Syslog 메시지
log 키워드가 없는 ACE(액세스 제어 항목)에 의해 거부된 패킷에 대해 방화벽 syslog 메시지 106023이 생성됩니다. 이 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Message, 8.2 - 106023에 있습니다.
Cisco ASA 5500 Series Adaptive Security Appliance용 syslog 구성에 대한 정보는 Monitoring - Configuring Logging에 있습니다. Cisco Catalyst 6500 Series ASA Services Module에서 syslog 구성에 대한 정보는 로깅 구성에 있습니다. Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터에 대한 FWSM의 syslog 구성에 대한 정보는 Monitoring the Firewall Services Module에 있습니다.
다음 예에서는 show logging | grep regex 명령은 방화벽의 로깅 버퍼에서 syslog 메시지를 추출합니다. 이러한 메시지는 본 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 거부된 패킷에 대한 추가 정보를 제공합니다. 로깅된 메시지에서 특정 데이터를 검색하기 위해 grep 키워드와 다른 정규식을 사용할 수 있습니다.
정규식 구문에 대한 추가 정보는 정규식 만들기에 있습니다.
firewall#show logging | grep 106023 Sep 6 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.18/2944 dst inside:192.168.60.191/ssh by access-group "tACL-Policy" Sep 6 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.200/2945 dst inside:192.168.60.33/443 by access-group "tACL-Policy" Sep 6 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.200/2946 dst inside:192.168.60.33/4466 by access-group "tACL-Policy" Sep 6 2012 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.200/2947 dst inside:192.168.60.33/514 by access-group "tACL-Policy" Sep 6 2012 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.200/2948 dst inside:192.168.60.33/3799 by access-group "tACL-Policy" firewall#앞의 예에서 tACL tACL-Policy에 대해 로깅된 메시지는 TCP 포트 22에 대한 SSH 패킷, TCP 포트 443에 대한 패킷, TCP 포트 4466에 대한 패킷, UDP 포트 514에 대한 Syslog 패킷 및 영향받는 디바이스에 할당된 주소 블록으로 전송된 UDP 포트 3799에 대한 패킷을 보여줍니다.
Cisco ASA Series Adaptive Security Appliance용 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Messages, 8.2에 있습니다. Cisco Catalyst 6500 Series ASA Services Module의 syslog 메시지에 대한 추가 정보는 Cisco ASASM CLI 컨피그레이션 가이드의 Analyzing Syslog Messages 섹션에 있습니다. Cisco FWSM용 syslog 메시지에 대한 추가 정보는 Catalyst 6500 Series Switch 및 Cisco 7600 Series Router Firewall Services Module Logging System Log Messages에 있습니다.
syslog 이벤트를 사용한 인시던트 조사에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security 백서를 참조하십시오.
Cisco Security Manager, 이벤트 뷰어
소프트웨어 버전 4.0부터 Cisco Security Manager는 Cisco 방화벽 및 Cisco IPS 디바이스에서 syslog를 수집하고 이 문서에 설명된 취약성과 관련된 이벤트를 쿼리할 수 있는 이벤트 뷰어를 제공합니다.
이벤트 뷰어의 미리 정의된 Firewall Denied Events(방화벽 거부 이벤트) 보기에서 다음 필터를 사용하면 이 문서에 설명된 취약성 악용 시도를 나타낼 수 있는 모든 캡처된 Cisco 방화벽 액세스 목록 거부 syslog 메시지를 제공합니다.
- Destination 이벤트 필터를 사용하여 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 포함하는 네트워크 객체를 필터링할 수 있습니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60:::/64)
- Destination Service 이벤트 필터를 사용하여 TCP 포트 22가 포함된 객체를 필터링합니다
- Destination Service 이벤트 필터를 사용하여 TCP 포트 443이 포함된 객체를 필터링합니다
- Destination Service 이벤트 필터를 사용하여 TCP 포트 4466이 포함된 객체를 필터링합니다
- Destination Service 이벤트 필터를 사용하여 UDP 포트 3799를 포함하는 개체를 필터링합니다
- Destination Service 이벤트 필터를 사용하여 UDP 포트 514를 포함하는 개체를 필터링합니다
Cisco Security Manager 이벤트에 대한 자세한 내용은 Cisco Security Manager 사용 설명서의 이벤트 필터링 및 쿼리 섹션을 참조하십시오.
Cisco Security Manager 보고서 관리자
소프트웨어 버전 4.1부터 Cisco Security Manager는 Cisco IPS 이벤트 보고 기능인 보고서 관리자를 지원합니다. 관리자는 이 기능을 사용하여 원하는 Cisco IPS 이벤트를 기반으로 보고서를 정의할 수 있습니다. 필요에 따라 보고서를 예약하거나 임시 보고서를 실행할 수 있습니다.
보고서 관리자에서 상위 서비스 보고서를 다음 구성과 함께 사용하여 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타내는 이벤트 보고서를 생성할 수 있습니다.
- Destination IP 네트워크 필터를 사용하여 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 포함하는 네트워크 객체를 필터링할 수 있습니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60::/64)
- 기준 설정 페이지에서 거부 작업을 설정합니다.
-
간단히 표시버전 설명 섹션 날짜 2 이 버전의 Cisco Applied Mitigation Bulletin은 서식 문제를 해결하기 위해 업데이트되었습니다. 2012년 9월 13일 16:08(GMT) 1 Cisco Applied Mitigation Bulletin 최초 공개 2012년 9월 12일 16:00(GMT)
-
Cisco 제품의 보안 취약성 보고, 보안 사고에 대한 지원 요청, Cisco의 보안 정보 수신을 위한 등록 등에 대한 자세한 내용은 Cisco의 전 세계 웹 사이트(https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html)에서 확인할 수 있습니다. 여기에는 Cisco 보안 알림과 관련된 언론 문의에 대한 지침이 포함됩니다. 모든 Cisco 보안 권고 사항은 http://www.cisco.com/go/psirt에서 확인할 수 있습니다.
-
보안 취약성은 다음과 같은 제품 조합에 적용됩니다.
기본 제품 Cisco Cisco ASA CX Context-Aware Security 소프트웨어 9.0(.1-40, 0.2-68) Cisco PRSM(Prime Security Manager) 9.0(.1-40, 0.2-68)
관련 제품
-
이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO는 언제든지 알림을 변경하거나 업데이트할 수 있는 권리를 보유합니다.
배포 URL을 생략하는 이 문서의 텍스트를 독립 실행형으로 복사하거나 패러프레이즈는 관리되지 않는 복사본이며 중요한 정보가 없거나 사실 오류가 있을 수 있습니다. 이 문서의 정보는 Cisco 제품의 최종 사용자를 대상으로 합니다