Cisco의 대응

• Cisco의 대응

  이 Applied Mitigation Bulletin은 다음 PSIRT Security Advisories와 함께 제공되는 문서입니다.

  이 문서에서는 관리자가 Cisco 네트워크 장치에 구축할 수 있는 식별 및 완화 기술을 제공합니다.

취약성 특성

• 이 취약성을 악용하려는 시도가 반복되면 DoS 상태가 지속될 수 있습니다.

  익스플로잇을 위한 공격 벡터는 다음 프로토콜과 포트를 사용하는 IPv4 패킷을 통해 이루어집니다.

  • TCP 5060을 사용하는 SIP
  • TCP 5061을 사용하는 SIP
  • UDP 5060을 사용하는 SIP

  공격자는 스푸핑된 패킷을 사용하여 이 취약성을 악용할 수 있습니다.

  이 취약성에는 CVE(Common Vulnerabilities and Exposures) 식별자 CVE-2014-0662가 할당되었습니다.

취약성 개요

• 취약성 개요

  취약한 소프트웨어, 영향을 받지 않는 소프트웨어, 고정된 소프트웨어에 대한 정보는 다음 링크에서 확인할 수 있는 Cisco Security Advisory에서 확인할 수 있습니다. .

완화 기법 개요

• 완화 기법 개요

  Cisco 디바이스는 이러한 취약성에 대한 몇 가지 대응책을 제공합니다. 관리자는 이러한 보호 방법을 인프라 디바이스 및 네트워크를 이동하는 트래픽에 대한 일반적인 보안 모범 사례로 고려하는 것이 좋습니다. 이 문서에서는 이러한 기술에 대한 개요를 제공합니다.

  Cisco IOS Software는 이 취약성을 악용하려는 패킷을 필터링 및 삭제하는 기능을 사용하여 익스플로잇 방지를 위한 효과적인 수단을 제공할 수 있습니다.

  Cisco ASA 5500 Series Adaptive Security Appliance, Cisco Catalyst 6500 Series ASASM(ASA Services Module), Cisco Catalyst 6500 Series Switches 및 Cisco 7600 Series Routers용 FWSM(Firewall Services Module)에서도 효과적인 익스플로잇 방지를 제공할 수 있습니다. 이 보호 메커니즘은 이 취약성을 악용하려는 패킷을 필터링하고 삭제합니다.

위험 관리

• 위험 관리

  조직은 이러한 취약성의 잠재적 영향을 판단하기 위해 표준 위험 평가 및 완화 프로세스를 따르는 것이 좋습니다. 분류(Triage)란 성공 가능성이 가장 높은 프로젝트를 분류하고 노력을 우선 순위를 정하는 것을 말한다. Cisco는 조직이 정보 보안 팀을 위해 위험 기반 분류 기능을 개발하는 데 도움이 될 문서를 제공했습니다. 보안 취약성 알림에 대한 위험 분류 및 위험 분류 및 프로토타이핑은 조직이 반복 가능한 보안 평가 및 대응 프로세스를 개발하는 데 도움이 될 수 있습니다.

디바이스별 완화 및 식별

• 디바이스별 완화 및 식별

  주의: 모든 완화 기법의 효과는 제품 혼합, 네트워크 토폴로지, 트래픽 동작, 조직 임무 등 특정 고객 상황에 따라 달라집니다. 모든 컨피그레이션 변경과 마찬가지로, 변경 사항을 적용하기 전에 이 컨피그레이션의 영향을 평가합니다.

  완화 및 식별에 대한 구체적인 정보를 다음 장치에 사용할 수 있습니다.

  • Cisco IOS 라우터 및 스위치
  • Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽

  Cisco IOS 라우터 및 스위치

  완화: 통과 액세스 제어 목록

  인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL(transit access control list)을 구축하여 정책 시행을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

  tACL 정책은 영향을 받는 디바이스로 전송되는 TCP 포트 5060 및 5061과 UDP 포트 5060의 무단 IPv4 패킷을 거부합니다. 다음 예에서는 192.168.60.0/24이며 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타냅니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다. tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다.

  ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP and UDP ports !
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq 5060
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list 150 deny ip any any
  ! ! !-- Apply tACL to interface in the ingress direction !
  interface GigabitEthernet0/0
   ip access-group 150 in 

  Cisco IOS Software 명령줄 인터페이스를 사용하여 스푸핑 보호의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identifying the Effectiveness of Security Mitigating of Security Mitigating Using Cisco IOS Software를 참조하십시오.

  Cisco IOS Software 명령줄 인터페이스를 사용하여 스푸핑 보호 방법의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identifying the Effectiveness of Security Mitigating of Security Mitigating Using Cisco IOS Software를 참조하십시오.

  완화: 스푸핑 보호

  유니캐스트 역방향 경로 전달

  이 문서에 설명된 취약성은 스푸핑된 IP 패킷으로 악용될 수 있습니다. 관리자는 스푸핑에 대한 보호 메커니즘으로 uRPF(Unicast Reverse Path Forwarding)를 구축하고 구성할 수 있습니다.

  uRPF는 인터페이스 레벨에서 구성되며 확인 가능한 소스 IP 주소가 없는 패킷을 탐지하고 삭제할 수 있습니다. 소스 IP 주소에 대한 적절한 반환 경로가 있는 경우 스푸핑된 패킷이 uRPF 지원 인터페이스를 통해 네트워크에 들어갈 수 있으므로 관리자는 uRPF를 사용하여 완벽한 스푸핑 보호를 제공해서는 안 됩니다. 네트워크를 통과하는 합법적인 트래픽을 삭제할 수 있으므로 관리자는 이 기능을 구축하는 동안 적절한 uRPF 모드(느슨하거나 엄격함)가 구성되었는지 확인하는 것이 좋습니다. 엔터프라이즈 환경에서는 사용자 지원 레이어 3 인터페이스의 인터넷 에지 및 내부 액세스 레이어에서 uRPF를 활성화할 수 있습니다.

  uRPF의 컨피그레이션 및 사용에 대한 자세한 내용은 Understanding Unicast Reverse Path Forwarding Cisco Security 백서를 참조하십시오.

  IP Source Guard

  IPSG(IP source guard)는 DHCP 스누핑 바인딩 데이터베이스 및 수동으로 구성된 IP 소스 바인딩을 기반으로 패킷을 필터링하여 라우팅되지 않은 레이어 2 인터페이스의 IP 트래픽을 제한하는 보안 기능입니다. 관리자는 IPSG를 사용하여 소스 IP 주소 및/또는 MAC 주소를 위조하여 패킷을 스푸핑하려고 시도하는 공격자의 공격을 방지할 수 있습니다. IPSG를 적절하게 구축하고 구성하면 엄격한 모드 uRPF와 결합하여 이 문서에 설명된 취약성에 대한 가장 효과적인 스푸핑 보호 수단을 제공합니다.

  IPSG 구축 및 컨피그레이션에 대한 추가 정보는 DHCP 기능 및 IP 소스 가드 구성에 있습니다.

  Cisco IOS Software 명령줄 인터페이스를 사용하여 스푸핑 보호의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identifying the Effectiveness of Security Mitigating of Security Mitigating Using Cisco IOS Software를 참조하십시오.

  Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽

  완화: 통과 액세스 제어 목록

  인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL을 구축하여 정책 적용을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이러한 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

   ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable TCP and UDP ports !
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended permit udp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
   ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended deny udp any 192.168.60.0 0.0.0.255 eq 5060
   ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
    access-list tACL-Policy extended deny ip any 192.168.60.0 0.0.0.255
   ! ! !-- Apply tACL to interfaces in the ingress direction !
    access-group tACL-Policy in interface outside

  Cisco 방화벽 명령줄 인터페이스를 사용하여 tACL의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identification of Security Exploits with Cisco ASA, Cisco ASASM 및 Cisco FWSM Firewalls를 참조하십시오.

  완화: 유니캐스트 역방향 경로 전달을 사용한 스푸핑 보호

  이 문서에 설명된 취약성은 스푸핑된 IP 패킷으로 악용될 수 있습니다. 관리자는 스푸핑에 대한 보호 메커니즘으로 uRPF를 구축하고 구성할 수 있습니다.

  uRPF는 인터페이스 레벨에서 구성되며 확인 가능한 소스 IP 주소가 없는 패킷을 탐지하고 삭제할 수 있습니다. 소스 IP 주소에 대한 적절한 반환 경로가 있는 경우 스푸핑된 패킷이 uRPF 지원 인터페이스를 통해 네트워크에 들어갈 수 있으므로 관리자는 uRPF를 사용하여 완벽한 스푸핑 보호를 제공해서는 안 됩니다. 엔터프라이즈 환경에서는 인터넷 에지와 사용자 지원 레이어 3 인터페이스의 내부 액세스 레이어에서 uRPF를 활성화할 수 있습니다.

  uRPF의 컨피그레이션 및 사용에 대한 자세한 내용은 ip verify reverse-path에 대한 Cisco Security Appliance Command Reference 및 Understanding Unicast Reverse Path Forwarding Cisco Security 백서를 참조하십시오.

  방화벽 명령줄 인터페이스를 사용하여 스푸핑 보호의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identification of Security Exploits with Cisco ASA, Cisco ASASM 및 Cisco FWSM Firewalls를 참조하십시오.

  완화: Cisco IPS 시그니처 테이블

  관리자는 Cisco IPS 어플라이언스 및 서비스 모듈을 사용하여 위협 탐지를 제공하고 이 문서에 설명된 여러 취약점을 악용하려는 시도를 방지할 수 있습니다. 다음 표에는 CVE 식별자 및 이러한 취약성을 악용하려는 잠재적 시도에 대한 이벤트를 트리거할 해당 Cisco IPS 시그니처의 개요가 나와 있습니다.

  CVE ID	시그니처 릴리스	서명 ID	서명 이름	사용	심각도	충실도*	참고
  CVE-2014-0662	S764	3571-0	Cisco TelePresence Video Communications Service SIP 서비스 거부	아니요	중간	70

  * Fidelity는 SFR(Signature Fidelity Rating)이라고도 하며 사전 정의된 서명의 정확도를 나타내는 상대적 측정값입니다. 값의 범위는 0~100이며 Cisco Systems, Inc.에서 설정합니다.

  관리자는 공격이 탐지될 때 이벤트 작업을 수행하도록 Cisco IPS 센서를 구성할 수 있습니다. 구성된 이벤트 작업은 예방 또는 억제 제어를 수행하여 이전 표에 나열된 취약성을 악용하려는 공격으로부터 보호하도록 합니다.

  Cisco IPS 센서는 이벤트 동작의 사용과 결합된 인라인 보호 모드에서 구축될 때 가장 효과적입니다. 인라인 보호 모드에서 구축되는 Automatic Threat Prevention for Cisco IPS 7.x 및 6.x Sensor는 이 문서에 설명된 취약성을 악용하려는 공격에 대한 위협 방지 기능을 제공합니다. 위협 방지는 riskRatingValue가 90보다 큰 트리거된 서명에 대해 이벤트 작업을 수행하는 기본 재정의를 통해 구현됩니다.

  위험 등급 및 위협 등급 계산에 대한 자세한 내용은 위험 등급 및 위협 등급: IPS 정책 관리 간소화를 참조하십시오.

  Cisco Security Manager를 사용하여 Cisco IPS 센서의 활동을 보는 방법에 대한 자세한 내용은 Cisco Security Manager를 사용한 악성 트래픽 식별 백서를 참조하십시오.

추가 정보

• 이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO RESERVES THE RIGHT TO CHANGE OR UPDATE THIS DOCUMENT AT ANY TIME.

개정 이력

• 버전	설명	섹션	날짜
  1	최초 릴리스		2014년 1월 22일 16:00(GMT)

  간단히 표시

Cisco 보안 절차

• Cisco 제품의 보안 취약성 보고, 보안 사고에 대한 지원 요청, Cisco의 보안 정보 수신을 위한 등록 등에 대한 자세한 내용은 Cisco의 전 세계 웹 사이트(https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html)에서 확인할 수 있습니다. 여기에는 Cisco 보안 알림과 관련된 언론 문의에 대한 지침이 포함됩니다. 모든 Cisco 보안 권고 사항은 http://www.cisco.com/go/psirt에서 확인할 수 있습니다.

관련 정보

• Cisco Applied Mitigation 게시판
• Cisco 보안
• Cisco Security IntelliShield Alert Manager Service
• Cisco IOS 디바이스를 강화하는 Cisco 가이드
• Cisco IOS NetFlow - 홈 페이지(Cisco.com)
• Cisco IOS NetFlow 백서
• NetFlow 성능 분석
• Cisco 네트워크 기반 보호 백서
• Cisco Network Foundation Protection 프레젠테이션
• 보안 중심의 IP 주소 지정 방식
• Cisco 방화벽 제품 - 홈 페이지 Cisco.com
• Cisco Catalyst 6500 Series ASA Services Module
• 인터넷 서비스 공급자를 위한 유니캐스트 역방향 경로 전달 개선 사항
• Cisco 침입 방지 시스템
• Cisco IPS 서명 다운로드
• Cisco IPS 서명 검색 페이지
• Cisco 보안 관리자
• CVE(Common Vulnerabilities and Exposures)
• Cisco Applied Mitigation 게시판 구독