Cisco Response

• Cisco Response

  Dit Toegepaste Matiging Bulletin is een begeleidend document aan de volgende PSIRT Security Advisories:

  Dit document biedt identificatie- en onderdrukkingstechnieken die beheerders op Cisco-netwerkapparaten kunnen implementeren.

Kwetsbaarheid Kenmerken

• Herhaalde pogingen om gebruik te maken van deze kwetsbaarheid kunnen resulteren in een aanhoudende DoS-conditie.

  De aanvalsvectoren voor exploitatie worden via IPv4-pakketten verwerkt met behulp van de volgende protocollen en poorten:

  • SIP met TCP/5060
  • SIP met TCP/5061
  • SIP met UDP 5060

  Een aanvaller kon deze kwetsbaarheid exploiteren met spoofed pakketten.

  Aan deze kwetsbaarheid is de code CVE-2014-0662 van de Common Vulnerabilities and Exposations (CVE) toegekend.

Overzicht van kwetsbaarheden

• Overzicht van kwetsbaarheden

  Informatie over kwetsbare, onaangetaste en vaste software is beschikbaar in Cisco Security Advisory, dat beschikbaar is via de volgende link: .

Overzicht Mitigation Technique

• Overzicht Mitigation Technique

  Cisco-apparaten bieden verschillende tegenmaatregelen voor deze kwetsbaarheden. Beheerders wordt aangeraden deze beveiligingsmethoden te beschouwen als algemene best practices op het gebied van beveiliging van infrastructuurapparaten en het verkeer dat het netwerk doorkruist. In dit gedeelte van het document wordt een overzicht van deze technieken gegeven.

  Cisco IOS-software kan effectieve middelen voor explosiepreventie bieden door middel van .Dit beschermingsmechanisme filtert en laat pakketten vallen die deze kwetsbaarheid proberen te exploiteren.

  Effectieve explosiepreventie kan ook worden geboden door de Cisco ASA 5500 Series adaptieve security applicatie, Cisco Catalyst 6500 Series ASA servicesmodule (ASM) en de Firewall Services Module (FWSM) voor Cisco Catalyst 6500 Series Switches en Cisco 7600 Series routers met .Dit beschermingsmechanisme filtert en verlaagt pakketten die deze kwetsbaarheid proberen te exploiteren.

Risicobeheer

• Risicobeheer

  Organisaties wordt aangeraden hun standaard risicobeoordelings- en risicobeperkingsprocessen te volgen om de potentiële impact van deze kwetsbaarheden te bepalen. Triage verwijst naar het sorteren van projecten en het prioriteren van inspanningen die waarschijnlijk het meest succesvol zullen zijn. Cisco heeft documenten geleverd die organisaties kunnen helpen bij de ontwikkeling van een op risico gebaseerde triagecapaciteit voor hun informatieveiligheidsteams. Risico Triage voor Security Vulnerability aankondigingen en Risk Triage en Prototyping kunnen organisaties helpen herhaalbare security evaluatie- en reactieprocessen te ontwikkelen.

Apparaatspecifieke beperking en identificatie

• Apparaatspecifieke beperking en identificatie

  Waarschuwing: de effectiviteit van elke mitigatietechniek hangt af van specifieke klantsituaties, zoals productmix, netwerktopologie, verkeersgedrag en organisatorische missie. Zoals bij elke configuratiewijziging, evalueer het effect van deze configuratie voordat u de wijziging toepast.

  Voor deze hulpmiddelen is specifieke informatie over beperking en identificatie beschikbaar:

  • Cisco IOS-routers en -Switches
  • Cisco ASA, Cisco ASM en Cisco FWSM-firewalls

  Cisco IOS-routers en -Switches

  Beperking: toegangscontrolelijsten voor douanevervoer

  Om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten, die internetverbindingspunten, partner- en leverancierspunten of VPN-verbindingspunten kunnen omvatten, wordt beheerders aangeraden om transittoegangscontrolelijsten (tACL’s) te implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties. Een tACL-tijdelijke oplossing kan geen volledige bescherming tegen deze kwetsbaarheid bieden wanneer de aanval afkomstig is van een vertrouwd bronadres.

  Het tACL-beleid ontkent onbevoegde IPv4-pakketten op TCP-poorten 5060 en 5061 en UDP-poort 5060 die naar getroffen apparaten worden verzonden. In het volgende voorbeeld, 192.168.60.0/24 en vertegenwoordigt de IP adresruimte die door de beïnvloede apparaten wordt gebruikt. Zorg ervoor dat het vereiste verkeer voor routing en administratieve toegang is toegestaan voordat alle niet-geautoriseerde verkeer wordt ontkend. Aanvullende informatie over tACL’s staat in Transit Access Control Lists: Filtering at Your Edge.

  ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP and UDP ports !
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq 5060
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list 150 deny ip any any
  ! ! !-- Apply tACL to interface in the ingress direction !
  interface GigabitEthernet0/0
   ip access-group 150 in 

  Zie het Cisco Security white paper Identifier the Effectivity of Security Mitigations Using Cisco IOS-software voor meer informatie over het gebruik van de opdrachtregel van Cisco IOS-software om de effectiviteit van bescherming tegen spoofing te meten.

  Zie het Cisco Security white paper Identifier the Effectivity of Security Mitigations Using Cisco IOS-software voor meer informatie over het gebruik van de opdrachtregel van Cisco IOS-software om de effectiviteit van de beveiligingsmethoden voor spoofing te meten.

  Beperken: bescherming tegen spoofing

  Unicast doorsturen van omgekeerde paden

  De kwetsbaarheden die in dit document worden beschreven, kunnen worden benut door gespoofde IP-pakketten. Beheerders kunnen Unicast Reverse Path Forwarding (uRPF) implementeren en configureren als een beschermingsmechanisme tegen spoofing.

  uRPF is ingesteld op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op uRPF om volledige bescherming tegen spoofing te bieden, omdat spoofed-pakketten het netwerk via een uRPF-enabled interface kunnen binnenkomen als er een geschikte retourroute naar het bron-IP-adres bestaat. Beheerders wordt aangeraden om ervoor te zorgen dat de juiste uRPF-modus (los of strikt) wordt geconfigureerd tijdens de implementatie van deze functie, omdat legitiem verkeer dat het netwerk doorkruist kan worden uitgeschakeld. In een ondernemingsmilieu, kan uRPF bij de rand van Internet en de interne toegangslaag op gebruiker-ondersteunende Layer 3 worden toegelaten interfaces.

  Zie Unicast Reverse Path Forwarding Cisco Security-witboek begrijpen voor extra informatie over de configuratie en het gebruik van uRPF.

  IP-bronbeveiliging

  IP Source Guard (IPSG) is een beveiligingsfunctie die IP-verkeer op niet-gerouteerde, Layer 2-interfaces beperkt door pakketten te filteren op basis van de bindende database met DHCP-snooping en handmatig ingestelde IP-bronbindingen. Beheerders kunnen IPSG gebruiken om aanvallen te voorkomen van een aanvaller die probeert pakketten te parasiteren door het IP-bronadres en/of het MAC-adres te vervalsen. Wanneer correct geïmplementeerd en geconfigureerd, biedt IPSG in combinatie met de strikte modus uRPF de meest effectieve bescherming tegen spoofing voor de kwetsbaarheden die in dit document worden beschreven.

  Aanvullende informatie over de implementatie en configuratie van IPSG is te vinden in Configureren DHCP-functies en IP Source Guard.

  Zie het Cisco Security white paper Identifier the Effectivity of Security Mitigations Using Cisco IOS-software voor meer informatie over het gebruik van de opdrachtregel van Cisco IOS-software om de effectiviteit van bescherming tegen spoofing te meten.

  Cisco ASA, Cisco ASM en Cisco FWSM-firewalls

  Beperking: toegangscontrolelijsten voor douanevervoer

  Om het netwerk te beschermen tegen verkeer dat het netwerk ingaat op toegangspunten die internetverbindingspunten, partner- en leverancierverbindingen of VPN-verbindingspunten kunnen omvatten, wordt beheerders aangeraden om tACL’s te implementeren om beleidshandhaving uit te voeren. Beheerders kunnen een tACL construeren door alleen geautoriseerd verkeer expliciet toe te staan om het netwerk op access points binnen te gaan of door geautoriseerd verkeer toe te staan om door het netwerk te reizen in overeenstemming met bestaand beveiligingsbeleid en configuraties. Een tACL-tijdelijke oplossing kan geen volledige bescherming tegen deze kwetsbaarheden bieden wanneer de aanval afkomstig is van een vertrouwd bronadres.

   ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable TCP and UDP ports !
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended permit udp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
   ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended deny udp any 192.168.60.0 0.0.0.255 eq 5060
   ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
    access-list tACL-Policy extended deny ip any 192.168.60.0 0.0.0.255
   ! ! !-- Apply tACL to interfaces in the ingress direction !
    access-group tACL-Policy in interface outside

  Zie Cisco Security white paper Identification of Security Exploits met Cisco ASA, Cisco ASASM en Cisco FWSM Firewalls voor informatie over het gebruik van de opdrachtregel voor Cisco firewalls om de effectiviteit van tACL’s te meten.

  Beperking: bescherming tegen spoofing met Unicast Reverse Path Forwarding

  De kwetsbaarheden die in dit document worden beschreven, kunnen worden benut door gespoofde IP-pakketten. Beheerders kunnen uRPF implementeren en configureren als een beschermingsmechanisme tegen spoofing.

  uRPF is ingesteld op interfaceniveau en kan pakketten detecteren en neerzetten die geen verifieerbaar IP-bronadres hebben. Beheerders dienen niet te vertrouwen op uRPF om volledige bescherming tegen spoofing te bieden, omdat spoofed-pakketten het netwerk via een uRPF-enabled interface kunnen binnenkomen als er een geschikte retourroute naar het bron-IP-adres bestaat. In een ondernemingsmilieu, kan uRPF bij de rand van Internet en bij de interne toegangslaag op gebruiker-ondersteunende Layer 3 interfaces worden toegelaten.

  Zie de opdrachtreferentie voor Cisco security applicatie voor IP-verificatie van het omgekeerde pad en het overzicht van Unicast Reverse Path Forwarding van Cisco Security-whitepaper voor extra informatie over de configuratie en het gebruik van uRPF.

  Zie Cisco Security white paper Identification of Security Exploits met Cisco ASA, Cisco ASASM en Cisco FWSM Firewalls voor informatie over het gebruik van de opdrachtregel voor firewalls om de effectiviteit van spookbeveiliging te meten.

  Beperken: Cisco IPS-handtekeningtabel

  Beheerders kunnen de Cisco IPS-apparaten en servicesmodules gebruiken om bedreigingsdetectie te bieden en pogingen te voorkomen om verschillende van de kwetsbaarheden te exploiteren die in dit document worden beschreven. De volgende tabel geeft een overzicht van de CVE-identificatiecodes en de respectieve Cisco IPS-handtekeningen die gebeurtenissen op potentiële pogingen om deze kwetsbaarheden te exploiteren zullen activeren.

  CVE-id	Handtekeningrelease	Handtekening-ID	Handtekeningnaam	Ingeschakeld	Ernst	Fidelity*	Opmerkingen
  CVE-2014-0662	S764	3571-0	Cisco TelePresence Video Communications Service (SIP) - ontkenning van service	Nee	Gemiddeld	70

  * Fidelity wordt ook aangeduid als Signature Fidelity Rating (SFR) en is de relatieve maat van de nauwkeurigheid van de handtekening (vooraf gedefinieerd). De waarde varieert van 0 tot 100 en wordt ingesteld door Cisco Systems, Inc.

  Beheerders kunnen Cisco IPS-sensoren configureren om een gebeurtenisactie uit te voeren wanneer een aanval wordt gedetecteerd. De geconfigureerde gebeurtenisactie voert preventieve of afschrikkende controles uit om te helpen beschermen tegen een aanval die probeert de kwetsbaarheden te exploiteren die in de vorige tabel zijn vermeld.

  Cisco IPS-sensoren zijn het meest effectief wanneer ze worden ingezet in inline beschermingsmodus in combinatie met het gebruik van een gebeurtenisactie. Automatische bedreigingspreventie voor Cisco IPS 7.x- en 6.x-sensoren die in de inline-beschermingsmodus worden geïmplementeerd, biedt bedreigingspreventie tegen een aanval die probeert te profiteren van de kwetsbaarheid die in dit document wordt beschreven. De preventie van de bedreiging wordt bereikt door een standaardopheffing die een gebeurtenisactie voor teweeggebrachte handtekeningen met een riskRatingValue groter dan 90 uitvoert.

  Voor extra informatie over de risicorating en de berekening van de bedreigingswaardering, zie Risicoratering en bedreigingswaardering: Vereenvoudig IPS-beleidsbeheer.

  Zie Cisco Security Identification of Malicious Traffic Use Cisco Security Manager voor informatie over het gebruik van Cisco Security Manager om de activiteit van een Cisco IPS-sensor te bekijken.

Aanvullende informatie

• DIT DOCUMENT WORDT AANGEBODEN OP EEN ‘AS IS’-BASIS EN IMPLICEERT GEEN ENKEL SOORT GARANTIE, MET INBEGRIP VAN GARANTIES VAN VERKOOPBAARHEID OF GESCHIKTHEID VOOR EEN BEPAALD DOEL. UW GEBRUIK VAN DE INFORMATIE IN HET DOCUMENT OF DE MATERIALEN GEKOPPELD AAN HET DOCUMENT IS GEHEEL OP EIGEN RISICO. CISCO BEHOUDT ZICH HET RECHT VOOR OM DIT DOCUMENT TE ALLEN TIJDE TE WIJZIGEN OF TE ANNULEREN.

Revisiegeschiedenis

• Versie	Beschrijving	doorsnede	Datum
  1	Eerste vrijgave		2014-januari-22 16:00 GMT

  Minder tonen

Cisco-beveiligingsprocedures

• Volledige informatie over het melden van beveiligingskwetsbaarheden in Cisco-producten, het verkrijgen van assistentie bij beveiligingsincidenten en het registreren om beveiligingsinformatie van Cisco te ontvangen, is beschikbaar op de wereldwijde website van Cisco op https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dit omvat instructies voor persvragen over Cisco-beveiligingsmeldingen. Alle Cisco-beveiligingsadviezen zijn beschikbaar op http://www.cisco.com/go/psirt.

Gerelateerde informatie

• Cisco-bulletins voor toegepaste beperking
• Cisco-beveiliging
• Cisco Security IntelliShield Alert Manager-service
• Cisco-handleiding over het versterken van Cisco IOS-apparaten
• Cisco IOS NetFlow - startpagina op Cisco.com
• Cisco IOS NetFlow-witboeken
• NetFlow-prestatieanalyse
• Witboeken voor Cisco Network Foundation-bescherming
• Presentaties voor Cisco Network Foundation-bescherming
• Een security georiënteerde benadering van IP-adressering
• Cisco Firewallproducten - startpagina op Cisco.com
• Cisco Catalyst 6500 Series ASA servicesmodule
• Verbeteringen in Unicast Reverse Path Forwarding voor de Internet Service Provider
• Cisco-inbraakpreventiesysteem
• Cisco-downloads voor IPS-handtekeningen
• Cisco-zoekpagina voor IPS-handtekeningen
• Cisco Security Manager
• Gemeenschappelijke kwetsbaarheden en blootstellingen (CVE)
• Abonneren op Cisco-meldingen van toegepaste beperking