Cómo responde Cisco Secure IDS al virus Nimba

Opciones de descarga

  • PDF     (87.6 KB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (84.1 KB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (68.2 KB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:19 de enero de 2006
ID del documento:13871

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento explica cómo el Sistema Seguro de Detección de Intrusos (IDS) de Cisco identifica y previene ataques del gusano Nimda (también conocido como el Virus de Concepto contra el servidor Web). El complejo funcionamiento técnico del gusano está fuera del alcance de este boletín y se encuentra documentado en otros materiales. Una de las mejores descripciones técnicas del gusano Nimda puede encontrarse en CERT® Advisory CA-2001-26 Nimda Worm icon_popup_short.gif.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

Convenciones

For more information on document conventions, refer to the Cisco Technical Tips Conventions.

Antecedentes

El gusano Nimda es un gusano y virus híbridos que se está propagando agresivamente en Internet. Para comprender Nimda y las capacidades de Cisco IDS para mitigar su propagación, es importante definir estos dos términos:

  • Gusano: se refiere a un código maligno que se propaga automáticamente sin intervención humana.

  • Virus se refiere al código malicioso que se propaga a través de algún tipo de intervención humana, como cuando se abre un correo electrónico, se navega por un sitio web infectado o se ejecuta manualmente un archivo infectado.

El gusano Nimda es en realidad un híbrido que exhibe características tanto de un gusano como de un virus. Nimda infecta de múltiples maneras, la mayoría de las cuales requieren de la intervención humana. Cisco IDS Host Sensor bloquea los métodos de infección similares a gusanos que se propagan a través de vulnerabilidades en Internet Information Server (IIS) de Microsoft. Cisco IDS no bloquea los métodos de infección manuales similares a los virus, como cuando abre un archivo adjunto de correo electrónico, navega por un sitio web infectado o ejecuta manualmente un archivo infectado.

Cisco IDS Host Sensor brinda protección contra Nimda

El sensor de host IDS de Cisco evita los ataques transversales de directorios, que incluyen los que utiliza el gusano Nimda. Cuando el gusano intenta poner en peligro un servidor web protegido con IDS de Cisco, el ataque falla y el servidor no se ve comprometido.

Estas reglas del sensor de host IDS de Cisco impiden el éxito del gusano Nimda:

  • IIS Directory Traversal (cuatro reglas)

  • Salto de directorio IIS y Ejecución de código (cuatro reglas)

  • Salto de directorio IIS con doble codificación hexadecimal (cuatro reglas)

Cisco IDS Host Sensor también defiende contra los cambios no autorizados en el contenido web, por lo que no permite que el gusano modifique las páginas web para propagarse a otros servidores.

Cisco IDS cumple con las mejores prácticas de seguridad estándar para proteger los servidores Web contra Nimda. Estas prácticas recomendadas exigen no leer correo electrónico ni navegar por la Web desde un servidor web de producción, así como no tener redes compartidas abiertas en un servidor. El sensor de host IDS de Cisco evita que el servidor web se vea comprometido a través de ataques HTTP e IIS. Las prácticas recomendadas mencionadas garantizan que el gusano Nimda no llegue al servidor de la Web por algún medio manual.

El sensor de red IDS de Cisco identifica al virus Nimda

Cisco IDS Network Sensor identifica ataques de aplicaciones web, entre los que se incluyen los que utiliza el gusano Nimda. El sensor de red puede identificar ataques y proporcionar detalles sobre los hosts afectados o comprometidos para aislar la infección de Nimda.

Este sensor de red IDS de Cisco alarma el incendio:

  • WWW WinNT cmd.exe Access (SigID 5081)

  • Decodificación doble de IIS CGI (SigID 5124)

  • Ataque Unicode WWW IIS (SigID 5114)

  • Ataque de ejecución punto a punto de IIS (ID de señalización 3215)

  • Ataque de ejecución punto a punto de IIS (ID de señalización 3216)

Los operadores no ven una alarma que identifique a Nimda por su nombre. Ven una serie de alarmas señaladas mientras Nimda intenta diferentes aprovechamientos para comprometer el objetivo. Las alarmas identifican la dirección de origen de los hosts que se han visto comprometidos y que deben aislarse de la red, limpiarse y parchearse.

Cursos de acción recomendados

Siga estos pasos para protegerse del gusano Nimda:

  1. Aplique las últimas actualizaciones de Microsoft Outlook, Outlook Express, Internet Explorer e IIS disponibles en Microsoft icon_popup_short.gif.

  2. Actualice su software de escaneo de virus con el último parche para mitigar el esparcimiento del virus.

    Nota: Puede descargar el parche de virus más reciente para proteger su PC de la infección. Si su PC ya ha sido infectado, este parche de virus le permite analizar manualmente el disco duro de su PC y limpiar la infección de la máquina.

  3. Implemente Cisco IDS para mitigar la amenaza, contener la infección y proteger los servidores.

Información Relacionada

¿Resultó útil este documento?

FeedbackComentarios

Contacte a Cisco

Este documento se aplica a estos productos