NetFlow Collection Engine でのデフォルト パスワード

Cisco CNS NetFlow Collection Engine は、NetFlow をサポートするルータやスイッチなどのデバイスの NetFlow アカウンティング データの収集と監視に使用されます。このデータを使用すると、ネットワーク ベースラインを確立できます。このネットワーク ベースラインと比較することで、Denial of service（DoS; サービス拒否）攻撃、ワーム、その他の悪意ある活動などの不正な活動を簡単に検出できます。

NFC は、サポート対象となる UNIX プラットフォームにインストールされます。この製品をインストールすると、デフォルトの Web ベースのユーザ アカウント nfcuser が作成されます。このアカウントのパスワードは nfcuser であり、アプリケーションのメンテナンス、設定、およびトラブルシューティングを行うために必要になります。6.0 より前のバージョンの Linux インストーラでは、オペレーティング システム上にも nfcuser という名前のローカル ユーザが作成されます。デフォルトのパスワードはユーザ名と同じです。このユーザがすでに存在する場合、Linux インストーラはパスワードをユーザ名と同じに変更します。

この問題は、Cisco Bug ID CSCsh75038 (登録ユーザ専用)に記述されています。

Cisco では、Common Vulnerability Scoring System（CVSS）に基づき、このアドバイザリで説明されている脆弱性のスコアを評価しました。

Cisco では基本スコアと現状スコアを評価します。お客様はこれらを用いて環境評価スコア （Environmental Score） を算出し、個々のネットワークにおける脆弱性の影響度を導き出すことができます。

Cisco PSIRT は、すべてのケースにおける重みを「標準」に設定します。特定の脆弱性の環境的影響を判断する際には、重みパラメータを適用することを推奨します。

CVSS は、脆弱性の重大度を伝える標準ベースのスコア評価方式であり、対応の緊急度や優先度を判断するのに役立ちます。

Cisco は以下の URL にて CVSS に関する FAQ を提供しています。

http://www.cisco.com/web/about/security/intelligence/cvss-qandas.html にアクセスしてください。

また Cisco は個々のネットワークにおける環境影響度を算出する CVSS 計算ツールを以下の URL にて提供しています。

https://sec.cloudapps.cisco.com/security/center/cvssCalculator.x

リリース 6.0 以降では、この問題への対応策が講じられています。アプリケーションのインストール時、または 6.0 より後のバージョンへのアップグレード時に、次の例で示すように、Web ベースの nfcuser アカウントのパスワードを変更するよう求めるプロンプトがユーザに対して表示されます。これは Web ユーザとパスワードに対してのみ適用されます。回避策セクションの最後に示されているように、Linux ホストでは、ホスト オペレーティング システムの nfcuser を手動で変更する必要があります。Solaris へのインストールでは、常にインストールの前にローカル nfcuser を作成しておく必要があるので、このアドバイザリは Web ベースのユーザ アカウントのみが対象になります。Solaris または Linux にバージョン 6.0 以降の NFC をインストールする場合は、インストーラを実行する前に、ホスト オペレーティング システムに nfcuser アカウントを作成しておく必要があります。

6.0 より前のバージョンの NFC では、次の手順を使用して Web ユーザを変更できます。

次に示すように、${NFC_DIR}/config/auth.config に保存されているファイル認証パラメータを編集します。nfc-user フィールドは変更可能です。nfc-password には強力なパスワードを選択する必要があります。

NFC {
    com.cisco.nfc.collector.web.auth.SimpleLoginModule required nfc-user="nfcuser" nfc-password="nfcuser";
};

次に、nfcuser として、NFC アプリケーションを停止し、再起動します。この操作は、次の例に示すように、nfcollector コマンドを使用して行います。

# su - nfcuser

$ /opt/CSCOnfc/bin/nfcollector stop all
nfcxml: Not Running
collection: Not Running
re: Not Running; autostart not configured
web: Not Running

$ /opt/CSCOnfc/bin/nfcollector start all
This product contains cryptographic features and is subject to
United States and local country laws governing import, export,
transfer and use. Delivery of Cisco cryptographic products does
not imply third-party authority to import, export, distribute
or use encryption. Importers, exporters, distributors and users
are responsible for compliance with U.S. and local country laws.

By using this product you agree to comply with applicable laws
and regulations. If you are unable to comply with U.S. and local
laws, return this product immediately.

A summary of U.S. laws governing Cisco cryptographic products may be
found at: http://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by sending email
to export@cisco.com.

nfcxml: Running (pid: 6598)
collection: Running (pid: 6606)
re: Not Running; autostart not configured
web: Running (pid: 6618)

また、バージョン 6.0 より前の NFC を Linux にインストールする場合は、次の例に示すように、passwd コマンドを使用して nfcuser パスワードを変更します。

# passwd nfcuser
Changing password for user nfcuser.
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.

ローカル ユーザのパスワードは、Web ユーザ アカウントのパスワードと一致させる必要がないことに注意してください。バージョン 6.0 にアップグレードする際には、UI で使用する新しい nfcuser のパスワードを指定するよう求めるプロンプトが自動的に表示されます。その場合でも、ホスト オペレーティング システムの nfcuser のパスワードは、上で説明したように変更する必要があります。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。