سلوك تجاوز إجراء التحذير من Cisco للوصول الآمن باستخدام إعدادات حظر IPS

مسألة

عند إختبار سلوك التحذير في نهج الوصول (الوصول إلى الإنترنت) على الوصول الآمن من Cisco مع تمكين IPS، يختبر المستخدمون سلوك غير متوقع حيث يظهر إجراء التحذير ليتجاوز إعدادات حظر IPS. وعلى وجه التحديد، عند الوصول إلى عنوان URL المقصود منه تشغيل توقيع IPS (محاولة الوصول إلى الملف server-WebApp /etc/passwd، GID-SID: 1-1122)، يتم عرض صفحة تحذير وبعد تأكيد المستخدم، يتم السماح بالوصول إلى عنوان URL على الرغم من تكوين IPS لحظر حركة المرور.

يتضمن التكوين:

• الإجراء: نعزل

• منع التسلل (IPS): تمكين

• نظام منع التسلل (IPS) / الكتلة

• التوقيع: محاولة الوصول إلى ملف Server-WebApp /etc/passwd

• معرف فئة المورد (GID): 1-1122

تظهر سجلات البحث عن الأنشطة إدخالات متعارضة:

• التبديل داخل الشاشة: (IPS: حظر)

• ويب: (الويب: السماح - عرض صفحة التحذير)

• ويب: (الويب: السماح - بعد التحذير)

البيئة

• المنتج: ميزة الوصول الآمن إلى الإنترنت من Cisco

• التقنية: الوصول الآمن

• تم تكوين نهج الوصول مع إجراء الوصول إلى الإنترنت والتحذير

• IPS ممكن مع إجراء حظر لتوقيعات محددة

قرار

تم تعريف هذا السلوك كعيب في Cisco Secure Access حيث يكون للإجراء "تحذير" في "نهج الوصول" الأولوية على إعدادات حظر IPS. تؤثر المشكلة على التفاعل بين إجراءات "تحذير نهج الوصول" ووظيفة حظر IPS.

خطوات التحقق

للتحقق من هذا السلوك في بيئتك:

الخطوة 1: تكوين نهج الوصول باستخدام إجراء التحذير وتمكين حظر IPS

• ضبط عملية للعزل باستخدام سلوك التحذير

• تمكين منع التسلل (IPS)

• تكوين IPS باستخدام إجراء الكتلة

• تطبيق توقيع محدد (على سبيل المثال، محاولة الوصول إلى ملف Server-WebApp /etc/passWd، GID-SID: 1-1122 )

الخطوة 2: اختبر التكوين بالوصول إلى عنوان URL الذي يشغل توقيع IPS

https://example.com/etc/passwd

الخطوة 3: راقب السلوك

• سيتم عرض صفحة التحذير للمستخدم

• يمكن للمستخدم المتابعة بعد تأكيد التحذير

• سيتم السماح بالوصول إلى عنوان URL على الرغم من تكوين كتلة IPS

الخطوة 4: فحص سجلات البحث عن النشاط

• التحقق من وجود كل من إدخالات حظر IPS والسماح بويب

• تأكيد إدخالات السجل المتعارضة التي تشير إلى الخطأ

الحالة الحالية

تم تأكيد هذا السلوك كعيب حيث يتخطى إجراء التحذير إعدادات كتلة IPS بالتصميم في التطبيق الحالي. يحدث السلوك نفسه مع توقيعات IPS بخلاف GID-SID: 1-1122، الإشارة إلى أن هذه مشكلة نظامية تؤثر على جميع توقيعات IPS عند تكوين إجراءات التحذير.

ولم يتم بعد تحديد خطة تصحيح وجدول زمني لهذا العيب. يجب على المؤسسات التي تواجه هذه المشكلة تقييم سياساتها الأمنية والنظر في عمليات تكوين بديلة في حالة الحاجة إلى حظر صارم ل IPS.

السبب

السبب الجذري هو خلل في Cisco Secure Access حيث تكون الأولوية لمعالجة إجراء التحذير الخاص بنهج الوصول على تنفيذ حظر IPS. يسمح هذا الخلل في التصميم للمستخدمين بتجاوز عناصر التحكم في أمان IPS من خلال آلية تأكيد التحذير، مما يؤدي إلى إبطال وظيفة كتلة IPS بشكل فعال عند تكوين إجراءات التحذير.

يقترن معرف تصحيح الأخطاء من Cisco CSCwt39270 بهذه الحالة، رغم أن العلاقة المحددة بين هذا الخطأ وسلوك التحذير ضد IPS الذي تمت ملاحظته تتطلب المزيد من التحقيق.

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco