Cisco Applied Mitigation Bulletin-
Dieses Applied Mitigation Bulletin ist ein Begleitdokument zu den folgenden PSIRT-Sicherheitsempfehlungen:
- Beratungs-ID: cisco-sa-20120926-sip
- Beratungs-ID: cisco-sa-20120926-cucm
In diesem Dokument werden Identifizierungs- und Eindämmungstechniken vorgestellt, die Administratoren auf Cisco Netzwerkgeräten implementieren können.
-
Es besteht eine Schwachstelle in Cisco Produkten, die das Session Initiation Protocol (SIP) verarbeiten. Die folgenden Unterabschnitte fassen die Schwachstelle zusammen:
Sicherheitslücke in der Cisco Unified Communications Manager Session Initiation Protocol (SIP)-Implementierung: Diese Sicherheitslücke kann per Fernzugriff ausgenutzt werden, ohne dass eine Authentifizierung erforderlich ist und die Endbenutzer nicht eingreifen müssen. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann eine Denial of Service (DoS)-Bedingung verursachen. Wiederholte Versuche, diese Schwachstelle auszunutzen, könnten zu einem anhaltenden DoS führen
bedingung. Die Angriffsvektoren zur Ausnutzung bestehen aus IPv4- und IPv6-Paketen, die die folgenden TCP- und UDP-Ports verwenden:- SIP über TCP-Port 5060
- SIP Transport Layer Security (TLS) mit TCP-Port 5061
- SIP mit UDP-Port 5060
Ein Angreifer könnte die Schwachstelle mithilfe gefälschter Pakete ausnutzen.
Sicherheitslücke in der SIP-Implementierung (Session Initiation Protocol) in der Cisco IOS Software und Cisco IOS XE Software: Diese Sicherheitslücke kann ohne Authentifizierung und ohne Benutzerinteraktion per Fernzugriff ausgenutzt werden. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann eine DoS-Bedingung verursachen. Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen. Die Angriffsvektoren zur Ausnutzung bestehen aus IPv4- und IPv6-Paketen, die die folgenden Protokolle und Ports verwenden:
- SIP über TCP-Port 5060
- SIP TLS über TCP-Port 5061
- SIP mit UDP-Port 5060
Ein Angreifer könnte die Schwachstelle mithilfe gefälschter Pakete ausnutzen.
-
Der Schwachstelle in den beiden Advisories wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2012-3949 zugewiesen.
Informationen zu anfälliger, nicht betroffener und fest installierter Software finden Sie in den Cisco Security Advisories unter den folgenden Links:
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120926-sip
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20120926-cucm
-
Cisco Geräte bieten verschiedene Gegenmaßnahmen für diese Schwachstelle. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.
Die Cisco IOS Software bietet mithilfe der folgenden Methoden einen effektiven Schutz vor Exploits:
- InfrastrukturZugriffskontrolllisten (iACLs)
- Transit-Zugriffskontrolllisten (tACLs)
- Unicast Reverse Path Forwarding (URPF)
- IP Source Guard (IPSG)
Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstelle auszunutzen, und überprüfen die Quell-IP-Adresse von.
Die ordnungsgemäße Bereitstellung und Konfiguration von uRPF bietet einen effektiven Schutz vor Angriffen, die Pakete mit gefälschten Quell-IP-Adressen verwenden. uRPF sollte so nahe wie möglich an allen Datenverkehrsquellen bereitgestellt werden.
Die ordnungsgemäße Bereitstellung und Konfiguration von IPSG bietet einen effektiven Schutz vor Spoofing-Angriffen auf der Zugriffsebene.
Die Cisco Adaptive Security Appliance der Serie ASA 5500, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 bieten ebenfalls eine effektive Exploit-Abwehr. Dazu werden folgende Funktionen verwendet:
- iACL
- tACL
- uRPF
Diese Schutzmechanismen filtern und löschen Pakete, die versuchen, diese Schwachstelle auszunutzen, und überprüfen die Quell-IP-Adresse von.
Cisco IOS NetFlow-Datensätze bieten Transparenz für netzwerkbasierte Exploit-Versuche.
Die Firewalls Cisco IOS Software, Cisco ASA, Cisco ASASM und Cisco FWSM bieten Transparenz durch Syslog-Meldungen und Zählerwerte, die in der Ausgabe der show-Befehle angezeigt werden.
Die effektive Nutzung von Cisco Intrusion Prevention System (IPS)-Ereignisaktionen bietet Transparenz und Schutz vor Angriffen, die diese Schwachstelle ausnutzen.
Der Cisco Security Manager bietet außerdem Transparenz für Vorfälle, Abfragen und Ereignisberichte.
-
Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstelle anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.
-
Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:
- Cisco IOS-Router und -Switches
- Cisco IOS NetFlow und Cisco IOS Flexible NetFlow
- Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
- Cisco Security Manager
Cisco IOS-Router und -Switches
Eindämmung: Infrastruktur-Zugriffskontrolllisten
Um Infrastrukturgeräte zu schützen und das Risiko, die Auswirkungen und die Effektivität direkter Angriffe auf die Infrastruktur zu minimieren, sollten Administratoren Infrastruktur-Zugriffskontrolllisten (iACLs) implementieren, um die Durchsetzung von Richtlinien für den an Infrastrukturgeräte gesendeten Datenverkehr zu ermöglichen. Administratoren können eine iACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen an die Geräte der Infrastruktur gesendet wird. Um einen maximalen Schutz für Infrastrukturgeräte zu gewährleisten, sollten bereitgestellte iACLs in Eingangsrichtung auf alle Schnittstellen angewendet werden, für die eine IP-Adresse konfiguriert wurde. Eine iACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.
Die iACL-Richtlinie verweigert nicht autorisierte SIP-Pakete auf den TCP- und UDP-Ports 5060 und SIP-TLS auf dem TCP-Port 5061, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8:1:100::1 gelten als vertrauenswürdige Quellen, die Zugriff benötigen auf die betroffenen Geräte übertragen werden. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird. Wenn möglich, sollte sich der Infrastruktur-Adressraum vom Adressraum unterscheiden, der für Benutzer- und Service-Segmente verwendet wird. Mit dieser Adressierungsmethode können Sie iACLs erstellen und bereitstellen.
Weitere Informationen zu iACLs finden Sie unter Protecting Your Core: Infrastructure Protection Access Control Lists (Schützen Ihres Kerns: Zugriffskontrolllisten für Infrastrukturschutz).
ip access-list extended Infrastructure-ACL-Policy !
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable TCP and UDP ports
! permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
! deny tcp any 192.168.60.0 0.0.0.255 eq 5060 deny tcp any 192.168.60.0 0.0.0.255 eq 5061 deny udp any 192.168.60.0 0.0.0.255 eq 5060 !
!-- Explicit deny ACE for traffic sent to addresses configured within
!-- the infrastructure address space
! deny ip any 192.168.60.0 0.0.0.255 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
!
!-- Create the corresponding IPv6 tACL
! ipv6 access-list IPv6-Infrastructure-ACL-Policy !
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable protocols and ports
! permit tcp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5060 permit tcp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5061 permit udp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5060 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks to global and
!-- link local addresses
! deny tcp any 2001:DB8:1:60::/64 eq 5060 deny tcp any 2001:DB8:1:60::/64 eq 5061 deny udp any 2001:DB8:1:60::/64 eq 5060 !
!-- Permit other required traffic to the infrastructure address
!-- range and allow IPv6 Neighbor Discovery packets, which
!-- include Neighbor Solicitation packets and Neighbor
!-- Advertisement packets
! permit icmp any any nd-ns permit icmp any any nd-na !
!-- Explicit deny for all other IPv6 traffic to the global
!-- infrastructure address range
! deny ipv6 any 2001:DB8:1:60::/64 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic
!-- in accordance with existing security policies and configurations
!
!
!-- Apply tACLs to interfaces in the ingress direction
! interface GigabitEthernet0/0 ip access-group Infrastructure-ACL-Policy in ipv6 traffic-filter IPv6-Infrastructure-ACL-Policy inBeachten Sie, dass das Filtern mit einer Schnittstellenzugriffsliste die Übertragung von nicht erreichbaren ICMP-Nachrichten zurück an die Quelle des gefilterten Datenverkehrs auslöst. Das Generieren dieser Nachrichten könnte den unerwünschten Effekt einer erhöhten CPU-Auslastung auf dem Gerät haben. In Cisco IOS-Software ist nicht-erreichbare Generation ICMP auf ein Paket alle 500 Millisekunden standardmäßig begrenzt. Die Erzeugung von nicht erreichbaren ICMP-Nachrichten kann mit dem Schnittstellenkonfigurationsbefehl no ip unreachables deaktiviert werden. Die Durchsatzbegrenzung "ICMP unreachable" kann mithilfe des globalen Konfigurationsbefehls ip icmp rate-limit unreachable interval-in-ms vom Standardwert geändert werden.
Identifikation: Infrastruktur-Zugriffskontrolllisten
Nachdem der Administrator die iACL auf eine Schnittstelle angewendet hat, identifizieren die Befehle show ip access-lists und show ipv6 access-list die Anzahl der SIP-Pakete auf dem TCP- und UDP-Port 5060 sowie SIP-TLS auf dem TCP- und UDP-Port 5061, die auf Schnittstellen gefiltert wurden, auf die die iACL angewendet wurde. Administratoren sollten gefilterte Pakete untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen. Beispielausgabe für show ip access-lists Infrastructure-ACL-Policy:
router#show ip access-lists Infrastructure-ACL-Policy Extended IP access list Infrastructure-ACL-Policy 10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 (60 matches) 20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061 (41 matches) 30 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 (188 matches) 40 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 (9 matches) 50 deny tcp any 192.168.60.0 0.0.0.255 eq 5061 (18 matches) 60 deny udp any 192.168.60.0 0.0.0.255 eq 5060 (34 matches) 70 deny ip any 192.168.60.0 0.0.0.255 (17 matches) router#Im vorherigen Beispiel hat access list Infrastructure-ACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen werden:
- 9 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 40
- 18 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 50
- 34 SIP-Pakete auf UDP-Port 5060 für ACE-Leitung 60
router#show ipv6 access-list IPv6-Infrastructure-ACL-Policy IPv6 access list IPv6-Infrastructure-ACL-Policy permit tcp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5060 (71 matches) sequence 10 permit tcp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5061 (85 matches) sequence 20 permit udp host 2001:DB8:1:100::1 2001:DB8:1:60::/64 eq 5060 (512 matches) sequence 30 deny tcp any 2001:DB8:1:60::/64 eq 5060 (58 matches) sequence 40 deny tcp any 2001:DB8:1:60::/64 eq 5061 (81 matches) sequence 50 deny udp any 2001:DB8:1:60::/64 eq 5060 (216 matches) sequence 60 permit icmp any any nd-ns (80 matches) sequence 70 permit icmp any any nd-na (80 matches) sequence 80 deny ipv6 any 2001:DB8:1:60::/64 (5 matches) sequence 90Im vorherigen Beispiel wurde die Zugriffsliste IPv6-Infrastructure-ACL-Policy wie folgt verworfen:
- 58 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 40
- 81 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 50
- 216 SIP-Pakete am UDP-Port 5060 für ACE-Leitung 60
Weitere Informationen zur Untersuchung von Vorfällen mithilfe von ACE-Zählern und Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Applied Intelligence.
Administratoren können den Embedded Event Manager verwenden, um eine Instrumentierung bereitzustellen, wenn bestimmte Bedingungen erfüllt sind, z. B. ACE-Zählerzugriffe. Das Whitepaper Embedded Event Manager in a Security Context von Applied Intelligence enthält weitere Informationen zur Verwendung dieser Funktion.
Eindämmung: Transit-Zugriffskontrolllisten
Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren Transit-Zugriffskontrolllisten (tACLs) bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.
Die tACL-Richtlinie verweigert nicht autorisierte SIP IPv4- und IPv6-Pakete an den TCP-Ports 5060 und 5061 sowie an den UDP-Port 5060, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.
Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.
!
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable TCP and UDP ports
!
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061 access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
!
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5061 access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq 5060 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
!-- Explicit deny for all other IP traffic
!
access-list 150 deny ip any any !
!-- Create the corresponding IPv6 tACL
! ipv6 access-list IPv6-Transit-ACL-Policy !
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable TCP and UDP ports
! permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5061 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060
!
!-- The following vulnerability-specific ACEs can
!-- aid in identification of attacks to global and
!-- link-local addresses
! deny tcp any 2001:DB8:1:60::/64 eq 5060 deny tcp any 2001:DB8:1:60::/64 eq 5061 deny udp any 2001:DB8:1:60::/64 eq 5060
!
!-- Permit or deny all other Layer 3 and Layer 4 traffic in
!-- accordance with existing security policies and configurations
!-- and allow IPv6 neighbor discovery packets, which
!-- include neighbor solicitation packets and neighbor
!-- advertisement packets
! permit icmp any any nd-ns permit icmp any any nd-na !
!-- Explicit deny for all other IPv6 traffic
!
deny ipv6 any any !
!
!-- Apply tACLs to interfaces in the ingress direction
!
interface GigabitEthernet0/0 ip access-group 150 in ipv6 traffic-filter IPv6-Transit-ACL-Policy inBeachten Sie, dass das Filtern mit einer Schnittstellenzugriffsliste die Übertragung von nicht erreichbaren ICMP-Nachrichten zurück an die Quelle des gefilterten Datenverkehrs auslöst. Das Generieren dieser Nachrichten könnte den unerwünschten Effekt einer erhöhten CPU-Auslastung auf dem Gerät haben. In Cisco IOS-Software ist nicht-erreichbare Generation ICMP auf ein Paket alle 500 Millisekunden standardmäßig begrenzt. Die Erzeugung von nicht erreichbaren ICMP-Nachrichten kann mithilfe der Schnittstellenkonfigurationsbefehle no ip unreachables und no ipv6 unreachables deaktiviert werden. Die Durchsatzbegrenzung "ICMP unreachable" kann mithilfe der globalen Konfigurationsbefehle ip icmp rate-limit unreachable interval-in-ms und ipv6 icmp error-interval-interval-in-ms vom Standard geändert werden.
Identifizierung: Transit-Zugriffskontrolllisten
Nachdem der Administrator die tACL auf eine Schnittstelle angewendet hat, identifizieren die Befehle show ip access-lists und show ipv6 access-list die Anzahl der SIP IPv4- und IPv6-Pakete auf den TCP-Ports 5060 und 5061 sowie dem UDP-Port 5060, die gefiltert wurden. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen. Beispielausgabe für show ip access-lists 150 und show ipv6 access-list IPv6-Transit-ACL-Policy:
router#show ip access-lists 150 Extended IP access list 150 10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061 30 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060 40 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 (57 matches) 50 deny tcp any 192.168.60.0 0.0.0.255 eq 5061 (40 matches) 60 deny udp any 192.168.60.0 0.0.0.255 eq 5060 (18 matches) 70 deny ip any any router#Im vorherigen Beispiel hat die Zugriffsliste 150 die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:
- 57 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 40
- 40 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 50
- 18 SIP-Pakete am UDP-Port 5060 für ACE-Leitung 60
router#show ipv6 access-list IPv6-Transit-ACL-Policy IPv6 access list IPv6-Transit-ACL-Policy permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 (55 matches) sequence 10 permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5061 (38 matches) sequence 20 permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 (210 matches) sequence 30 deny tcp any 2001:DB8:1:60::/64 eq 5060 (18 matches) sequence 40 deny tcp any 2001:DB8:1:60::/64 eq 5061 (21 matches) sequence 50 deny udp any 2001:DB8:1:60::/64 eq 5060 (87 matches) sequence 60 permit icmp any any nd-ns (41 matches) sequence 70 permit icmp any any nd-na (41 matches) sequence 80 deny ipv6 any any (21 matches) sequence 90Im vorherigen Beispiel hat die Zugriffsliste IPv6-Transit-ACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:
- 18 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 40
- 21 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 50
- 87 SIP-Pakete am UDP-Port 5060 für ACE-Leitung 60
Weitere Informationen zur Untersuchung von Vorfällen mithilfe von ACE-Zählern und Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.
Administratoren können den Embedded Event Manager verwenden, um eine Instrumentierung bereitzustellen, wenn bestimmte Bedingungen erfüllt sind, z. B. ACE-Zählerzugriffe. Das Whitepaper Embedded Event Manager in a Security Context von Cisco Security Intelligence Operations enthält weitere Informationen zur Verwendung dieser Funktion.
Identifizierung: Protokollierung der Zugriffsliste
Die Option log and log-input access control list (ACL) bewirkt, dass Pakete protokolliert werden, die bestimmten ACEs entsprechen. Die Option log-input ermöglicht die Protokollierung der Eingangsschnittstelle zusätzlich zu den IP-Adressen und -Ports für die Paketquelle und das Ziel.
Achtung: Die Protokollierung von Zugriffskontrolllisten kann sehr CPU-intensiv sein und muss mit äußerster Vorsicht verwendet werden. Faktoren, die die Auswirkungen der ACL-Protokollierung auf die CPU verstärken, sind die Protokollgenerierung, die Protokollübertragung und das Prozess-Switching für die Weiterleitung von Paketen, die mit protokollfähigen ACEs übereinstimmen.
Bei Cisco IOS-Software kann der Befehl ip access-list logging interval interval-in-ms die Auswirkungen des durch die IPv4-ACL-Protokollierung induzierten Prozess-Switching begrenzen. Der Befehl logging rate-limit rate-per-second [except loglevel] begrenzt die Auswirkungen der Protokollgenerierung und -übertragung.
Die CPU-Auswirkungen der ACL-Protokollierung können mithilfe optimierter ACL-Protokollierung in der Hardware der Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 mit der Supervisor Engine 720 oder der Supervisor Engine 32 berücksichtigt werden.
Weitere Informationen zur Konfiguration und Verwendung der ACL-Protokollierung finden Sie im Whitepaper Understanding Access Control List Logging Cisco Security.
Eindämmung: Spoofing-Schutz
Unicast Reverse Path Forwarding
Die in diesem Dokument beschriebene Schwachstelle kann durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können Unicast Reverse Path Forwarding (uRPF) als Schutzmechanismus gegen Spoofing bereitstellen und konfigurieren.
uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. Den Administratoren wird empfohlen, während der Bereitstellung dieser Funktion sicherzustellen, dass der geeignete uRPF-Modus (flexibel oder strikt) konfiguriert wird, da legitimer Datenverkehr, der das Netzwerk durchquert, verworfen werden kann. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene an den benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.
Identifizierung: Spoofing-Schutz mit Unicast Reverse Path Forwarding
Bei ordnungsgemäßer Bereitstellung und Konfiguration von uRPF in der gesamten Netzwerkinfrastruktur können Administratoren den internen Steckplatz/Port des Schnittstellentyps "show cef", die show ip interface, die show cef drop-Funktion, die Funktion "show ip cef switching statistics" und die show ip traffic-Befehle verwenden, um die Anzahl der Pakete zu identifizieren, die uRPF verworfen hat.
Hinweis: Ab Version 12.4(20)T der Cisco IOS-Software wurde der Befehl show ip cef switching durch die Funktion show ip cef switching statistics ersetzt.
Hinweis: Der Befehl show | Regex starten und Befehl anzeigen | include regex-Befehlsmodifizierer werden in den folgenden Beispielen verwendet, um die Ausgabe zu minimieren, die Administratoren analysieren müssen, um die gewünschten Informationen anzuzeigen. Weitere Informationen zu Befehlsmodifizierern finden Sie in den Abschnitten show command in der Cisco IOS Configuration Fundamentals Command Reference.
router#show cef interface GigabitEthernet 0/0 internal | include drop ip verify: via=rx (allow default), acl=0, drop=18, sdrop=0 router#
Hinweis: show cef interface type slot/port internal ist ein ausgeblendeter Befehl, der vollständig in die Kommandozeile eingegeben werden muss. Die Befehlsvervollständigung steht dafür nicht zur Verfügung.
router#show ip interface GigabitEthernet 0/0 | begin verify IP verify source reachable-via RX, allow default, allow self-ping 18 verification drops 0 suppressed verification drops router# router#show cef drop CEF Drop Statistics Slot Encap_fail Unresolved Unsupported No_route No_adj ChkSum_Err RP 27 0 0 18 0 0 router#
router#show ip cef switching statistics feature IPv4 CEF input features:
Path Feature Drop Consume Punt Punt2Host Gave route
RP PAS uRPF 18 0 0 0 0
Total 18 0 0 0 0 -- CLI Output Truncated -- router# router#show ip traffic | include RPF 18 no route, 18 unicast RPF, 0 forced drop router#In der vorherigen show cef interface GigabitEthernet 0/0 intern, show ip interface GigabitEthernet 0/0, show cef drop, show ip cef switching statistics feature, and show ip traffic example, uRPF has drop 18 IP packages received global on all interfaces with uRPF configured due the inability to Überprüfen Sie die Quelladresse der IP-Pakete in der Weiterleitungsdatenbank von Cisco Express Forwarding.
Weitere Informationen finden Sie im Funktionsleitfaden zur Unicast Reverse Path Forwarding Loose Mode.
Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.
IP-Quellschutz
IP Source Guard (IPSG) ist eine Sicherheitsfunktion, die den IP-Datenverkehr an nicht gerouteten Layer-2-Schnittstellen beschränkt, indem Pakete auf Basis der DHCP-Snooping-Bindungsdatenbank und manuell konfigurierter IP-Source-Bindings gefiltert werden. Administratoren können IPSG verwenden, um Angriffe eines Angreifers zu verhindern, der versucht, Pakete durch Fälschung der Quell-IP-Adresse und/oder der MAC-Adresse zu fälschen. Bei ordnungsgemäßer Bereitstellung und Konfiguration bietet IPSG in Verbindung mit dem strengen Modus "uRPF" den effektivsten Spoofing-Schutz für die in diesem Dokument beschriebene Schwachstelle.
Weitere Informationen zur Bereitstellung und Konfiguration von IPSG finden Sie unter Konfigurieren der DHCP-Funktionen und von IP Source Guard.
Cisco IOS NetFlow und Cisco IOS Flexible NetFlow
Identifikation: Identifikation des IPv4-Datenverkehrs mit Cisco IOS NetFlow
Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um IPv4-Datenverkehrsflüsse zu identifizieren, die diese Schwachstelle ausnutzen könnten. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen, oder ob es sich um legitime Datenflüsse handelt.
router#show ip cache flow IP packet size distribution (90784136 total packets): 1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480 .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000 512 544 576 1024 1536 2048 2560 3072 3584 4096 4608 .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000
IP Flow Switching Cache, 4456704 bytes 1885 active, 63651 inactive, 59960004 added 129803821 ager polls, 0 flow alloc failures Active flows timeout in 30 minutes Inactive flows timeout in 15 seconds IP Sub Flow Cache, 402056 bytes 0 active, 16384 inactive, 0 added, 0 added to flow 0 alloc failures, 0 force free 1 chunk, 1 chunk added last clearing of statistics never Protocol Total Flows Packets Bytes Packets Active(Sec) Idle(Sec) -------- Flows /Sec /Flow /Pkt /Sec /Flow /Flow TCP-Telnet 11393421 2.8 1 48 3.1 0.0 1.4 TCP-FTP 236 0.0 12 66 0.0 1.8 4.8 TCP-FTPD 21 0.0 13726 1294 0.0 18.4 4.1 TCP-WWW 22282 0.0 21 1020 0.1 4.1 7.3 TCP-X 719 0.0 1 40 0.0 0.0 1.3 TCP-BGP 1 0.0 1 40 0.0 0.0 15.0 TCP-Frag 70399 0.0 1 688 0.0 0.0 22.7 TCP-other 47861004 11.8 1 211 18.9 0.0 1.3 UDP-DNS 582 0.0 4 73 0.0 3.4 15.4 UDP-NTP 287252 0.0 1 76 0.0 0.0 15.5 UDP-other 310347 0.0 2 230 0.1 0.6 15.9 ICMP 11674 0.0 3 61 0.0 19.8 15.5 IPv6INIP 15 0.0 1 1132 0.0 0.0 15.4 GRE 4 0.0 1 48 0.0 0.0 15.3 Total: 59957957 14.8 1 196 22.5 0.0 1.5
SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts
Gi0/0 192.168.10.201 Gi0/1 192.168.60.102 11 0984 13C4 1
Gi0/0 192.168.11.54 Gi0/1 192.168.60.158 06 0911 13C5 3 Gi0/1 192.168.150.60 Gi0/0 10.89.16.226 06 0016 12CA 1
Gi0/0 192.168.13.97 Gi0/1 192.168.60.28 06 0B3E 13C4 5
Gi0/0 192.168.10.17 Gi0/1 192.168.60.97 11 0B89 13C5 1 Gi0/0 10.88.226.1 Gi0/1 192.168.202.22 11 007B 007B 1
Gi0/0 192.168.12.185 Gi0/1 192.168.60.239 11 0BD7 13C4 1 Gi0/0 10.89.16.226 Gi0/1 192.168.150.60 06 12CA 0016 1 router#Im vorherigen Beispiel gibt es mehrere Datenflüsse für SIP an den TCP-Ports 5060 (Hexadezimalwert 13C4) und 5061 (Hexadezimalwert 13C5) und UDP-Port 5060 (Hexadezimalwert 13C4).
Dieser Datenverkehr wird von Adressen im Adressblock 192.168.60.0/24 generiert und an diese gesendet, der von den betroffenen Geräten verwendet wird. Die Pakete in diesen Flows können gefälscht sein und einen Versuch anzeigen, diese Schwachstelle auszunutzen. Den Administratoren wird empfohlen, diese Datenflüsse mit der Basisauslastung für den über den UDP-Port 5060 gesendeten SIP-Datenverkehr zu vergleichen und zu untersuchen, ob sie von nicht vertrauenswürdigen Hosts oder Netzwerken stammen.
Um nur die SIP-Pakete auf TCP-Port 5060 (Hexadezimalwert 13C4) und TCP-Port 5061 (Hexadezimalwert 13C5) anzuzeigen, verwenden Sie den Befehl show ip cache flow. | include SrcIf|_06_.*(13C4|13C5)_ command to display the related Cisco NetFlow records:
TCP-Flowsrouter#show ip cache flow | include SrcIf|_06_.*(13C4|13C5)_ SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts
Gi0/0 192.168.12.110 Gi0/1 192.168.60.163 06 092A 13C5 6
Gi0/0 192.168.11.230 Gi0/1 192.168.60.20 06 0C09 13C4 1
Gi0/0 192.168.11.131 Gi0/1 192.168.60.245 06 0B66 13C4 18
Gi0/0 192.168.13.7 Gi0/1 192.168.60.162 06 0914 13C5 1
Gi0/0 192.168.41.86 Gi0/1 192.168.60.27 06 0B7B 13C5 2 router#Um nur die SIP-Pakete auf UDP-Port 5060 (Hexadezimalwert 13C4) anzuzeigen, verwenden Sie den Befehl show ip cache flow. | include SrcIf|_11_.*(13C4)_ command to display the related Cisco NetFlow records:
UDP-Datenflüsserouter#show ip cache flow | include SrcIf|_11_.*(13C4)_ SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts
Gi0/0 192.168.12.110 Gi0/1 192.168.60.183 11 392A 13C4 6
Gi0/0 192.168.11.230 Gi0/1 192.168.60.220 11 2809 13C4 1
Gi0/0 192.168.13.7 Gi0/1 192.168.60.12 11 1914 13C4 1
Gi0/0 192.168.41.86 Gi0/1 192.168.60.127 11 3B7B 13C4 2 router#Identifikation: Identifikation des IPv6-Datenverkehrs mit Cisco IOS NetFlow
Administratoren können Cisco IOS NetFlow auf Cisco IOS-Routern und -Switches konfigurieren, um IPv6-Datenverkehrsflüsse zu identifizieren, die die in diesem Dokument beschriebene Schwachstelle ausnutzen könnten. Den Administratoren wird empfohlen, Datenflüsse zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen, oder ob es sich um legitime Datenflüsse handelt.
Die folgende Ausgabe stammt von einem Cisco IOS-Gerät, auf dem die Cisco IOS Software 12.4 Mainline Train ausgeführt wird. Die Befehlssyntax variiert je nach Cisco IOS Software-Zügen.
router#show ipv6 flow cache IP packet size distribution (50078919 total packets): 1-32 64 96 128 160 192 224 256 288 320 352 384 416 448 480 .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 512 544 576 1024 1536 2048 2560 3072 3584 4096 4608 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
IP Flow Switching Cache, 475168 bytes 8 active, 4088 inactive, 6160 added 1092984 ager polls, 0 flow alloc failures Active flows timeout in 30 minutes Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 33928 bytes 16 active, 1008 inactive, 12320 added, 6160 added to flow 0 alloc failures, 0 force free 1 chunk, 1 chunk added
SrcAddress InpIf DstAddress OutIf Prot SrcPrt DstPrt Packets 2001:DB...06::201 Gi0/0 2001:DB...28::20 Local 0x11 0x16C4 0x13C4 1464 2001:DB...6A:5BA6 Gi0/0 2001:DB...28::21 Gi0/1 0x3A 0x0000 0x8000 1191 2001:DB...6A:5BA6 Gi0/0 2001:DB...134::3 Gi0/1 0x3A 0x0000 0x8000 1191 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::4 Gi0/1 0x3A 0x0000 0x8000 1192
2001:DB...6A:5BA6 Gi0/0 2001:DB...128::2 Gi0/1 0x06 0x160A 0x13C4 1597 2001:DB...06::201 Gi0/0 2001:DB...128::3 Gi0/1 0x06 0x1610 0x13C5 1001 2001:DB...06::201 Gi0/0 2001:DB...128::4 Gi0/1 0x11 0x1634 0x13C4 1292 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::3 Gi0/1 0x3A 0x0000 0x8000 1155 2001:DB...6A:5BA6 Gi0/0 2001:DB...146::3 Gi0/1 0x3A 0x0000 0x8000 1092 2001:DB...6A:5BA6 Gi0/0 2001:DB...144::4 Gi0/1 0x3A 0x0000 0x8000 1193Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.
Im vorherigen Beispiel gibt es mehrere IPv6-Flows für SIP an den TCP-Ports 5060 (Hexadezimalwert 13C4) und 5061 (Hexadezimalwert 13C5) und UDP-Port 5060 (Hexadezimalwert 13C4).
Die SIP-Pakete auf dem UDP-Port 5060 werden von Adressen im Adressblock 2001:DB8:1:60::/64 bezogen und an Adressen gesendet, die von den betroffenen Geräten verwendet werden. Die Pakete in den UDP-Flows können gefälscht werden und einen Versuch anzeigen, diese Schwachstelle auszunutzen. Den Administratoren wird empfohlen, diese Datenflüsse mit der Basisauslastung für SIP-Datenverkehr auf UDP-Port 5060 zu vergleichen und sie zu untersuchen, um festzustellen, ob sie von nicht vertrauenswürdigen Hosts oder Netzwerken stammen.
Um nur die SIP-Pakete auf den TCP-Ports 5060 (Hexadezimalwert 13C4) und 5061 (Hexadezimalwert 13C5) anzuzeigen, verwenden Sie den show ipv6 flow cache (Durchsatzcache). | include SrcIf|_06_.*(13C4|13C5)_ command to display the related Cisco NetFlow records:
TCP-Flows
router#show ipv6 flow cache | include SrcIf|_06_.*(13C4|13C5)_ SrcAddress InpIf DstAddress OutIf Prot SrcPrt DstPrt Packets 2001:DB...6A:5BA6 Gi0/0 2001:DB...128::2 Gi0/1 0x06 0x160A 0x13C5 1597
2001:DB...06::201 Gi0/0 2001:DB...128::3 Gi0/1 0x06 0x1610 0x13C4 1001 router#Um nur die SIP-Pakete auf den UDP-Ports 5060 (Hexadezimalwert 13C4) anzuzeigen, verwenden Sie den show ipv6 flow cache | include SrcIf|_11_.*(13C4)_ command to display the related Cisco NetFlow records:
UDP-Datenflüsse
router#show ipv6 flow cache | include SrcIf|_11_.*(13C4)_ SrcAddress InpIf DstAddress OutIf Prot SrcPrt DstPrt Packets 2001:DB...06::201 Gi0/0 2001:DB...28::20 Local 0x11 0x16C4 0x13C4 1464
2001:DB...06::201 Gi0/0 2001:DB...128::3 Gi0/1 0x11 0x1610 0x13C5 1001
2001:DB...06::201 Gi0/0 2001:DB...128::4 Gi0/1 0x11 0x1634 0x13C4 1292 router#Identifikation: Identifikation des IPv4-Datenverkehrs mithilfe von Cisco Flexible NetFlow
Cisco IOS Flexible NetFlow wurde in den Cisco IOS Software-Versionen 12.2(31)SB2 und 12.4(9)T eingeführt und verbessert die ursprüngliche Cisco NetFlow-Lösung, indem es die Möglichkeit bietet, die Parameter für die Datenverkehrsanalyse an die spezifischen Anforderungen des Administrators anzupassen. Original Cisco NetFlow verwendet feste sieben Tupel an IP-Informationen, um einen Datenfluss zu identifizieren. Cisco IOS Flexible NetFlow hingegen ermöglicht eine benutzerdefinierte Definition des Datenflusses. Sie vereinfacht die Erstellung komplexerer Konfigurationen für die Datenverkehrsanalyse und den Datenexport durch die Verwendung wiederverwendbarer Konfigurationskomponenten.
Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv4-Datenflüsse basierend auf der Quell-IPv4-Adresse, wie in der Schlüsselfeldaussage match ipv4 source address definiert. Cisco IOS Flexible NetFlow umfasst außerdem nicht-wichtige Feldinformationen zu Quell- und Ziel-IPv4-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.
!
!-- Configure key and nonkey fields
!-- in the user-defined flow record
! flow record FLOW-RECORD-ipv4 match ipv4 source address collect ipv4 protocol collect ipv4 destination address collect transport source-port collect transport destination-port collect interface input collect interface output collect counter packets !
!-- Configure the flow monitor to
!-- reference the user-defined flow
!-- record
! flow monitor FLOW-MONITOR-ipv4 record FLOW-RECORD-ipv4 !
!-- Apply the flow monitor to the interface
!-- in the ingress direction
! interface GigabitEthernet0/0 ip flow monitor FLOW-MONITOR-ipv4 inputDie Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt:
router#show flow monitor FLOW-MONITOR-ipv4 cache format table Cache type: Normal Cache size: 4096 Current entries: 6 High Watermark: 1 Flows added: 9181 Flows aged: 9175 - Active timeout ( 1800 secs) 9000 - Inactive timeout ( 15 secs) 175 - Event aged 0 - Watermark aged 0 - Emergency aged 0 IPV4 SRC ADDR ipv4 dst addr trns src port trns dst port intf input intf output pkts ip prot =============== =============== ============= ============= ========== =========== ===== ======= 192.168.10.201 192.168.60.102 1456 5060 Gi0/0 Gi0/1 1128 6 192.168.11.54 192.168.60.158 4123 5061 Gi0/0 Gi0/1 2212 17 192.168.150.60 10.89.16.226 2567 443 Gi0/0 Gi0/1 13 6 192.168.13.97 192.168.60.28 3451 5061 Gi0/0 Gi0/1 1 6 192.168.10.17 192.168.60.97 4231 5060 Gi0/0 Gi0/1 146 17 10.88.226.1 192.168.202.22 2678 443 Gi0/0 Gi0/1 10567 6 10.89.16.226 192.168.150.60 3562 80 Gi0/0 Gi0/1 30012 6Um nur SIP auf den TCP-Ports 5060 und 5061 anzuzeigen, verwenden Sie die Tabelle mit dem Format des FLOW-MONITOR-IPv4-Cache-Monitors für die Flussüberwachung anzeigen. | IPV4 DST-ADDR einschließen |_6_.*(5060|5061)_, um die zugehörigen NetFlow-Datensätze anzuzeigen.
Um nur SIP auf den UDP-Ports 5060 anzuzeigen, verwenden Sie die Formattabelle für den Flow Monitor FLOW-MONITOR-ipv4-Cache. | IPV4 DST-ADDR einschließen |_17_.*(5060)_, um die zugehörigen NetFlow-Datensätze anzuzeigen.
Weitere Informationen zu Cisco IOS Flexible NetFlow finden Sie im Flexible NetFlow-Konfigurationsleitfaden, Cisco IOS Release 15.1M&T und Cisco IOS Flexible NetFlow-Konfigurationsleitfaden, Version 12.4T.
Identifikation: Identifikation des IPv6-Datenverkehrs mithilfe von Cisco IOS Flexible NetFlow
Die folgende Beispielausgabe stammt von einem Cisco IOS-Gerät, auf dem eine Version der Cisco IOS-Software im 15.1T-Zug ausgeführt wird. Obwohl die Syntax für die Züge 12.4T und 15.0 nahezu identisch sein wird, kann sie je nach verwendeter Cisco IOS-Version leicht variieren. In der folgenden Konfiguration erfasst Cisco IOS Flexible NetFlow Informationen über die Schnittstelle GigabitEthernet0/0 für eingehende IPv6-Datenflüsse basierend auf der IPv6-Quelladresse, wie in der Schlüsselfeldanweisung match ipv6 source address definiert. Cisco IOS Flexible NetFlow bietet darüber hinaus Feldinformationen ohne Schlüssel zu Quell- und Ziel-IPv6-Adressen, Protokollen, Ports (falls vorhanden), Eingangs- und Ausgangsschnittstellen und Paketen pro Datenfluss.!
!-- Configure key and nonkey fields
!-- in the user-defined flow record
! flow record FLOW-RECORD-ipv6 match ipv6 source address collect ipv6 protocol collect ipv6 destination address collect transport source-port collect transport destination-port collect interface input collect interface output collect counter packets !
!-- Configure the flow monitor to
!-- reference the user-defined flow
!-- record
! flow monitor FLOW-MONITOR-ipv6 record FLOW-RECORD-ipv6 !
!-- Apply the flow monitor to the interface
!-- in the ingress direction
! interface GigabitEthernet0/0 ipv6 flow monitor FLOW-MONITOR-ipv6 inputDie Ausgabe des Cisco IOS Flexible NetFlow-Workflows lautet wie folgt:
router#show flow monitor FLOW-MONITOR-ipv6 cache format table Cache type: Normal Cache size: 4096 Current entries: 6 High Watermark: 2 Flows added: 539 Flows aged: 532 - Active timeout ( 1800 secs) 350 - Inactive timeout ( 15 secs) 182 - Event aged 0 - Watermark aged 0 - Emergency aged 0 IPV6 SRC ADDR ipv6 dst addr trns src port trns dst port intf input intf output pkts ip prot ================== ================ ============= ============= ========== =========== ==== ======= 2001:DB...06::201 2001:DB...28::20 123 123 Gi0/0 Gi0/0 17 17 2001:DB...06::201 2001:DB...28::20 1265 5061 Gi0/0 Gi0/0 1237 6 2001:DB...06::201 2001:DB...28::20 1441 5061 Gi0/0 Gi0/0 2346 6 2001:DB...06::201 2001:DB...28::20 1890 5060 Gi0/0 Gi0/0 5009 6 2001:DB...06::201 2001:DB...28::20 2856 5060 Gi0/0 Gi0/0 486 17 2001:DB...06::201 2001:DB...28::20 3012 53 Gi0/0 Gi0/0 1016 17 2001:DB...06::201 2001:DB...28::20 2477 5061 Gi0/0 Gi0/0 1563 17Um die Anzeige der vollständigen 128-Bit-IPv6-Adresse zu ermöglichen, verwenden Sie den Befehl terminal width 132 exec mode.
Um nur SIP auf den TCP-Ports 5060 und 5061 anzuzeigen, verwenden Sie die Tabelle mit dem Cacheformat "show flow monitor FLOW-MONITOR-ipv6". | include IPV6 DST ADDR|_6_.*(5060|5061)_ command to display the related Cisco IOS Flexible NetFlow records.
Um nur SIP auf den UDP-Ports 5060 anzuzeigen, verwenden Sie die Formattabelle für den Flow Monitor FLOW-MONITOR-ipv6. | include IPV6 DST ADDR|_17_.*(5060)_ command to display the related Cisco IOS Flexible NetFlow records.
Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls
Eindämmung: Transit-Zugriffskontrolllisten
Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren tACLs bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.
Die tACL-Richtlinie verweigert nicht autorisierte SIP IPv4- und IPv6-Pakete an den TCP-Ports 5060 und 5061 sowie an den UDP-Port 5060, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellen 192.168.60.0/24 und 2001:DB8:1:60::/64 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird, und die Hosts unter 192.168.100.1 und 2001:DB8::100:1 gelten als vertrauenswürdige Quellen, die Zugriff auf die betroffenen Geräten. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird.
Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.
!
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable TCP and UDP ports
!
access-list tACL-Policy extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0 eq 5060 access-list tACL-Policy extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0 eq 5061 access-list tACL-Policy extended permit udp host 192.168.100.1 192.168.60.0 255.255.255.0 eq 5060 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
!
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5060 access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5061 access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 eq 5060 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
!-- Explicit deny for all other IP traffic
!
access-list tACL-Policy extended deny ip any any !
!-- Create the corresponding IPv6 tACL
!
!-- Include explicit permit statements for trusted sources
!-- that require access on the vulnerable TCP and UDP ports
! ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:db8:1:60::/64 eq 5060 ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1 2001:db8:1:60::/64 eq 5061 ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1 2001:db8:1:60::/64 eq 5060 !
!-- The following vulnerability-specific access control entries
!-- (ACEs) can aid in identification of attacks
! ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5060 ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5061 ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 eq 5060 !
!-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance
!-- with existing security policies and configurations
!
!-- Explicit deny for all other IP traffic
! ipv6 access-list IPv6-tACL-Policy deny ip any any !
!-- Apply tACLs to interfaces in the ingress direction
! access-group tACL-Policy in interface outside access-group IPv6-tACL-Policy in interface outsideIdentifizierung: Transit-Zugriffskontrolllisten
Nachdem die tACL auf eine Schnittstelle angewendet wurde, können Administratoren mit dem Befehl show access-list die Anzahl der SIP-IPv4- und IPv6-Pakete auf den TCP-Ports 5060 und 5061 sowie auf den UDP-Port 5060 identifizieren, die gefiltert wurden. Den Administratoren wird empfohlen, gefilterte Pakete zu untersuchen, um festzustellen, ob es sich dabei um Versuche handelt, diese Schwachstelle auszunutzen. Beispielausgabe für show access-list tACL-Policy und show access-list IPv6-tACL-Policy:
firewall#show access-list tACL-Policy access-list tACL-Policy; 7 elements; name hash: 0x3452703d access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0 eq sip (hitcnt=31) access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 192.168.60.0 255.255.255.0 eq 5061 (hitcnt=61) access-list tACL-Policy line 3 extended permit udp host 192.168.100.1 192.168.60.0 255.255.255.0 eq sip (hitcnt=131) access-list tACL-Policy line 4 extended deny tcp any 192.168.60.0 255.255.255.0 eq sip (hitcnt=8) access-list tACL-Policy line 5 extended deny tcp any 192.168.60.0 255.255.255.0 eq 5061 (hitcnt=14) access-list tACL-Policy line 6 extended deny udp any 192.168.60.0 255.255.255.0 eq sip (hitcnt=30) access-list tACL-Policy line 7 extended deny ip any any (hitcnt=8)Im vorherigen Beispiel hat die Zugriffsliste tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:
- 8 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 4
- 14 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 5
- 30 SIP-Pakete am UDP-Port 5060 für ACE-Leitung 6
firewall#show access-list IPv6-tACL-Policy ipv6 access-list IPv6-tACL-Policy; 7 elements; name hash: 0x566a4229 ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:db8:1:100::1 2001:db8:1:60::/64 eq sip (hitcnt=59) ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:db8:1:100::1 2001:db8:1:60::/64 eq 5061 (hitcnt=28) ipv6 access-list IPv6-tACL-Policy line 3 permit udp host 2001:db8:1:100::1 2001:db8:1:60::/64 eq sip (hitcnt=124) ipv6 access-list IPv6-tACL-Policy line 4 deny tcp any 2001:db8:1:60::/64 eq sip (hitcnt=47) ipv6 access-list IPv6-tACL-Policy line 5 deny tcp any 2001:db8:1:60::/64 eq 5061 (hitcnt=33) ipv6 access-list IPv6-tACL-Policy line 6 deny udp any 2001:db8:1:60::/64 eq sip (hitcnt=216) ipv6 access-list IPv6-tACL-Policy line 7 deny ip any any (hitcnt=27)Im vorherigen Beispiel hat die Zugriffsliste IPv6-tACL-Policy die folgenden Pakete verworfen, die von einem nicht vertrauenswürdigen Host oder Netzwerk empfangen wurden:
- 47 SIP-Pakete am TCP-Port 5060 für ACE-Leitung 4
- 33 SIP-Pakete am TCP-Port 5061 für ACE-Leitung 5
- 216 SIP-Pakete am UDP-Port 5060 für ACE-Leitung 6
Darüber hinaus kann die Syslog-Meldung 106023 nützliche Informationen bereitstellen, z. B. die Quell- und Ziel-IP-Adresse, die Quell- und Ziel-Port-Nummern und das IP-Protokoll für das abgelehnte Paket.
Identifizierung: Firewall Access List, Syslog-Meldungen
Die Firewall-Syslog-Meldung 106023 wird für Pakete generiert, die von einem Zugriffskontrolleintrag (Access Control Entry, ACE) abgelehnt wurden, für die kein log-Schlüsselwort vorhanden ist. Weitere Informationen zu dieser Syslog-Meldung finden Sie in Cisco ASA 5500 Series System Log Message, 8.2 - 106023.
Informationen zur Konfiguration von Syslog für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Überwachung - Konfigurieren der Protokollierung. Informationen zur Konfiguration von Syslog auf dem Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Logging (Konfigurieren der Protokollierung). Informationen zur Konfiguration von Syslog auf dem FWSM für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 finden Sie im Monitoring the Firewall Services Module.
Im folgenden Beispiel zeigt die Protokollierung | grep regex extrahiert Syslog-Meldungen aus dem Protokollierungspuffer der Firewall. Diese Meldungen enthalten zusätzliche Informationen zu abgelehnten Paketen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Es ist möglich, verschiedene reguläre Ausdrücke mit dem grep-Schlüsselwort zu verwenden, um nach bestimmten Daten in den protokollierten Nachrichten zu suchen.
Weitere Informationen zur Syntax regulärer Ausdrücke finden Sie unter Erstellen eines regulären Ausdrucks.
firewall#show logging | grep 106023 Sep 26 2012 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.200/2945 dst inside:192.168.60.33/5060 by access-group "tACL-Policy" Sep 26 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.88/2949 dst inside:192.168.60.38/5060 by access-group "tACL-Policy" Sep 26 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.175/2950 dst inside:192.168.60.250/5060 by access-group "tACL-Policy" Sep 26 2012 00:15:13: %ASA-4-106023: Deny udp src outside:2001:db8:2::2:172/2951 dst inside:2001:db8:1:60::23/5060 by access-group "IPv6-tACL-Policy" Sep 26 2012 00:15:13: %ASA-4-106023: Deny tcp src outside:2001:db8:d::a85e:172/2952 dst inside:2001:db8:1:60::134/5061 by access-group "IPv6-tACL-Policy" firewall#Im vorherigen Beispiel zeigen die für die tACL-tACL-Richtlinie protokollierten Nachrichten potenziell gefälschte SIP-Pakete für den UDP-Port 5060 an, die an den Adressblock gesendet wurden, der den betroffenen Geräten zugewiesen ist.
Weitere Informationen zu Syslog-Meldungen für Cisco Adaptive Security Appliances der ASA-Serie finden Sie in Cisco ASA 5500 Series System Log Messages, 8.2. Weitere Informationen zu Syslog-Meldungen für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie im Abschnitt Analyzing Syslog Messages (Analysieren von Syslog-Meldungen) des Cisco ASASM CLI Configuration Guide. Weitere Informationen zu Syslog-Meldungen für Cisco FWSM finden Sie in den Protokollnachrichten des Catalyst Switches der Serie 6500 und des Cisco Routers der Serie 7600, Protokollierungssystem für Firewall-Services-Module.
Weitere Informationen zur Untersuchung von Vorfällen mithilfe von Syslog-Ereignissen finden Sie im Whitepaper Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations.
Eindämmung: Spoofing-Schutz mit Unicast Reverse Path Forwarding
Die in diesem Dokument beschriebene Schwachstelle kann durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können uRPF als Spoofing-Schutzmechanismus bereitstellen und konfigurieren.
uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene der benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.
Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie in der Cisco Security Appliance Command Reference for ip verify reverse path und im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.
Identifizierung: Spoofing-Schutz mit Unicast Reverse Path Forwarding
Die Firewall-Syslog-Meldung 106021 wird für Pakete generiert, die von uRPF abgelehnt wurden. Weitere Informationen zu dieser Syslog-Meldung finden Sie in Cisco ASA 5500 Series System Log Message, 8.2 - 106021.
Informationen zur Konfiguration von Syslog für die Cisco Adaptive Security Appliance der Serie ASA 5500 finden Sie unter Überwachung - Konfigurieren der Protokollierung. Informationen zur Konfiguration von Syslog für das Cisco Catalyst ASA Services Module der Serie 6500 finden Sie unter Configuring Logging (Konfigurieren der Protokollierung). Informationen zur Konfiguration von Syslog auf dem FWSM für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 finden Sie im Monitoring the Firewall Services Module.
Im folgenden Beispiel zeigt die Protokollierung | grep regex extrahiert Syslog-Meldungen aus dem Protokollierungspuffer der Firewall. Diese Meldungen enthalten zusätzliche Informationen zu abgelehnten Paketen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Es ist möglich, verschiedene reguläre Ausdrücke mit dem grep-Schlüsselwort zu verwenden, um nach bestimmten Daten in den protokollierten Nachrichten zu suchen.
Weitere Informationen zur Syntax regulärer Ausdrücke finden Sie unter Erstellen eines regulären Ausdrucks.
firewall#show logging | grep 106021 Sep 26 2012 00:15:13: %ASA-1-106021: Deny UDP reverse path check from 192.168.60.1 to 192.168.60.100 on interface outside Sep 26 2012 00:15:13: %ASA-1-106021: Deny UDP reverse path check from 192.168.60.1 to 192.168.60.100 on interface outside Sep 26 2012 00:15:13: %ASA-1-106021: Deny TCP reverse path check from 192.168.60.1 to 192.168.60.100 on interface outsideDer Befehl show asp drop kann außerdem die Anzahl der Pakete identifizieren, die durch die uRPF-Funktion verworfen wurden, wie im folgenden Beispiel gezeigt:
firewall#show asp drop frame rpf-violated
Reverse-path verify failed 11 firewall#Im vorherigen Beispiel hat uRPF 11 IP-Pakete verworfen, die an Schnittstellen mit konfiguriertem uRPF empfangen wurden. Fehlende Ausgabe zeigt an, dass die uRPF-Funktion der Firewall keine Pakete verworfen hat.
Weitere Informationen zum Debuggen von Paketen oder Verbindungen, die über einen beschleunigten Sicherheitspfad verworfen wurden, finden Sie unter Cisco Security Appliance Command Reference (Cisco Security Appliance-Befehlsreferenz) für show asp drop.
Cisco Security Manager
Identifikation: Cisco Security Manager
Cisco Security Manager, Ereignisanzeige
Ab Softwareversion 4.0 kann Cisco Security Manager Syslogs von Cisco Firewalls und Cisco IPS-Geräten sammeln und stellt die Ereignisanzeige bereit, mit der nach Ereignissen gesucht werden kann, die mit der in diesem Dokument beschriebenen Schwachstelle zusammenhängen.
Die Verwendung der folgenden Filter in der vordefinierten Ansicht "Firewall Denied Events" in der Ereignisanzeige stellt alle erfassten Cisco Firewall-Zugriffslisten-Syslog-Meldungen Deny bereit, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebene Schwachstelle auszunutzen.
- Verwenden Sie den Zielereignisfilter, um Netzwerkobjekte zu filtern, die den von den betroffenen Geräten verwendeten IP-Adressraum enthalten (z. B. IPv4-Adressbereich 192.168.60.0/24 und IPv6-Adressbereich 2001:DB8:1:60::/64).
- Verwenden Sie den Zieldienst-Ereignisfilter, um Objekte zu filtern, die die TCP-Ports 5060 und 5061 sowie den UDP-Port 5060 enthalten.
Ein Ereignistyp-ID-Filter kann in Verbindung mit der vordefinierten Ansicht Firewall Denied Events (Von Firewall abgelehnte Ereignisse) in der Ereignisanzeige verwendet werden, um die in der folgenden Liste aufgeführten Syslog-IDs zu filtern und alle erfassten Cisco Syslog-Meldungen für Firewall-Ablehnung bereitzustellen, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebene Schwachstelle auszunutzen:
- ASA-4-106021 (uRPF-Spoofing)
- ASA-4-106023 (ACL verweigert)
Weitere Informationen zu Cisco Security Manager-Ereignissen finden Sie im Abschnitt Filtering and Querying Events im Cisco Security Manager User Guide.
Identifikation: Event Management System - Partnerveranstaltungen
Cisco arbeitet über das Cisco Developer Network mit branchenführenden Anbietern von Security Information and Event Management (SIEM) zusammen. Diese Partnerschaft unterstützt Cisco bei der Bereitstellung validierter und vorab getesteter SIEM-Systeme, die auf geschäftliche Herausforderungen wie langfristige Protokollarchivierung und Forensik, heterogene Ereigniskorrelation und erweiterte Compliance-Berichte eingehen. Mit Partnerprodukten für das Security Information and Event Management können Ereignisse von Cisco Geräten erfasst und die gesammelten Ereignisse nach Incidents abgefragt werden, die durch Deny-Syslog-Meldungen von Firewalls erstellt wurden, die auf potenzielle Versuche hinweisen könnten, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Die Abfragen können mithilfe der Syslog-ID durchgeführt werden, wie in der folgenden Liste gezeigt:
- ASA-4-106021 (uRPF-Spoofing)
- ASA-4-106023 (ACL verweigert)
Weitere Informationen zu SIEM-Partnern finden Sie auf der Website zum Security Management System (Sicherheitsmanagementsystem).
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.
-
Weniger anzeigenVersion Beschreibung Abschnitt Datum 1 Erstveröffentlichung 26. September 2012, 16:13 Uhr GMT
-
Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.
-
Die Sicherheitslücke betrifft die folgenden Produktkombinationen.
Primäre Produkte Cisco Cisco Unified Communications Manager 6.1 (1), (1a), (1b), (2), (2) SU1, (2) SU1a, (3), (4), (5) | 7,0 (Basis, 1, 2) | 7,1 (Basis, (3), (5), (5b)) | 8,0 (Basis, (2c), (3) | 8,5 (Basis) | 8,6 (Basis) IOS 12,2 B (12,2(15)B, 12,2(15)B1, 12,2(16)B1, 12,2(16)B3) | 12,2BX (12.2(16)BX, 12.2(16)BX1, 12.2(16)BX2, 12.2(16)BX3) | 12,2CZ (12,2(15)CZ, 12,2(15)CZ1, 12,2(15)CZ2, 12,2(15)CZ3) | 12,2 MC (12,2(15)MC1b, 12,2(15)MC1c, 12,2(15)MC2) | 12,2T (12,2(11)T, 12,2(11)T1, 12,2(11)T11, 12,2(11)T2, 12,2(11)T4, 12,2(11)T5, 12,2(11)T6 , 12.2(11)T7, 12.2(11)T8, 12.2(13)T, 12.2(13)T1, 12.2(13)T1a, 12.2(13)T10, 12.2(13)T11, 1 2,2(13)T12, 12,2(13)T13, 12,2(13)T14, 12,2(13)T15, 12,2(13)T16, 12,2(13)T17, 12,2(13) 13)T2, 12.2(13)T3, 12.2(13)T4, 12.2(13)T5, 12.2(13)T6, 12.2(13)T7, 12.2(13)T8, 12.2(13)T8a, 1 2,2(13)T9, 12,2(15)T, 12,2(15)T1, 12,2(15)T1a, 12,2(15)T10, 12,2(15)T11, 12,2(15)T12, 1 2,2(15)T12a, 12,2(15)T13, 12,2(15)T14, 12,2(15)T15, 12,2(15)T16, 12,2(15)T17, 12,2 2(15)T2, 12.2(15)T4, 12.2(15)T4a, 12.2(15)T4c, 12.2(15)T4e, 12.2(15)T5, 12.2(15)T5a, 12.2(15) T6, 12.2(15)T7, 12.2(15)T8, 12.2(15)T9, 12.2(15)T9a) | 12,2YC (12,2(2)YC, 12,2(2)YC1, 12,2(2)YC2, 12,2(2)YC4) | 12.2JH (12.2(4)JH) | 12,2JJ (12,2(8)JJ) | 12,2 YL (12,2(8)YL) | 12,2 (12,2(8)YM) | 12,2 YN (12,2(8)YN, 12,2(8)YN1) | 12,2 YT (12,2(11)YT1, 12,2(11)YT2) | 12,2 (12,2(11)YU) | 12,2 V (12,2(11)JV) | 12,2 ZC (12,2(11)ZC, 12,2(13)ZC) | 12,2ZD (12,2(13)ZD, 12,2(13)ZD1, 12,2(13)ZD2, 12,2(13)ZD3, 12,2(13)ZD4) | 12,2 ZF (12,2(13)ZF, 12,2(13)ZF1) | 12,2 ZH (12,2(13)ZH, 12,2(13)ZH10, 12,2(13)ZH2, 12,2(13)ZH3, 12,2(13)ZH4, 12,2(13)ZH5, 12,2 (13)ZH6, 12,2(13)ZH7, 12,2(13)ZH8, 12,2(13)ZH9) | 12,2ZJ (12,2(15)ZJ, 12,2(15)ZJ1, 12,2(15)ZJ2, 12,2(15)ZJ3, 12,2(15)ZJ4, 12,2(15)ZJ5) | 12,2 ZK (12,2(15)ZK, 12,2(15)ZK1, 12,2(15)ZK2, 12,2(15)ZK3, 12,2(15)ZK4, 12,2(15)ZK5, 12,2(1) 5 ZK6) | 12,2 ZL (12,2(15)ZL, 12,2(15)ZL1) | 12,2 ZN (12,2(15)ZN) | 12,2 ZO (12,2(15)ZO) | 12,2 ZP (12,2(13)ZP, 12,2(13)ZP1, 12,2(13)ZP2, 12,2(13)ZP3, 12,2(13)ZP4) | 12,2 ZR (12,2(15)ZR) | 12,2 ZS (12,2(15)ZS1, 12,2(15)ZS2, 12,2(15)ZS3, 12,2(15)ZS4, 12,2(15)ZS5) | 12,2 ZT (12,2(13)ZT) | 12.3 (12.3(1), 12.3(1a), 12.3(3a), 12.3(3b), 12.3(3c), 12.3(3d), 12.3(3e), 12.3(3f), 12.3(3g), 12.3 3(3h), 12.3(3i), 12.3(5), 12.3(5a), 12.3(5b), 12.3(5c), 12.3(5d), 12.3(5e), 12.3(5f), 12.3(6), 12.3(5e) 6a, 12.3(6b), 12.3(6c), 12.3(6d), 12.3(6e), 12.3(6f), 12.3(9), 12.3(9a), 12.3(9b), 12.3(9c), 12.3(9a) d), 12,3(9e), 12,3(10), 12,3(10a), 12,3(10b), 12,3(10c), 12,3(10d), 12,3(10e), 12,3(10f), 12,3 3(12), 12.3(12a), 12.3(12b), 12.3(12c), 12.3(12d), 12.3(12e), 12.3(13), 12.3(13a), 12.3(13b) 12,3(15), 12,3(15a), 12,3(15b), 12,3(16), 12,3(16a), 12,3(17), 12,3(17a), 12,3(17b), 12,3 (17c), 12.3(18), 12.3(18a), 12.3(19), 12.3(19a), 12.3(20), 12.3(20a), 12.3(21a), 12.3(21b), 12,3(22), 12,3(22a), 12,3(23), 12,3(24), 12,3(24a), 12,3(25), 12,3(26)) | 12,3B (12,3(1a)B, 12,3(3)B1, 12,3(5a)B, 12,3(5a)B1, 12,3(5a)B2, 12,3(5a)B3, 12,3(5a)B4, 12,3(5a)B5 ) | 12,3 Mio. (12,3(9)M0, 12,3(10a)M0) | 12,3T (12,3(2)T, 12,3(2)T1, 12,3(2)T2, 12,3(2)T3, 12,3(2)T4, 12,3(2)T5, 12,3(2)T6, 12,3(2)T7, 12,3 (2)T8, 12,3(2)T9, 12,3(4)T, 12,3(4)T1, 12,3(4)T10, 12,3(4)T11, 12,3(4)T12, 12,3(4)T2, 12,3(4)T 2a, 12.3(4)T3, 12.3(4)T4, 12.3(4)T5, 12.3(4)T6, 12.3(4)T7, 12.3(4)T8, 12.3(4)T9, 12.3(7)T, 12.3(7)T1 , 12.3(7)T10, 12.3(7)T11, 12.3(7)T12, 12.3(7)T2, 12.3(7)T3, 12.3(7)T4, 12.3(7)T5, 12.3(7)T6, 1 2,3(7)T7, 12,3(7)T8, 12,3(7)T9, 12,3(8)T, 12,3(8)T1, 12,3(8)T10, 12,3(8)T11, 12,3(8)T2, 12,3(8)T 3, 12,3(8)T4, 12,3(8)T5, 12,3(8)T6, 12,3(8)T7, 12,3(8)T8, 12,3(8)T9, 12,3(11)T, 12,3(11)T1, 12,3(1 1)T10, 12,3(11)T11, 12,3(11)T12, 12,3(11)T2, 12,3(11)T2a, 12,3(11)T3, 12,3(11)T4, 12,3(11) 11)T5, 12,3(11)T6, 12,3(11)T7, 12,3(11)T8, 12,3(11)T9, 12,3(14)T, 12,3(14)T1, 12,3(14)T2, 12 .3(14)T3, 12.3(14)T4, 12.3(14)T5, 12.3(14)T6, 12.3(14)T7) | 12,3 TPC (12,3(4)TPC11b) | 12.3XA (12.3(2)XA, 12.3(2)XA1, 12.3(2)XA4) | 12,3 XB (12,3(2)XB1, 12,3(2)XB3) | 12,3XC (12,3(2)XC, 12,3(2)XC1, 12,3(2)XC2, 12,3(2)XC3, 12,3(2)XC5) | 12,3XD (12,3(4)XD, 12,3(4)XD1, 12,3(4)XD2, 12,3(4)XD3, 12,3(4)XD4) | 12,3xE (12,3(2)xE, 12,3(2)xE1, 12,3(2)xE5) | 12,3 (12,3(2)XF) | 12,3XG (12,3(4)XG, 12,3(4)XG1, 12,3(4)XG2, 12,3(4)XG4, 12,3(4)XG5) | 12.3XH (12.3(4)XH, 12.3(4)XH1) | 12.3XI (12.3(7)XI, 12.3(7)XI10a, 12.3(7)XI2, 12.3(7)XI2b, 12.3(7)XI3, 12.3(7)XI4, 12.3(7)XI5, 12.3(7)XI6, 12.3(7)XI7, 12.3(7)XI7a, 12.3(7)XI7b, 12.3(7)XI8, 12.3(7)XI8bc, 12.3(7)XI8g) | 12,3XJ (12,3(7)XJ, 12,3(7)XJ1, 12,3(7)XJ2) | 12,3XK (12,3(4)XK, 12,3(4)XK1, 12,3(4)XK2, 12,3(4)XK3, 12,3(4)XK4) | 12,3XL (12,3(7)XL, 12,3(11)XL, 12,3(11)XL2, 12,3(11)XL3) | 12,3 (12,3(7)xM) | 12,3XN (12,3(4)XN1, 12,3(4)XN2) | 12,3XQ (12,3(4)XQ, 12,3(4)XQ1) | 12,3XR (12,3(7)XR3, 12,3(7)XR4, 12,3(7)XR5, 12,3(7)XR6, 12,3(7)XR7) | 12,3XU (12,3(8)XU2, 12,3(8)XU3, 12,3(8)XU4, 12,3(8)XU5) | 12,3XW (12,3(8)XW, 12,3(8)XW1, 12,3(8)XW1a, 12,3(8)XW1b, 12,3(8)XW2, 12,3(8)XW3) | 12.3XX (12.3(8)XX, 12.3(8)XX1, 12.3(8)XX2d, 12.3(8)XX2e) | 12,3XY (12,3(8)XY, 12,3(8)XY2, 12,3(8)XY3, 12,3(8)XY4, 12,3(8)XY5, 12,3(8)XY6, 12,3(8)XY7) | 12,3XZ (12,3(2)XZ1, 12,3(2)XZ2) | 12,3 YB (12,3(7)YB, 12,3(7)YB1) | 12,3YC (12,3(8)YC, 12,3(8)YC1, 12,3(8)YC2, 12,3(8)YC3) | 12,3 JA (12,3(4)JA, 12,3(4)JA1) | 12,3YF (12,3(11)YF1, 12,3(11)YF2, 12,3(11)YF3, 12,3(11)YF4) | 12,3 (12,3(8)YG, 12,3(8)YG2, 12,3(8)YG3, 12,3(8)YG4, 12,3(8)YG6) | 12,3 KB (12,3(11)YK, 12,3(11)YK1, 12,3(11)YK2) | 12,3 YL (12,3(11)YL, 12,3(11)YL1) | 12,3JJ (12,3(14)JJ1, 12,3(14)JJ10, 12,3(14)JJ11, 12,3(14)JJ12, 12,3(14)JJ13, 12,3(14) (YM2, 12.3(14)YM3, 12.3(14)YM4, 12.3(14)YM5, 12.3(14)YM6, 12.3(14)YM7, 12.3(14)YM8) | 12,3 (12,3(11)YN) | 12,3YQ (12,3(14)YQ, 12,3(14)YQ1, 12,3(14)YQ2, 12,3(14)YQ3, 12,3(14)YQ4, 12,3(14)YQ5, 12,3(1) 4)YQ6, 12,3(14)YQ8) | 12,3 J (12,3(11)J, 12,3(11)J1) | 12,3 JAHRE (12,3(11)JA2) | 12,3 YT (12,3(14)YT, 12,3(14)YT1) | 12,3 (12,3(14)YU, 12,3(14)YU1) | 12,3 (12,3(11)YZ, 12,3(11)YZ1, 12,3(11)YZ2) | 12,3 ZA (12,3(8)ZA, 12,3(8)ZA1) | 12,3 ZB (12,3(11)ZB, 12,3(11)ZB1, 12,3(11)ZB2) | 12.4 (12.4(1), 12.4(1a), 12.4(1b), 12.4(1c), 12.4(3b), 12.4(3c), 12.4(3d), 12.4(3e), 12.4(3f), 12.4 4(3g), 12.4(3h), 12.4(3i), 12.4(3j), 12.4(5), 12.4(5a), 12.4(5b), 12.4(5c), 12.4(7), 12.4(7a), 12.4(3j) 7b, 12.4(7c), 12.4(7d), 12.4(7e), 12.4(7f), 12.4(7g), 12.4(7h), 12.4(8a), 12.4(8c), 12.4(8d), 12.4(8a) 10, 12,4(10a), 12,4(10b), 12,4(10c), 12,4(12), 12,4(12a), 12,4(12b), 12,4(12c), 12,4(13), 1 2,4 (13a), 12,4 (13b), 12,4 (13c), 12,4 (13d), 12,4 (13e), 12,4 (13f), 12,4 (16), 12,4 (16a), 12,4 (13f) 16b, 12,4(17), 12,4(17a), 12,4(17b), 12,4(18), 12,4(18a), 12,4(18b), 12,4(18c), 12,4(18d), 12.4(18e), 12.4(19), 12.4(21), 12.4(21a), 12.4(23), 12.4(23a), 12.4(23b), 12.4(23c), 12.4(2) 3d), 12,4(23e), 12,4(25), 12,4(25a), 12,4(25b), 12,4(25c), 12,4(25d), 12,4(25e), 12,4(25f) | 12,4 GC (12,4(22)GC1, 12,4(22)GC1a, 12,4(24)GC1, 12,4(24)GC3, 12,4(24)GC3a, 12,4(24)GC4) | 12,4 Mio. (12,4(5a)M0, 12,4(21a)M1, 12,4(23b)M1) | 12,4MR (12,4(2)MR, 12,4(2)MR1, 12,4(4)MR, 12,4(4)MR1, 12,4(6)MR, 12,4(6)MR1, 12,4(9)MR, 12,4(11)MR ., 12,4(12)MR, 12,4(12)MR1, 12,4(12)MR2, 12,4(16)MR, 12,4(16)MR1, 12,4(16)MR2, 12,4(19)MR, 12 4,4(19)MR1, 12,4(19)MR3, 12,4(20)MR, 12,4(20)MR2) | 12,4 MRB (12,4(20)MRB, 12,4(20)MRB1) | 12,4 T (12,4(2)T, 12,4(2)T1, 12,4(2)T2, 12,4(2)T3, 12,4(2)T4, 12,4(2)T5, 12,4(2)T6, 12,4(4)T, 12,4(2) 4)T1, 12,4(4)T2, 12,4(4)T3, 12,4(4)T4, 12,4(4)T5, 12,4(4)T6, 12,4(4)T7, 12,4(4)T8, 12,4(6)T, 12,4(6)T T1, 12,4(6)T10, 12,4(6)T11, 12,4(6)T12, 12,4(6)T2, 12,4(6)T3, 12,4(6)T4, 12,4(6)T5, 12,4(6)T5a , 12.4(6)T5b, 12.4(6)T6, 12.4(6)T7, 12.4(6)T8, 12.4(6)T9, 12.4(9)T, 12.4(9)T0a, 12.4(9)T1, 12.4(9)T2 , 12.4(9)T3, 12.4(9)T6, 12.4(9)T7, 12.4(11)T, 12.4(11)T1, 12.4(11)T2, 12.4(11)T3, 12.4(11)T4, 11 2,4(15)T, 12,4(15)T1, 12,4(15)T10, 12,4(15)T11, 12,4(15)T13, 12,4(15)T13b, 12,4(15)T 14, 12,4(15)T15, 12,4(15)T16, 12,4(15)T2, 12,4(15)T3, 12,4(15)T4, 12,4(15)T5, 12,4(15)T6 , 12.4(15)T6a, 12.4(15)T8, 12.4(15)T9, 12.4(20)T, 12.4(20)T1, 12.4(20)T2, 12.4(20)T3, 12.4(2 0)T4, 12,4(20)T5, 12,4(20)T5a, 12,4(20)T6, 12,4(22)T, 12,4(22)T1, 12,4(22)T2, 12,4(22)T3, 12,4(22)T4, 12,4(22)T5, 12,4(24)T, 12,4(24)T1, 12,4(24)T2, 12,4(24)T3, 12,4(24)T4, 12,4(24)T5, 1 2,4(24)T6) | 12,4XA (12,4(2)XA, 12,4(2)XA1, 12,4(2)XA2) | 12,4 XB (12,4(2)XB, 12,4(2)XB1, 12,4(2)XB10, 12,4(2)XB11, 12,4(2)XB3, 12,4(2)XB4, 12,4(2)XB5, 1 2,4(2)XB6, 12,4(2)XB7, 12,4(2)XB8) | 12,4 XC (12,4(4)XC, 12,4(4)XC1, 12,4(4)XC2, 12,4(4)XC3, 12,4(4)XC4, 12,4(4)XC5, 12,4(4)XC6, 12,4(4) XC7) | 12,4xD (12,4(4)xD, 12,4(4)xD1, 12,4(4)xD10, 12,4(4)xD11, 12,4(4)xD12, 12,4(4)xD2, 12,4(4)xD3 , 12,4(4)XD4, 12,4(4)XD5, 12,4(4)XD6, 12,4(4)XD7, 12,4(4)XD8, 12,4(4)XD9) | 12,4XE (12,4(6)XE, 12,4(6)XE1, 12,4(6)XE2, 12,4(6)XE3) | 12,4 XG (12,4(9)XG2) | 12,4XJ (12,4(11)XJ, 12,4(11)XJ1, 12,4(11)XJ2, 12,4(11)XJ3, 12,4(11)XJ4, 12,4(11)XJ5, 12,4(1) 1) XJ6) | 12,4 XL (12,4(15)XL, 12,4(15)XL1, 12,4(15)XL2, 12,4(15)XL3, 12,4(15)XL4, 12,4(15)XL5) | 12,4 x M (12,4(15)x M1, 12,4(15)x M2) | 12,4 XP (12,4(6)XP) | 12,4 XT (12,4(6)XT, 12,4(6)XT1, 12,4(6)XT2) | 12,4 XV (12,4(11)XV, 12,4(11)XV1) | 12,4XW (12,4(11)XW, 12,4(11)XW1, 12,4(11)XW10, 12,4(11)XW2, 12,4(11)XW3, 12,4(11)XW4, 12,4 (11)XW5, 12,4(11)XW6, 12,4(11)XW7, 12,4(11)XW8, 12,4(11)XW9) | 12,4XY (12,4(15)XY, 12,4(15)XY1, 12,4(15)XY2, 12,4(15)XY3, 12,4(15)XY4, 12,4(15)XY5) | 12,4XZ (12,4(15)XZ, 12,4(15)XZ1, 12,4(15)XZ2) | 12,4JA (12,4(20)JA, 12,4(20)JA1, 12,4(20)JA2, 12,4(20)JA3) | 12,4 YB (12,4(22)YB, 12,4(22)YB1, 12,4(22)YB2, 12,4(22)YB3, 12,4(22)YB4, 12,4(22)YB5, 12,4(2) 2)JB6, 12,4(22)JB7, 12,4(22)JB8) | 12,4 JAHRE (12,4(24)JA3) | 15,0 Mio. (15,0(1)M1, 15,0(1)M2, 15,0(1)M3, 15,0(1)M4, 15,0(1)M5, 15,0(1)M6, 15,0(1)M7, 15,0(1)M8) | 15,0 S (15,0(1)S1, 15,0(1)S2) | 15,0XA (15,0(1)XA1) | 15,1 GC (15,1(2)GC, 15,1(2)GC1) | 15,1M (15,1(4)M, 15,1(4)M2, 15,1(4)M3, 15,1(4)M3a, 15,1(4)M4) | 15,1S (15,1(1)S2, 15,1(2)S, 15,1(3)S2, 15,1(3)S3, 15,1(3)S4) | 15.1T (15.1(1)T3, 15.1(1)T5, 15.1(2)T3, 15.1(2)T4, 15.1(2)T5, 15.1(3)T1, 15.1(3)T2) | 15.1XB (15.1(1)XB, 15.1(1)XB1, 15.1(1)XB2, 15.1(1)XB3, 15.1(4)XB4, 15.1(4)XB5, 15.1(4)XB5a, 15.1(4) XB7, 15.1(4)XB8, 15.1(4)XB8a) | 15,2 GC (15,2(1)GC, 15,2(1)GC1) | 15,2 S (15,2(1)S, 15,2(1)S1, 15,2(1)S2) | 15,2 T (15,2(1)T, 15,2(1)T1, 15,2(1)T2, 15,2(2)T)
Zugehörige Produkte
-
Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. CISCO BEHÄLT SICH DAS RECHT VOR, WARNUNGEN JEDERZEIT ZU ÄNDERN ODER ZU AKTUALISIEREN.
Eine eigenständige Kopie oder Umschreibung des Texts in diesem Dokument, die die Verteilungs-URL auslässt, ist eine unkontrollierte Kopie und enthält möglicherweise keine wichtigen Informationen oder sachliche Fehler. Die Informationen in diesem Dokument sind für Endbenutzer von Cisco Produkten bestimmt.