Antwort von Cisco

• Antwort von Cisco

  Dieses Applied Mitigation Bulletin ist ein Begleitdokument zu den folgenden PSIRT-Sicherheitsempfehlungen:

  In diesem Dokument werden Identifizierungs- und Eindämmungstechniken vorgestellt, die Administratoren auf Cisco Netzwerkgeräten implementieren können.

Merkmale der Schwachstelle

• Wiederholte Versuche, diese Schwachstelle auszunutzen, können zu einem anhaltenden DoS-Zustand führen.

  Die Angriffsvektoren für die Ausnutzung bestehen aus IPv4-Paketen, die die folgenden Protokolle und Ports verwenden:

  • SIP mit TCP 5060
  • SIP mit TCP 5061
  • SIP mit UDP 5060

  Ein Angreifer könnte diese Verwundbarkeit mit gefälschten Paketen ausnutzen.

  Dieser Schwachstelle wurde die Common Vulnerabilities and Exposures (CVE)-ID CVE-2014-0662 zugewiesen.

Überblick über Sicherheitslücken

• Überblick über Sicherheitslücken

  Informationen zu anfälliger, nicht betroffener und fest installierter Software finden Sie in der Cisco Security Advisory, die unter dem folgenden Link zur Verfügung steht: .

Überblick über die Risikominderungstechnik

• Überblick über die Risikominderungstechnik

  Cisco Geräte bieten eine Reihe von Gegenmaßnahmen für diese Sicherheitslücken. Den Administratoren wird empfohlen, diese Schutzmethoden als allgemeine Best Practices für die Sicherheit von Infrastrukturgeräten und des Datenverkehrs im Netzwerk zu betrachten. Dieser Abschnitt des Dokuments bietet einen Überblick über diese Techniken.

  Die Cisco IOS Software bietet mithilfe von effektive Exploit-Prevention.Dieser Schutzmechanismus filtert und löscht Pakete, die versuchen, diese Schwachstelle auszunutzen.

  Eine effektive Exploit-Abwehr kann auch durch die Cisco Adaptive Security Appliance der Serie ASA 5500, das Cisco Catalyst ASA Services Module (ASASM) der Serie 6500 und das Firewall Services Module (FWSM) für Cisco Catalyst Switches der Serie 6500 und Cisco Router der Serie 7600 mithilfe von sichergestellt werden. Dieser Schutzmechanismus filtert und verwirft Pakete, die diese Schwachstelle.

Risikomanagement

• Risikomanagement

  Den Unternehmen wird empfohlen, die potenziellen Auswirkungen dieser Schwachstellen anhand ihrer Standardprozesse zur Risikobewertung und -minderung zu ermitteln. Triage bezieht sich auf das Sortieren von Projekten und die Priorisierung von Bemühungen, die am wahrscheinlichsten erfolgreich sein werden. Cisco hat Dokumente bereitgestellt, die Unternehmen bei der Entwicklung einer risikobasierten Triage-Funktion für ihre Informationssicherheitsteams unterstützen. Risikoanalyse für Ankündigungen zu Sicherheitslücken sowie Risikoanalyse und -prototyping unterstützen Unternehmen bei der Entwicklung wiederholbarer Sicherheitsevaluierungs- und Reaktionsprozesse.

Gerätespezifische Eindämmung und Identifizierung

• Gerätespezifische Eindämmung und Identifizierung

  Vorsicht: Die Effektivität jeglicher Eindämmungstechnik hängt von spezifischen Kundensituationen wie Produktmix, Netzwerktopologie, Datenverkehrsverhalten und organisatorischem Auftrag ab. Prüfen Sie wie bei jeder Konfigurationsänderung die Auswirkungen dieser Konfiguration, bevor Sie die Änderung übernehmen.

  Spezifische Informationen zur Risikominderung und Identifizierung sind für diese Geräte verfügbar:

  • Cisco IOS-Router und -Switches
  • Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls

  Cisco IOS-Router und -Switches

  Eindämmung: Transit-Zugriffskontrolllisten

  Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren Transit-Zugriffskontrolllisten (tACLs) bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor dieser Schwachstelle bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

  Die tACL-Richtlinie verweigert nicht autorisierte IPv4-Pakete an den TCP-Ports 5060 und 5061 sowie an den UDP-Port 5060, die an betroffene Geräte gesendet werden. Im folgenden Beispiel stellt 192.168.60.0/24 den IP-Adressraum dar, der von den betroffenen Geräten verwendet wird. Es sollte darauf geachtet werden, dass der für das Routing und den Administratorzugriff erforderliche Datenverkehr zugelassen wird, bevor nicht autorisierter Datenverkehr abgelehnt wird. Weitere Informationen zu tACLs finden Sie in Transit Access Control Lists: Filtering at Your Edge.

  ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP and UDP ports !
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
  ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
  access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5061
  access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq 5060
  ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list 150 deny ip any any
  ! ! !-- Apply tACL to interface in the ingress direction !
  interface GigabitEthernet0/0
   ip access-group 150 in 

  Weitere Informationen zur Verwendung der Befehlszeilenschnittstelle der Cisco IOS Software zur Messung der Effektivität des Spoofing-Schutzes finden Sie im Cisco Security Whitepaper Identifying the Effectiveness of Security Mitigations Using Cisco IOS Software.

  Weitere Informationen zur Verwendung der Befehlszeilenschnittstelle der Cisco IOS Software zur Messung der Wirksamkeit der Methoden zum Schutz vor Spoofing finden Sie im Cisco Security Whitepaper Identifying the Effectiveness of Security Mitigations Using Cisco IOS Software.

  Eindämmung: Spoofing-Schutz

  Unicast Reverse Path Forwarding

  Die in diesem Dokument beschriebenen Schwachstellen können durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können Unicast Reverse Path Forwarding (uRPF) als Schutzmechanismus gegen Spoofing bereitstellen und konfigurieren.

  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. Den Administratoren wird empfohlen, während der Bereitstellung dieser Funktion sicherzustellen, dass der geeignete uRPF-Modus (flexibel oder strikt) konfiguriert wird, da legitimer Datenverkehr, der das Netzwerk durchquert, verworfen werden kann. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene an den benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.

  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.

  IP-Quellschutz

  IP Source Guard (IPSG) ist eine Sicherheitsfunktion, die den IP-Datenverkehr an nicht gerouteten Layer-2-Schnittstellen beschränkt, indem Pakete auf Basis der DHCP-Snooping-Bindungsdatenbank und manuell konfigurierter IP-Source-Bindings gefiltert werden. Administratoren können IPSG verwenden, um Angriffe eines Angreifers zu verhindern, der versucht, Pakete durch Fälschung der Quell-IP-Adresse und/oder der MAC-Adresse zu fälschen. Bei ordnungsgemäßer Bereitstellung und Konfiguration bietet IPSG in Verbindung mit dem strengen Modus "uRPF" den effektivsten Spoofing-Schutz für die in diesem Dokument beschriebenen Schwachstellen.

  Weitere Informationen zur Bereitstellung und Konfiguration von IPSG finden Sie unter Konfigurieren der DHCP-Funktionen und von IP Source Guard.

  Weitere Informationen zur Verwendung der Befehlszeilenschnittstelle der Cisco IOS Software zur Messung der Effektivität des Spoofing-Schutzes finden Sie im Cisco Security Whitepaper Identifying the Effectiveness of Security Mitigations Using Cisco IOS Software.

  Cisco ASA, Cisco ASASM und Cisco FWSM-Firewalls

  Eindämmung: Transit-Zugriffskontrolllisten

  Um das Netzwerk vor Datenverkehr zu schützen, der am Eingangspunkt in das Netzwerk gelangt, z. B. Internetverbindungspunkte, Verbindungspunkte für Partner und Lieferanten oder VPN-Verbindungspunkte, sollten Administratoren tACLs bereitstellen, um die Richtlinien durchzusetzen. Administratoren können eine tACL erstellen, indem sie explizit zulassen, dass nur autorisierter Datenverkehr an den Eingangs-Access Points in das Netzwerk eindringt, oder indem sie autorisiertem Datenverkehr gestatten, das Netzwerk gemäß den bestehenden Sicherheitsrichtlinien und -konfigurationen zu passieren. Eine tACL-Problemumgehung kann keinen vollständigen Schutz vor diesen Schwachstellen bieten, wenn der Angriff von einer vertrauenswürdigen Quelladresse ausgeht.

   ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable TCP and UDP ports !
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended permit tcp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended permit udp host 192.168.100.1 
       192.168.60.0 0.0.0.255 eq 5060
   ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5060
    access-list tACL-Policy extended deny tcp any 192.168.60.0 0.0.0.255 eq 5061
    access-list tACL-Policy extended deny udp any 192.168.60.0 0.0.0.255 eq 5060
   ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
    access-list tACL-Policy extended deny ip any 192.168.60.0 0.0.0.255
   ! ! !-- Apply tACL to interfaces in the ingress direction !
    access-group tACL-Policy in interface outside

  Informationen zur Verwendung der Cisco Firewall-Befehlszeilenschnittstelle zur Messung der Effektivität von tACLs finden Sie im Cisco Security Whitepaper Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls.

  Eindämmung: Spoofing-Schutz mit Unicast Reverse Path Forwarding

  Die in diesem Dokument beschriebenen Schwachstellen können durch gefälschte IP-Pakete ausgenutzt werden. Administratoren können uRPF als Spoofing-Schutzmechanismus bereitstellen und konfigurieren.

  uRPF wird auf Schnittstellenebene konfiguriert und kann Pakete erkennen und verwerfen, denen eine verifizierbare Quell-IP-Adresse fehlt. Administratoren sollten sich nicht darauf verlassen, dass uRPF einen vollständigen Spoofing-Schutz bietet, da gefälschte Pakete über eine uRPF-fähige Schnittstelle in das Netzwerk gelangen können, wenn eine entsprechende Rückgaberoute zur Quell-IP-Adresse vorhanden ist. In einer Unternehmensumgebung kann uRPF am Internet-Edge und auf der internen Zugriffsebene der benutzerunterstützenden Layer-3-Schnittstellen aktiviert werden.

  Weitere Informationen zur Konfiguration und Verwendung von uRPF finden Sie in der Cisco Security Appliance Command Reference for ip verify reverse path und im Cisco Security Whitepaper Understanding Unicast Reverse Path Forwarding.

  Informationen zur Verwendung der Firewall-Befehlszeilenschnittstelle zur Messung der Effektivität des Spoofing-Schutzes finden Sie im Cisco Security Whitepaper Identification of Security Exploits with Cisco ASA, Cisco ASASM, and Cisco FWSM Firewalls.

  Risikominderung: Cisco IPS-Signaturtabelle

  Administratoren können die Cisco IPS-Appliances und -Servicemodule verwenden, um Bedrohungen zu erkennen und Versuche zur Ausnutzung einiger der in diesem Dokument beschriebenen Schwachstellen zu verhindern. Die folgende Tabelle bietet einen Überblick über CVE-IDs und die jeweiligen Cisco IPS-Signaturen, die Ereignisse auslösen, wenn diese Schwachstellen ausgenutzt werden.

  CVE-ID	Signaturfreigabe	Signature-ID	Signaturname	Aktiviert	Schweregrad	Genauigkeit*	Hinweise
  CVE 2014 0662	S764	3571-0	Cisco TelePresence Video Communications Service SIP Denial of Service (DoS)	Nein	Mittel	70

  * Fidelity wird auch als Signature Fidelity Rating (SFR) bezeichnet und ist das relative Maß für die Genauigkeit der Signatur (vordefiniert). Der Wert reicht von 0 bis 100 und wird von Cisco Systems, Inc. festgelegt.

  Administratoren können Cisco IPS-Sensoren so konfigurieren, dass sie eine Ereignisaktion ausführen, wenn ein Angriff erkannt wird. Die konfigurierte Ereignisaktion führt eine präventive oder abschreckende Kontrolle durch, um den Schutz vor einem Angriff zu gewährleisten, der versucht, die in der vorherigen Tabelle aufgeführten Schwachstellen auszunutzen.

  Cisco IPS-Sensoren sind am effektivsten, wenn sie im Inline-Schutzmodus in Verbindung mit einer Ereignisaktion bereitgestellt werden. Der automatische Schutz vor Bedrohungen für Cisco IPS 7.x- und 6.x-Sensoren, die im Inline-Schutzmodus bereitgestellt werden, bietet Schutz vor Bedrohungen bei einem Angriff, der versucht, die in diesem Dokument beschriebene Schwachstelle auszunutzen. Der Schutz vor Bedrohungen wird durch eine Standardüberschreibung erreicht, die eine Ereignisaktion für ausgelöste Signaturen mit einem riskRatingValue größer als 90 ausführt.

  Weitere Informationen zur Berechnung von Risikoeinstufung und Bedrohungseinstufung finden Sie unter Risikoeinstufung und Bedrohungseinstufung: Vereinfachtes IPS-Richtlinienmanagement.

  Informationen zur Verwendung von Cisco Security Manager zum Anzeigen der Aktivität von einem Cisco IPS-Sensor finden Sie im Cisco Security Whitepaper Identification of Malicious Traffic Using Cisco Security Manager.

Zusätzliche Informationen

• Dieses Dokument wird in der vorliegenden Form bereitgestellt und impliziert keine Garantie oder Gewährleistung, einschließlich der Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck. Die Nutzung der Informationen im Dokument oder den Materialien, die mit dem Dokument verknüpft sind, erfolgt auf Ihr eigenes Risiko. Cisco behält sich das Recht vor, dieses Dokument jederzeit zu ändern oder zu aktualisieren.

Revisionsverlauf

• Version	Beschreibung	Abschnitt	Datum
  1	Erstveröffentlichung		22. Januar 2014, 16:00 Uhr GMT

  Weniger anzeigen

Cisco Sicherheitsverfahren

• Vollständige Informationen zur Meldung von Sicherheitslücken in Cisco Produkten, zum Erhalt von Unterstützung bei Sicherheitsvorfällen und zur Registrierung für den Erhalt von Sicherheitsinformationen von Cisco finden Sie auf der weltweiten Cisco Website unter https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Dies beinhaltet Anweisungen für Presseanfragen bezüglich der Sicherheitshinweise von Cisco. Alle Cisco Sicherheitsankündigungen finden Sie unter http://www.cisco.com/go/psirt.

Zugehörige Informationen

• Cisco Applied Mitigation Bulletins
• Cisco Security
• Cisco Security IntelliShield Alert Manager Service
• Cisco Leitfaden zum Absichern von Cisco IOS-Geräten
• Cisco IOS NetFlow - Startseite auf Cisco.com
• Cisco IOS NetFlow-Whitepaper
• NetFlow-Leistungsanalyse
• Cisco Network Foundation Protection - Whitepaper
• Cisco Network Foundation Protection - Präsentationen
• Ein sicherheitsorientierter Ansatz für die IP-Adressierung
• Cisco Firewall-Produkte - Startseite auf Cisco.com
• Cisco Catalyst ASA Services Module der Serie 6500
• Verbesserungen der Unicast Reverse Path Forwarding für den Internet Service Provider
• Cisco Intrusion Prevention System
• Cisco IPS-Signatur-Downloads
• Seite für die Suche nach Cisco IPS-Signaturen
• Cisco Security Manager
• Common Vulnerabilities and Exposures (CVE)
• Cisco Applied Mitigation Bulletins abonnieren