ASA-Funktionen und -Konfiguration zur Erkennung von Sicherheitsrisiken ermitteln
Inhalt
Einleitung
In diesem Dokument werden die Funktionen und die Konfiguration zur Erkennung von Sicherheitsrisiken auf der Cisco Secure Firewall ASA beschrieben.
Voraussetzungen
Anforderungen
Cisco empfiehlt Kenntnisse über ASA CLI, Zugriffskontrolle und (für die Erkennung von VPN-Bedrohungen) Remotezugriffs-VPN.
Verwendete Komponenten
- Klassische Erkennung von Sicherheitsrisiken (Standard, Erweitert, Scannen): ASA Software 8.0(2) und höher TCP-Abfangstatistiken erfordern 8.0(4)/8.1(2) oder höher. Die Shun-Dauer kann unter 8.0(4)/8.1(2) konfiguriert werden.
- Erkennung von Sicherheitsrisiken für VPN-Services: Einführung im Zug um 9.20 Uhr(3). Cisco dokumentiert diese Mindestwerte auch in anderen Zügen unter 9.16(4)67, 9.17(1)45, 9.18(4)40, 9.19(1).37 und 9.22(1.1) (9.22(1) wurde nicht freigegeben.)
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Hintergrundinformationen
Die Bedrohungserkennung auf ASA bietet eine Layer 3/4-Frontline-Abwehr. Es erstellt eine Baseline aus Paketverlust-Statistiken und optionalen Top-Berichten auf Objektebene. Es ist kein Ersatz für ein dediziertes IPS- oder Next-Generation IPS-Modul, das den zulässigen Datenverkehr bis Layer 7 prüft. können beide zusammenarbeiten.
Anmerkung: In diesem Artikel wird der Funktionsumfang der ASA CLI beschrieben. Cisco Secure Firewall Threat Defense (FTD) stellt eine verwandte, aber nicht identische Funktion zur Erkennung von Bedrohungen in den erweiterten Einstellungen der Zugriffskontrollrichtlinie bereit. Behandeln Sie die FTD-Bedrohungserkennung nicht als 1:1-Zuordnung dieser Befehle. Weitere Informationen finden Sie im Artikel ASA to Threat Defense Feature Mapping (ASA-Funktionszuordnung für Bedrohungsabwehr).
Die Bedrohungserkennung bietet Firewall-Administratoren Tools zur Identifizierung, zum Verständnis und (für Scan- und VPN-Dienste) zur Abwehr von Angriffen. Er basiert auf Ratenauslösern, Statistiken auf Objektebene und optionalen automatischen Shuns.
Diese Funktion umfasst vier Komponenten:
- Grundlegende Bedrohungserkennung (Drop-Rates auf Systemebene) - Standardmäßig aktiviert
- Erweiterte Bedrohungserkennung (Statistiken auf Objektebene und Top-N) - ACL-Statistiken standardmäßig aktiviert
- Bedrohungserkennung wird gescannt (Angreifer-/Zieldatenbank, optionales Shun) - Standardmäßig deaktiviert
- Bedrohungserkennung für VPN-Services (RA VPN DoS-Schutz, automatische Abmeldung) — Standardmäßig deaktiviert. 9.20(3)+ / gelistete Züge
Funktionen zur Bedrohungserkennung
Grundlegende Bedrohungserkennung (Durchsatzraten auf Systemebene)
Die grundlegende Bedrohungserkennung ist auf ASAs mit 8.0(2) und höher standardmäßig aktiviert.
Es überwacht, wie schnell Pakete aus verschiedenen Gründen von der ASA als Ganzes verworfen werden. Die Statistiken gelten für die gesamte Appliance und sind im Allgemeinen nicht detailliert genug, um den Quell-Host zu identifizieren. Die ASA überwacht verworfene Pakete auf folgende Ereignisse:
- ACL Drop (acl-drop): Pakete werden von Zugriffslisten abgelehnt.
- Fehlerhafte Pakete (böses Verwerfen von Paketen): Ungültige Paketformate, einschließlich L3- und L4-Header, die nicht den RFC-Standards entsprechen (z. B. invalid-ip-header oder invalid-tcp-hdr-length)
- Verbindungslimit (conn-limit-drop): Pakete, die einen konfigurierten oder globalen Verbindungsgrenzwert überschreiten.
- DoS-Angriff (Do-Drop): Denial-of-Service-Angriffe (z. B. ungültiger SPI oder fehlgeschlagene Stateful-Firewall-Prüfungen).
- Firewall (FW-Drop): Kombinierte Rate von Firewall-bezogenen Drops in dieser Liste. Nicht zur Firewall gehörende Drops, wie z. B. eine Überlastung der Schnittstelle, Überprüfungsfehler oder erkannte Scanangriffe, werden nicht berücksichtigt.
- ICMP-Angriff (icmp-drop): Verdächtige ICMP-Pakete
- Inspizierung (inspect-drop): Ablehnung durch Anwendungsinspektion.
- Schnittstelle (interface-drop): Pakete, die bei Schnittstellenprüfungen verworfen wurden (Überlastung).
- Scannen (Scanning-Bedrohung): Angriffe durch Netzwerk-/Host-Scanning (Beispiel: das erste TCP-Paket ist nicht SYN, oder der 3-Wege-Handshake ist fehlgeschlagen.) Bei der Erkennung von Bedrohungen mit umfassender Überprüfung wird diese Rate verwendet, um Hosts zu klassifizieren und sie optional zu meiden.
- SYN-Angriff (syn-Angriff): Unvollständige Sitzungsangriffe, einschließlich TCP-SYN-Angriffe und unidirektionale UDP-Sitzungen ohne Rückgabedaten.
Die meisten Auslöser sind bestimmten ASP-Abbruchgründen zugeordnet. bestimmte Syslogs und Inspektionsmaßnahmen werden ebenfalls gezählt. Einige Auslöser werden in mehr als einer Bedrohungskategorie angezeigt. Gemeinsame Zuordnungen (nicht vollständig):
| Grundlegende Bedrohung |
Trigger/s/ASP-Verlustursache(en) |
| ACL-Drop |
ACL-Drop |
| Paketverlust |
invalid-tcp-hdr-length invalid-ip-header inspect-dns-pak-too-long inspect-dns-id-not-matching |
| conn-limit-drop |
Verbindungsgrenze |
| DOS-Drop |
sp-security-failed |
| fw-drop |
inspect-icmp-seq-num-not-matching inspect-dns-pak-too-long inspect-dns-id-not-matching sp-security-failed ACL-Drop |
| ICMP-Drop |
inspect-icmp-seq-num-not-matching |
| inspect-drop |
Auslösung von Frame-Drops durch eine Prüfungs-Engine |
| Interface-Drop |
sp-security-failed nicht befahrbar |
| Scanning-Bedrohung |
tcp-3whs-fehlgeschlagen tcp-not-syn sp-security-failed ACL-Drop inspect-icmp-seq-num-not-matching inspect-dns-pak-too-long inspect-dns-id-not-matching |
| Syn-Angriff |
%ASA-6-302014-Syslog mit Abbruchgrund "SYN Timeout" |
Für jedes Ereignis misst die grundlegende Bedrohungserkennung die Verlustraten über ein konfiguriertes durchschnittliches Intervall von 600 Sekunden bis 30 Tagen. Wenn Ereignisse in der ARI die konfigurierten Grenzwerte überschreiten, werden sie von der ASA als Bedrohung behandelt.
Es gibt zwei Schwellenwerte: durchschnittliche Rate und Burst-Rate. Die durchschnittliche Rate sinkt pro Sekunde über den ARI. Die Burst-Rate verwendet ein kürzeres Burst-Rate-Intervall (BRI). Seit 8.2(1) liegt BRI bei 1/30 des ARI oder 10 Sekunden, je nachdem, welcher Wert höher ist. Vor 8.2(1) lag BRI bei 1/60 des ARI. Die Mindestdauer von 10 Sekunden gilt für alle Softwareversionen.
Beispiel: Die durchschnittliche ACL-Drop-Rate von 400 bei einer ARI von 600 Sekunden bedeutet, dass die ASA in den letzten 600 Sekunden durchschnittlich ACL-Drops analysiert und eine Bedrohung protokolliert, wenn dieser Durchschnitt 400 pro Sekunde übersteigt. Bei der Burst-Rate 800 mit derselben ARI wird eine BRI von 20 Sekunden verwendet (600/30). Wenn die Zugriffskontrollliste in diesem 20-Sekunden-Fenster auf mehr als 800 pro Sekunde fällt, wird eine Bedrohung protokolliert.
Wenn ein grundlegendes Risiko erkannt wird, generiert die ASA das Syslog %ASA-4-733100. Wenn sowohl die Durchschnitts- als auch die Burst-Rate überschritten werden, kann die ASA zwei 733100 Nachrichten (eine pro Ratentyp) senden, mit maximal einer Nachricht pro Ratentyp pro Burst-Zeitraum.
Führen Sie den Befehl show threat-detection rate (Bedrohungserkennungsrate anzeigen) aus, um die durchschnittlichen, aktuellen, die Anzahl der Auslöser und die Gesamtzahl der Ereignisse anzuzeigen. Die ASA speichert Zählungen für 30 abgeschlossene BRIs am Ende jeder Burst-Periode. Der unfertige Strom BRI wird normalerweise vom Durchschnitt ausgeschlossen. Die Gesamtanzahl der Ereignisse entspricht der Summe der Ereignisse in diesen 30 BRI-Stichproben (mit einer Ausnahme in Echtzeit, wenn die nicht beendete BRI die älteste Stichprobe bereits überschreitet).
Die Burst-Rate im Syslog wird aus bisherigen Drops der aktuellen BRI berechnet, die regelmäßig abgetastet werden, sodass eine Sicherheitsverletzung gemeldet werden kann, bevor die BRI abgeschlossen wird (ein Syslog pro Ratentyp pro BRI). Die Burst/Current-Rate in Show Threat Detection Rate verwendet die letzte abgeschlossene BRI.
Bei der grundlegenden Bedrohungserkennung wird der Datenverkehr nicht verworfen oder zurückgewiesen. Es ist informativ (Überwachung und Berichterstattung.) Die Auswirkungen auf die Leistung sind gering und treten hauptsächlich bei Einbrüchen oder potenziellen Bedrohungen auf.
Erweiterte Bedrohungserkennung (Objektstatistiken und Top-N)
Erweiterte Bedrohungserkennung verfolgt Statistiken für detailliertere Objekte: Host-IPs, -Ports, -Protokolle, -ACLs und -Server, die durch das TCP-Intercept geschützt sind. Standardmäßig sind nur ACL-Statistiken aktiviert. Hoststatistiken haben bei hohem Datenverkehr erhebliche Auswirkungen auf die Leistung. Aktivieren Sie sie vorübergehend, wenn Sie sie benötigen. Die Hafenstatistik wirkt sich eher bescheiden aus.
Bei Host-, Port- und Protokollobjekten verfolgt die ASA Pakete, Bytes und verwirft gesendete und empfangene Pakete in festen Fenstern. Bei ACLs werden die zehn häufigsten ACEs (Zulassen und Ablehnen) überwacht, die in diesen Fenstern aufgetreten sind. Zulässige und abgelehnte ACE-Treffer werden in der oberen ACL-Anzeige nicht unterschieden.
Feste Fenster sind 20 Minuten, 1 Stunde, 8 Stunden und 24 Stunden. Die Fenster selbst sind nicht konfigurierbar. Die Durchsatzrate {1 | 2 | 3}-Schlüsselwort (nur Host, Port und Protokoll) steuert, wie viele der längeren Intervalle beibehalten werden:
- 1 (Standard) - nur das Intervall mit der kürzesten Rate, um die Speichernutzung gering zu halten
- 2 — die zwei kürzesten Intervalle
- 3 - 1 Stunde, 8 Stunden und 24 Stunden
Hoststatistiken werden gesammelt, während der Host in der Host-Datenbank der Scan-Bedrohung aktiv ist, und nach 10 Minuten Inaktivität gelöscht.
Wenn TCP-Intercept aktiviert ist, kann die Erkennung von Sicherheitsrisiken die Top 10 Server verfolgen, die angegriffen werden. Die TCP-Abfangstatistiken verwenden ein konfigurierbares Überwachungsfenster plus Durchschnitts- und Burst-Schwellenwerte (verfügbar ab 8.0(4)). Standardwerte:
- Ratenintervall (Verlaufsfenster): 30 Minuten (Bereich 1-1440). Die ASA nimmt während des Fensters 30 Samples vor (standardmäßig alle 60 Sekunden).
- Burst-Rate: 400 Angriffe/s — Syslog %ASA-4-733104
- Durchschnittliche Rate: 200 Angriffe/s — Syslog %ASA-4-733105
Zeigen Sie Statistiken an, indem Sie den Befehl show threat-detection statistics und show threat-detection statistics top ausführen. Diese Funktion wurde auch in die obersten Diagramme des klassischen ASDM-Firewall-Dashboards übernommen.
Die erweiterte Bedrohungserkennung ist informativ, mit der Ausnahme, dass TCP Intercept den Server bereits schützt. Allein aus diesen Statistiken wird kein zusätzlicher Block angewendet.
Scannen der Bedrohungserkennung
Das Scannen der Bedrohungserkennung verfolgt Hosts, die Verbindungen auf zu vielen Hosts in einem Subnetz oder auf zu vielen Ports auf einem Host oder Subnetz herstellen. Es ist standardmäßig deaktiviert. Im Gegensatz zur signaturbasierten IPS-Scan-Erkennung wird bei der ASA-Scan-Bedrohungserkennung eine Host-Datenbank verwaltet (Verbindungen ohne Rückgabeaktivitäten, Zugriff über geschlossene Ports, bestimmtes TCP-Verhalten usw.).
Das System teilt Durchsatzintervall, Durchschnittrate (ARI) und Burst-Rate (BRI) mit der grundlegenden Kategorie von Bedrohungen durch Scannen. Sie können keine separaten Tarife für einfache und Scanvorgänge konfigurieren. Der Unterschied besteht darin, dass die Erkennung von Sicherheitsrisiken einen Angreifer und eine Ziel-IP-Datenbank ausfindig macht. Es wird nur der Datenverkehr gezählt, der durch die ASA zugelassen wird und einen Datenstrom erzeugt. Grundlegende Funktionen zur Erkennung von Sicherheitsrisiken können weiterhin eine Scan-Bedrohung 733100 für Datenverkehr auslösen, der von ACL abgelehnt wurde. Die Erkennung von Sicherheitsrisiken wird nicht überprüft.
Wenn die Scan-Rate für Datenverkehr von einem Host überschritten wird, ist dieser Host ein Angreifer. Wenn dieser Wert für Datenverkehr zu einem Host überschritten wird, ist dieser Host ein Ziel. Syslog %ASA-4-733101 wird protokolliert. Sie können den Angreifer wahlweise meiden (%ASA-4-733102, wenn die Warnung hinzugefügt wird, %ASA-4-733103, wenn sie entfernt wird). Die voreingestellte Shuntdauer beträgt 3600 Sekunden (1 Stunde) und kann zwischen 10 und 2592000 Sekunden konfiguriert werden.
Das Scannen der Erkennung von Sicherheitsrisiken mit shun ist eine von zwei Funktionen, die den ansonsten zulässigen Datenverkehr aktiv verwerfen können (die andere Funktion ist die VPN-Erkennung von Sicherheitsrisiken).
Führen Sie den Befehl show threat-detection scanning-threat für die Angreifer-/Zieldatenbank aus, und show threat-detection shun nur für scan-threat shuns aus.
Anmerkung: Hosts ausschließen, die hochlegitimen Kontrollebenen- oder Multicast-Datenverkehr (z. B. PIM-Router) mit Threat-Detection-Scan-Threat-Shun senden, oder diese Pakete können verworfen werden, wenn ein Shun installiert wird.
Erkennung von Sicherheitsrisiken für VPN-Services (9.20(3)+/gelistete Züge)
Die VPN-Erkennung schützt das ASA-VPN-Headend für den Remote-Zugriff vor IPv4-DoS-artigen Angriffen. Standardmäßig sind alle drei Services deaktiviert. Wenn ein Service aktiviert ist und ein Host den Schwellenwert überschreitet, schüttelt die ASA diese IPv4-Adresse automatisch ab, bis Sie die Shun-Anweisung entfernen.
Services:
- Remote-Zugriffsauthentifizierung: Konsekutive RA VPN-Anmeldefehler (Kennwortspray/Brute Force). Halten 1-1440 Minuten; Schwellenwert 1-100. SAML-Authentifizierungsfehler werden nicht gezählt.
- RAS-Client-Initiationen: Eine wiederholte SSL/IKEv2-Verbindung, die nicht von einem Host aus abgeschlossen wird, wird gestartet. Halten 1-1440 Minuten; Schwellenwert 5-100.
- invalid-vpn-access: Versucht, integrierte Tunnelgruppen zu erreichen, die nur für den Betrieb des internen Geräts vorhanden sind. Eine passende IPv4-Adresse wird sofort ignoriert (Hold-Down/Schwellenwert effektiv 1/1).
Diese Angriffe können Authentifizierungs- und Sitzungsressourcen auch dann beanspruchen, wenn sie fehlschlagen. Wenn Sie die Halten-Taste und den Schwellenwert festlegen, berücksichtigen Sie PAT (Hotels, CGNAT): viele gültige Benutzer eine öffentliche IP gemeinsam nutzen können. Verwenden Sie höhere Werte, damit legitime Benutzer die Verbindung beenden können.
Die VPN-Erkennung von Sicherheitsrisiken überwacht standardmäßig nur IPv4. Shuns erscheinen in show shun, nicht in show threat-detection shun. Ähnliche Syslogs: %ASA-6-733200 (info) und %ASA-4-733201 (Schwellenwert überschritten; shun installed.)
Einschränkungen
- Für die Erkennung klassischer Bedrohungen ist ASA 8.0(2) oder höher erforderlich. Die frühere ASA 1000V-Plattform hat diese Funktion nicht unterstützt (diese Plattform ist abgelaufen).
- Sicherheitskontext: Mit Ausnahme von erweiterten Statistiken zu Bedrohungen und VPN-Services wird die Erkennung von Bedrohungen nur im Einzelkontextmodus unterstützt. Im Multiple-Context-Modus sind TCP-Intercept-Statistiken die erweiterte Statistik, die unterstützt wird. Die VPN-Erkennung von Sicherheitsrisiken wird auch im Multiple-Mode-Modus unterstützt.
- Firewall-Modus: Wird im Routing- und transparenten Modus unterstützt.
- Für einfache, erweiterte und Scan-Statistiken wird nur der Datenverkehr direkt durch den Gerät überwacht. An die ASA selbst gesendeter Datenverkehr wird nicht gezählt.
- Bei VPN-Services wird nur die sofort einsatzbereite IPv4 überwacht.
- Von einer ACL abgelehnter Datenverkehr löst keine Bedrohungserkennung aus (Angreifer-/Zielverfolgung). Bei ACL-Verwerfungen können die grundlegenden Scan-Bedrohungsraten erhöht werden.
- TCP-Verbindungsversuche, die vom Zielserver zurückgesetzt werden, werden nicht als SYN-Angriff oder Scan-Bedrohung gewertet.
- Die Erkennung von VPN-Authentifizierungsfehlern umfasst keine SAML-Fehler.
Konfiguration
Grundlegende Bedrohungserkennung
Grundlegende Funktionen zur Erkennung von Sicherheitsrisiken sind standardmäßig aktiviert. Sie können sie wie folgt erneut aktivieren:
ciscoasa(config)# threat-detection basic-threat
Deaktivierung ohne Erkennung von Basisbedrohungen. Anzeige der Standardraten mit Anzeige der vollständigen Bedrohungserkennung:
ciscoasa(config)# show run all threat-detection threat-detection rate dos-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate dos-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate bad-packet-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate bad-packet-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate acl-drop rate-interval 600 average-rate 400 burst-rate 800 threat-detection rate acl-drop rate-interval 3600 average-rate 320 burst-rate 640 threat-detection rate conn-limit-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate conn-limit-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate icmp-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate icmp-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate scanning-threat rate-interval 600 average-rate 5 burst-rate 10 threat-detection rate scanning-threat rate-interval 3600 average-rate 4 burst-rate 8 threat-detection rate syn-attack rate-interval 600 average-rate 100 burst-rate 200 threat-detection rate syn-attack rate-interval 3600 average-rate 80 burst-rate 160 threat-detection rate fw-drop rate-interval 600 average-rate 400 burst-rate 1600 threat-detection rate fw-drop rate-interval 3600 average-rate 320 burst-rate 1280 threat-detection rate inspect-drop rate-interval 600 average-rate 400 burst-rate 1600 threat-detection rate inspect-drop rate-interval 3600 average-rate 320 burst-rate 1280 threat-detection rate interface-drop rate-interval 600 average-rate 2000 burst-rate 8000 threat-detection rate interface-drop rate-interval 3600 average-rate 1600 burst-rate 6400
Passen Sie eine Kategorie an, indem Sie den Befehl rate der Bedrohungserkennung ausführen. Jede Kategorie kann bis zu drei Tarife haben (Tarif 1, 2 und 3). Auf die Rate-ID, die überschritten wurde, wird in 733100 verwiesen:
ciscoasa(config)# threat-detection rate acl-drop rate-interval 1200 average-rate 250 burst-rate 550
In diesem Beispiel wird 733100 generiert, wenn die Zugriffskontrollliste innerhalb von 1.200 Sekunden auf mehr als 250 Sekunden oder innerhalb von 40 Sekunden auf mehr als 550 Sekunden fällt (1.200/30 Sekunden).
Das Schlüsselwort scan-threat in diesem Befehl wird für die Erkennung von Scanbedrohungen freigegeben. Sie können die Scanraten selbst dann festlegen, wenn die grundlegende Bedrohungserkennung deaktiviert ist.
Erweiterte Bedrohungserkennung
Führen Sie den Befehl Bedrohungserkennungsstatistiken aus, um erweiterte Statistiken zu aktivieren. Ohne Schlüsselwort sind alle Statistiktypen aktiviert:
ciscoasa(config)# threat-detection statistics ? configure mode commands/options: access-list Keyword to specify access-list statistics host Keyword to specify IP statistics port Keyword to specify port statistics protocol Keyword to specify protocol statistics tcp-intercept Trace tcp intercept statistics <cr>
no Threat Detection Statistics (keine Optionen) löscht alle Statistikbefehle, einschließlich der Standard-Zugriffsliste für Statistiken zur Bedrohungserkennung.
ACL-Statistik (Standard bei):
ciscoasa(config)# threat-detection statistics access-list
Host, Port oder Protokoll mit optionaler Anzahl von Ratenintervallen:
ciscoasa(config)# threat-detection statistics host number-of-rate 2 ciscoasa(config)# threat-detection statistics port number-of-rate 2 ciscoasa(config)# threat-detection statistics protocol number-of-rate 3
TCP-Abfangstatistiken (auch im Multiple-Context-Modus verfügbar):
ciscoasa(config)# threat-detection statistics tcp-intercept ciscoasa(config)# threat-detection statistics tcp-intercept rate-interval 60 burst-rate 800 average-rate 600
Scannen der Bedrohungserkennung
ciscoasa(config)# threat-detection scanning-threat ciscoasa(config)# threat-detection rate scanning-threat rate-interval 1200 average-rate 10 burst-rate 20 ciscoasa(config)# threat-detection scanning-threat shun ciscoasa(config)# threat-detection scanning-threat shun duration 1000 ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.1 255.255.255.255 ciscoasa(config)# threat-detection scanning-threat shun except object-group no-shun
Sie können shun und except in einer Zeile kombinieren und den Befehl mehrmals eingeben, um weitere Adressen oder Objektgruppen auszunehmen.
ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.0 255.255.255.0
Erkennung von Sicherheitsrisiken für VPN-Services
ciscoasa(config)# threat-detection service invalid-vpn-access ciscoasa(config)# threat-detection service remote-access-client-initiations hold-down 10 threshold 20 ciscoasa(config)# threat-detection service remote-access-authentication hold-down 10 threshold 20
Deaktivieren Sie einen Dienst mit der no-Form des gleichen Befehls. Zurücksetzen von Zählern mit eindeutigem Service zur Erkennung von Bedrohungen.
Eine dedizierte exemplarische Vorgehensweise finden Sie unter Konfigurieren der Erkennung von Sicherheitsrisiken für Remotezugriff-VPN-Dienste auf der sicheren Firewall-ASA (Dokument-ID: 222315).
Leistung
Die grundlegende Bedrohungserkennung hat nur sehr geringe Auswirkungen auf die Leistung. Erweiterte Host-Statistiken und Scanning Threat Detection sind ressourcenintensiver, da sie Daten pro Host und pro Objekt speichern. Aktivieren Sie die Hoststatistik vorübergehend, während Sie ein bestimmtes Problem beheben.
Funktionen, die ansonsten zulässigen Datenverkehr verwerfen können:
- Scannen der Bedrohungserkennung mit shun
- VPN-Dienste zur Erkennung von Sicherheitsrisiken (automatische Zurückweisung)
Überwachen Sie den Speicher vor und nach der Aktivierung erweiterter oder Scan-Funktionen:
ciscoasa# show threat-detection memory ciscoasa# show memory app-cache threat-detection detail
show Threat-Detection Memory (8.3(1)+) ist der dokumentierte Befehl für Advanced-Statistics Memory. show memory app-cache: Bedrohungserkennung [detail] zeigt den Anwendungsblockcache an.
Empfohlene Maßnahmen
Wenn eine einfache Verlustrate überschritten und %ASA-4-733100 generiert wird
Beachten Sie die Bedrohungskategorie in 733100, und korrelieren Sie mit der Rate der Bedrohungserkennung. Aktivieren Sie dann show asp drop für die Gründe für den Absturz.
Verwenden Sie aus einem bestimmten Grund die ASP-Drop-Erfassung:
ciscoasa# capture drop type asp-drop acl-drop ciscoasa# show capture drop 1 packet captured 1: 18:03:00.205189 10.10.10.10.60670 > 192.168.1.100.53: udp 34 Drop-reason: (acl-drop) Flow is denied by configured rule
Bei diesem Beispiel handelt es sich um ein UDP/53-Paket von 10.10.10.10 bis 192.168.1.100.
Wenn 733100 das Scannen meldet, aktivieren Sie vorübergehend das Scannen der Bedrohungserkennung, damit die ASA Angreifer und Ziel-IPs aufzeichnen kann.
Die grundlegende Bedrohungserkennung zählt meistens Datenverkehr, den der ASP bereits gelöscht hat, sodass keine zusätzliche Löschaktion erforderlich ist. Ausnahmen sind SYN-Angriffe und Scanning-Bedrohungen, die Datenverkehr beinhalten, der durch die ASA geleitet wird.
Wenn die Tropfen für die Umgebung legitim sind, erhöhen Sie die Basisfrequenzintervalle. Wenn es sich um Angriffsverkehr handelt, blockieren oder begrenzen Sie die Upstream-Rate (ACLs, QoS) vor der ASA.
Bei SYN-Angriffen die Quelle in einer ACL verweigern oder TCP Intercept aktivieren, um das Ziel zu schützen (was stattdessen eine Bedrohung mit Verbindungsbegrenzung erzeugen kann). Zum Scannen können Sie eine ACL ablehnen oder das Scannen der Bedrohungserkennung mit shun aktivieren.
Wenn eine Scan-Bedrohung erkannt und %ASA-4-733101 protokolliert wird
733101 listet den Zielhost/Subnetz oder den Angreifer auf. Führen Sie für die vollständigen Listen den Befehl show threat-detection scanning-threat aus.
Die Erfassung der Angreifer- und Zielschnittstellen dient zur Bestätigung des Scans.
Wenn der Scan unerwartet erfolgt, blockieren oder begrenzen Sie die Upstream-Rate. Durch Hinzufügen von Shun kann die ASA alle Pakete vom Angreifer für die konfigurierte Dauer verwerfen. Blockieren Sie die ASA als letzte Möglichkeit mit einer ACL oder einem TCP-Intercept.
Falls es sich um ein falsches Positiv handelt, erhöhen Sie die Intervalle für die Scan-Bedrohungsrate.
Wenn ein Angreifer gemieden und %ASA-4-733102 protokolliert wird
733102 listet das Ziel für das Zurückweisen auf Bedrohungen beim Scannen auf. Führen Sie den Befehl show threat-detection shun nur für das Scannen von Threat-Shuns aus. Führen Sie show shun für jeden aktiven shun auf der ASA aus (Scannen, VPN-Erkennung von Sicherheitsrisiken und manuelles shun).
Für einen echten Angriff sollten Sie außerdem so weit wie möglich Upstream-Verbindungen blockieren, damit zwischengeschaltete Geräte den Datenverkehr nicht verarbeiten. Bei Fehlalarmen entfernen Sie den Scan-Shun:
ciscoasa# clear threat-detection shun ciscoasa# clear threat-detection shun 10.1.1.6
Wenn %ASA-4-733104 und/oder %ASA-4-733105 protokolliert wird
Diese Syslogs benennen einen Host, der bereits durch TCP Intercept geschützt ist. 733104 ist die Burst-Rate; 733105 ist die Durchschnittsrate. Überprüfen:
ciscoasa# show threat-detection statistics top tcp-intercept Top 10 protected servers under attack (sorted by average rate) Monitoring window size: 30 mins Sampling interval: 30 secs ---------------------------------------------------------------------------------- 1 192.168.1.2:5000 inside 1249 9503 2249245 Last: 10.0.0.3 (0 secs ago) 2 192.168.1.3:5000 inside 10 10 6080 10.0.0.200 (0 secs ago)
Überprüfen Sie, ob die Verbindungsgrenzwerte ausreichend sind. Blockieren Sie nach Möglichkeit den Angreifer im Upstream. Passen Sie bei Fehlalarmen die tcp-intercept-Raten der Bedrohungserkennungsstatistik an.
Wenn ein VPN-Host übergangen und %ASA-4-733201 protokolliert wird
733201 benennt den Dienst und Peer, der den Schwellenwert überschritten hat. Bestätigen mit:
ciscoasa# show threat-detection service ciscoasa# show threat-detection service remote-access-authentication details ciscoasa# show shun
IPs, die gemieden wurden, werden aus der Liste der Serviceeinträge entfernt. Der Blockierungszähler wird inkrementiert. Wenn der Host legitim ist (gemeinsam genutzte PAT, falsch konfigurierter Client), entfernen Sie den Shun:
ciscoasa# no shun 192.168.100.101 ciscoasa# no shun 192.168.100.101 interface outside
Wenn die Adresse auf mehr als einer Schnittstelle ignoriert wird und Sie die Schnittstelle auslassen, entfernt kein Shun den Shun nur von einer Schnittstelle (Route-Lookup). Geben Sie die Schnittstelle an, um zusätzliche Schnittstellen zu löschen. Mit clear shun werden alle Shuns auf allen Schnittstellen entfernt.
Keine klare Erkennung von Sicherheitsrisiken für VPN-Shuns ausführen; Dieser Befehl gilt nur für das Scannen von Bedrohungserkennungen.
Wenn gültige Benutzer gemieden werden, heben Sie die Halten-/Schwellenwertfunktion (insbesondere hinter PAT) an, oder deaktivieren Sie den Dienst, bis Sie ihn optimieren.
Manuelle Auslösung von Bedrohungen
Testen und beheben Sie mithilfe dieser Methoden Fehler. Sie dürfen nur in einer isolierten Umgebung ausgeführt werden.
Grundlegende Bedrohungen - ACL-Drop, Firewall und Scanning
ACL Drop, Firewall und Scanning basische Kategorien berücksichtigen alle acl-drop. So lösen Sie beide Möglichkeiten aus:
1. Erstellen Sie eine ACL auf der externen Schnittstelle, die TCP einem internen Ziel (10.11.11.11) verweigert:
access-list outside_in extended line 1 deny tcp any host 10.11.11.11 access-list outside_in extended permit ip any any access-group outside_in in interface outside
2. Führen Sie von einem externen Angreifer (10.10.10.10) einen TCP-SYN-Scan aus:
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
Anmerkung: T5 läuft so schnell wie möglich nmap. Der PC des Angreifers kann immer noch zu langsam für die Standardraten sein. Senken Sie die konfigurierten Raten für die Kategorie, die Sie anzeigen möchten. Wenn Sie ARI und BRI auf 0 setzen, löst die grundlegende Bedrohungserkennung unabhängig von der Übertragungsrate aus.
3. Grundlegende Bedrohungen werden protokolliert, z. B.:
%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 19 per second, max configured rate is 10; Current average rate is 9 per second, max configured rate is 5; Cumulative total count is 5538 %ASA-4-733100: [ ACL drop] drop rate-1 exceeded. Current burst rate is 19 per second, max configured rate is 0; Current average rate is 2 per second, max configured rate is 0; Cumulative total count is 1472 %ASA-4-733100: [ Firewall] drop rate-1 exceeded. Current burst rate is 18 per second, max configured rate is 0; Current average rate is 2 per second, max configured rate is 0; Cumulative total count is 1483
Anmerkung: In diesem Beispiel wurden ACL-Drop und Firewall-ARI/BRI auf 0 gesetzt, sodass sie immer ausgelöst werden (die konfigurierte maximale Geschwindigkeit ist 0).
Erweiterte Bedrohung - TCP-Intercept
1. TCP dem internen Ziel erlauben:
access-list outside_in extended line 1 permit tcp any host 10.11.11.11 access-group outside_in in interface outside
2. Wenn das Ziel nicht vorhanden ist oder die Verbindungen zurücksetzt, wird ein Blackhole mit einem statischen ARP-Eintrag verwendet:
arp inside 10.11.11.11 dead.dead.dead
3. Erstellen Sie eine einfache TCP-Intercept-Richtlinie (embryonaler/konner Grenzwert):
access-list tcp extended permit tcp any any
class-map tcp
match access-list tcp
policy-map global_policy
class tcp
set connection conn-max 2
service-policy global_policy global
Scannen Sie vom Angreifer aus:
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
ciscoasa(config)# show threat-detection statistics top tcp-intercept Top 10 protected servers under attack (sorted by average rate) Monitoring window size: 30 mins Sampling interval: 30 secs -------------------------------------------------------------------------------- 1 10.11.11.11:18589 outside 0 0 1 10.10.10.10 (36 secs ago) 2 10.11.11.11:47724 outside 0 0 1 10.10.10.10 (36 secs ago)
Scannen von Bedrohungen
1. TCP für das Ziel zulassen (Scannen von Bedrohungserkennung nur Spuren erlaubt, erstellte Flows):
access-list outside_in extended line 1 permit tcp any host 10.11.11.11 access-group outside_in in interface outside
2. Falls erforderlich, Blackhole mit statischem ARP. Verbindungen, die von einem echten Server zurückgesetzt wurden, werden nicht gezählt.
arp inside 10.11.11.11 dead.dead.dead
3. Scannen Sie vom Angreifer. Niedrigere Übertragungsraten oder ARI/BRI auf 0 setzen, wenn nmap nicht schnell genug ist.
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
4. Erwartete Protokolle bei aktiviertem Shun:
%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 17 per second, max configured rate is 10; Current average rate is 0 per second, max configured rate is 5; Cumulative total count is 404 %ASA-4-733101: Host 10.10.10.10 is attacking. Current burst rate is 17 per second, max configured rate is 10; Current average rate is 0 per second, max configured rate is 5; Cumulative total count is 700 %ASA-4-733102: Threat-detection adds host 10.10.10.10 to shun list
Zugehörige Informationen
- Cisco Secure Firewall ASA Firewall CLI Configuration Guide, 9.20 — Threat Detection (auch veröffentlicht für 9.23/9.24)
- Konfigurieren von Bedrohungserkennung für Remotezugriff-VPN-Dienste auf sicherer Firewall-ASA (Dokument-ID: 222315)
- ASA-Befehlsreferenz - Befehle zur Erkennung von Bedrohungen
- ASA-Befehlsreferenz - Befehle zur Erkennung von Sicherheitsrisiken anzeigen
- Syslog-Meldungen der Cisco Secure Firewall der ASA-Serie (733100-733105, 733200-733201)
- Zuordnung von ASA zu Threat Defense-Funktionen - Erkennung von Bedrohungen
- Technischer Support und Downloads von Cisco
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
5.0 |
16-Sep-2026
|
Aktualisierte Rechtschreibung, Grammatik, eingefügte horizontale Linien in separate Abschnitte zur besseren Lesbarkeit, aktualisierte URLs für HTTPs und korrigierte CCW-Warnmeldungen. |
4.0 |
20-Jun-2023
|
Erneut veröffentlichen |
3.0 |
20-Jun-2023
|
Aktualisiert PII, Einführung, Stilanforderungen, maschinelle Übersetzung, Gerunds und Formatierung. |
1.0 |
31-Aug-2012
|
Erstveröffentlichung |
FeedbackCisco kontaktieren
- Eine Supportanfrage öffnen
- (Erfordert einen Cisco Servicevertrag)