Acción de advertencia de acceso seguro Anular comportamiento con configuración de bloqueo IPS

Problema

Al probar el comportamiento de advertencia en una política de acceso (acceso a Internet) en Cisco Secure Access con IPS activado, los usuarios experimentan un comportamiento inesperado en el que la acción de advertencia aparece para anular la configuración de bloqueo IPS. Específicamente, cuando se accede a una URL destinada a activar una firma IPS (intento de acceso a un archivo SERVER-WEBAPP /etc/passwd, GID-SID: 1-1122), se muestra una página de advertencia y, tras la confirmación del usuario, se permite el acceso a la URL a pesar de que IPS se haya configurado para bloquear el tráfico.

La configuración incluye:

• Acción: Aislar

• Prevención de intrusiones (IPS): Habilitar

• IPS/Bloquear

• Firma: Intento de acceso al archivo SERVER-WEBAPP /etc/passwd

• GID-SID: 1-1122

Los registros de búsqueda de actividad muestran entradas conflictivas:

• IPS: (IPS: bloqueo)

• WEB: (WEB: permitir: se muestra una página de advertencia)

• WEB: (WEB: permitir (tras el acceso de advertencia)

Entorno

• Producto: Ventaja de Cisco Secure Internet Access

• Tecnología: Acceso seguro

• Política de acceso configurada con la acción Acceso a Internet y Avisar

• IPS habilitado con acción de bloqueo para firmas específicas

Resolución

Este comportamiento se ha identificado como un defecto en Cisco Secure Access, donde la acción Advertir de las políticas de acceso tiene prioridad sobre la configuración de bloqueo IPS. Este problema afecta a la interacción entre las acciones de advertencia de la política de acceso y la funcionalidad de bloqueo IPS.

Pasos de verificación

Para verificar este comportamiento en su entorno:

Paso 1: Configure la política de acceso con la acción de advertencia y habilite el bloqueo IPS:

• Establezca Acción en Aislar con el comportamiento de advertencia.

• Active la prevención de intrusiones (IPS).

• Configuración de IPS con acción de bloqueo.

• Aplique una firma específica (como el intento de acceso al archivo SERVER-WEBAPP /etc/passwd, GID-SID: 1-122).

Paso 2: Pruebe la configuración accediendo a una URL que activa la firma IPS:

https://example.com/etc/passwd

Paso 3: Observe el comportamiento:

• Página de advertencia que se muestra al usuario.

• El usuario puede continuar después de confirmar la advertencia.

• Se permite el acceso a la URL a pesar de la configuración del bloque IPS.

Paso 4: Comprobar registros de búsqueda de actividad:

• Verifique la presencia de entradas de bloqueo IPS y de permiso WEB.

• Confirme que las entradas de registro en conflicto indiquen el defecto.

Estado actual

Este comportamiento se ha confirmado como un defecto en el que la acción Advertir anula la configuración de bloqueo IPS por diseño en la implementación actual. El mismo comportamiento ocurre con las firmas IPS que no son GID-SID: 1-1122, lo que indica que se trata de un problema sistémico que afecta a todas las firmas IPS cuando se configuran acciones de advertencia.

Aún no se ha determinado un plan de corrección y un calendario para este defecto. Las organizaciones que experimentan este problema deben evaluar sus políticas de seguridad y considerar configuraciones alternativas si se requiere un bloqueo IPS estricto.

Causa

La causa principal es un defecto en Cisco Secure Access, donde el procesamiento de la acción de advertencia de la política de acceso tiene prioridad sobre la aplicación del bloque IPS. Este defecto de diseño permite a los usuarios omitir los controles de seguridad IPS a través del mecanismo de confirmación de advertencia, anulando de forma efectiva la funcionalidad de bloqueo IPS cuando se configuran las acciones de advertencia.

Contenido relacionado

• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	27-Jul-2026	Recertificación
1.0	14-Jun-2026	Versión inicial