Mitigar los ataques mediante pulverización de contraseñas en el firewall seguro VPN remoto

Introducción

Este documento describe las recomendaciones a considerar contra los ataques de aspersión de contraseña dirigidos a los servicios VPN de acceso remoto en Secure Firewall.

Antecedentes

Los ataques mediante pulverización de contraseñas son un tipo de ataque de fuerza bruta en el que un atacante intenta obtener acceso no autorizado a varias cuentas de usuario mediante el uso sistemático de algunas contraseñas de uso común en muchas cuentas. Los ataques con pulverización de contraseñas pueden provocar un acceso no autorizado a información confidencial, violaciones de datos y posibles riesgos para la integridad de la red

Además, estos ataques, incluso cuando no consiguen obtener acceso, pueden consumir recursos informáticos del firewall seguro e impedir que los usuarios válidos se conecten a los servicios VPN de acceso remoto.

 

Comportamientos observados

Cuando el firewall seguro es objetivo de ataques de pulverización de contraseña en los servicios VPN de acceso remoto, puede identificar estos ataques supervisando los registros del sistema y ejecutando comandos show específicos. Los comportamientos más comunes que se deben buscar incluyen:

Cantidad inusual de solicitudes de autenticación rechazadas

El Cisco Secure Firewall ASA o FTD de cabecera de VPN muestra síntomas de ataques de pulverización de contraseñas con una tasa inusual de intentos de autenticación rechazados. 

Nota: Estos inusuales intentos de autenticación pueden dirigirse hacia la base de datos LOCAL o hacia servidores de autenticación externos.

 

La mejor manera de detectar esto es mirando el syslog. Busque un número inusual de cualquiera de los siguientes ID de syslog de ASA:

 

• %ASA-6-113015

%ASA-6-113015: AAA user authentication Rejected : reason = User was not found : local database : user = admin : user IP = x.x.x.x

 

• %ASA-6-113005

%ASA-6-113005: AAA user authentication Rejected : reason = Unspecified : server = x.x.x.x : user = ***** : user IP = x.x.x.x

 

• %ASA-6-716039

%ASA-6-716039: Group <DfltGrpPolicy> User <admin> IP <x.x.x.x> Authentication: rejected, Session Type: WebVPN.

 

El nombre de usuario siempre está oculto hasta que se configura el comando no logging hide username en el ASA.

Nota: Esto proporciona información sobre cómo verificar si las IP infractoras generan o conocen usuarios válidos. Sin embargo, tenga cuidado ya que los nombres de usuario son visibles en los registros.

Para verificarlo, inicie sesión en la interfaz de línea de comandos (CLI) de ASA o FTD y ejecute el comando show aaa-server. Investigue un número inusual de solicitudes de autenticación intentadas y rechazadas a cualquiera de los servidores AAA configurados:

ciscoasa# show aaa-server

Server Group: LDAP-SERVER - - - - - >>>> Sprays against external server
Server Protocol: ldap
Server Hostname: ldap-server.example.com
Server Address: 10.10.10.10
Server port: 636
Server status: ACTIVE, Last transaction at unknown
Number of pending requests 0
Average round trip time 0ms
Number of authentication requests 2228536 - - - - - >>>> Unusual increments
Number of authorization requests 0
Number of accounting requests 0
Number of retransmissions 0
Number of accepts 1312
Number of rejects 2225363 - - - - - >>>> Unusual increments / Unusual rejection rate
Number of challenges 0
Number of malformed responses 0
Number of bad authenticators 0
Number of timeouts 1
Number of unrecognized responses 0 

Recomendaciones

Considerar y aplicar las recomendaciones descritas:

1. Activar registro

El registro es una parte crucial de la ciberseguridad que implica registrar los eventos que se producen dentro de un sistema. La ausencia de registros detallados deja lagunas en la comprensión y dificulta un análisis claro del método de ataque. Se recomienda habilitar el registro en un servidor syslog remoto para mejorar la correlación y la auditoría de los incidentes de seguridad y de red en varios dispositivos de red.

Para obtener información sobre cómo configurar el registro, consulte estas guías específicas de la plataforma:

 

Software Cisco ASA:

• Guía de firewall ASA seguro
• Guía de registro CLI de configuración de operaciones generales de Cisco Secure Firewall ASA Series

 

Software Cisco FTD:

• Configuración del inicio de sesión en FTD mediante Firewall Management Center (FMC)
• Sección Configure Syslog en el capítulo Platform Settings de la Guía de configuración de dispositivos de Cisco Secure Firewall Management Center
• Configuración y verificación de Syslog en el administrador de dispositivos Firepower
• Configuración de la sección Configuración de registro del sistema del capítulo Configuración del sistema de la Guía de configuración de Cisco Firepower Threat Defense para Firepower Device Manager

Nota: Los ID de mensajes de syslog son necesarios para verificar los comportamientos descritos en este documento (113015, 113005 y 716039). Se deben habilitar en el nivel informativo (6) ya que estos IDs pertenecen a las clases de registro 'auth' y 'webvpn'.

 

2. Configurar funciones de detección de amenazas o medidas de refuerzo para VPN de acceso remoto

Para ayudar a mitigar el impacto y reducir la probabilidad de ocurrencia de estos ataques de fuerza bruta en sus conexiones RAVPN, puede revisar y aplicar las siguientes opciones de configuración:

 

Opción 1 (recomendada): Configuración de la detección de amenazas para los servicios VPN de acceso remoto

Las funciones de detección de amenazas para los servicios VPN de acceso remoto ayudan a evitar los ataques DoS (denegación de servicio) desde direcciones IPv4 bloqueando automáticamente el host (dirección IP) que supera los umbrales configurados para evitar más intentos hasta que elimine manualmente el rechazo de la dirección IP. Hay servicios independientes disponibles para estos tipos de ataques:

• Repetidos intentos fallidos de autenticación para los servicios VPN de acceso remoto (ataques de escaneo de nombre de usuario/contraseña por fuerza bruta).
• El cliente inicia ataques donde el atacante comienza, pero no completa los intentos de conexión a una cabecera VPN de acceso remoto repetidas veces desde un único host.
• La conexión intenta establecer servicios VPN de acceso remoto no válidos cuando los atacantes intentan conectarse a grupos de túnel integrados específicos destinados únicamente al funcionamiento interno del dispositivo. Los terminales legítimos nunca deben intentar conectarse a estos grupos de túnel.

 

Estas funciones de detección de amenazas son compatibles actualmente con las siguientes versiones de Cisco Secure Firewall:

 

Software ASA:

• versión 9.16 train -> compatible con 9.16(4)67 y versiones más recientes de este tren específico.
• versión 9.17 train -> compatible con la versión 9.17(1)45 y versiones más recientes de este tren específico.
• versión 9.18 train -> compatible con 9.18(4)40 y versiones más recientes de este tren específico.
• versión 9.19 train -> compatible con 9.19(1).37 y versiones más recientes de este tren específico.
• versión 9.20 train -> compatible con 9.20(3) y versiones más recientes de este tren específico.
• 9.22 version train -> compatible con 9.22(1.1) y cualquier versión más reciente.

 

Software FTD:

• 7.0 version train -> soportado desde 7.0.6.3 y versiones más recientes dentro de este tren específico.
• 7.2 version train -> soportado desde 7.2.9 y versiones más recientes dentro de este tren específico.
• 7.4 version train -> soportado desde 7.4.2.1 y versiones más recientes dentro de este tren específico.
• 7.6 version train -> soportado desde 7.6.0 y cualquier versión más reciente.

Nota: Estas funciones actualmente no son soportadas en las versiones 7.1 o 7.3.

 

Para obtener más información y ayuda para la configuración, consulte las guías de documentación:

• Configuración en Secure Firewall ASA: Configurar la detección de amenazas para VPN de acceso remoto en Secure Firewall ASA
• Configuración de Secure Firewall FTD administrado por FMC: configurar la detección de amenazas para los servicios VPN de acceso remoto en Secure Firewall Management Center
• Configuración de FTD de firewall seguro administrado por FDM: Configuración de la detección de amenazas para los servicios VPN de acceso remoto en el Administrador de dispositivos de firewall seguro

 

Opción 2: Aplicar medidas de refuerzo para VPN de acceso remoto

Nota: Estas medidas solo ayudan a reducir el riesgo, sin embargo, no son una medida preventiva contra los ataques de DoS dirigidos a los servicios RAVPN.

 

Si la versión de Secure Firewall no admite las funciones de detección de amenazas de los servicios VPN de acceso remoto, implemente medidas de refuerzo para reducir el riesgo de impacto de estos ataques:

1. Inhabilite la autenticación AAA en los perfiles de conexión DefaultWEBVPN y DefaultRAGroup (paso a paso:ASA|FTD administrado por FMC).
2. Desactive la condición de firewall seguro (Hostscan) de DefaultWEBVPNGroup y DefaultRAGroup (paso a paso: ASA|FTD administrado por FMC).
3. Inhabilite los alias de grupo y las URL de grupo en el resto de los perfiles de conexión (paso a paso: ASA|FTD administrado por FMC).

Nota: Si necesita asistencia adicional con FTD gestionado a través de la gestión de dispositivos de firewall (FDM) local, póngase en contacto con el TAC de Cisco para obtener asesoramiento de expertos.

 

Para obtener más detalles, consulte la Guía de Implementación de Medidas de Refuerzo para Secure Client AnyConnect VPN.

 

Comportamientos relacionados

Los usuarios pueden experimentar la imposibilidad de establecer conexiones VPN con Cisco Secure Client (AnyConnect) cuando la condición del firewall (HostScan) está habilitada en Secure Firewall. Puede encontrar intermitentemente un mensaje de error que dice: "No se puede completar la conexión. Cisco Secure Desktop no está instalado en el cliente".

Este comportamiento es una consecuencia de la explotación exitosa de la vulnerabilidad CVE-2024-20481 descrita a continuación.

ID de bug de Cisco CSCwj45822: Vulnerabilidad por denegación de servicio de VPN de acceso remoto al software Cisco ASA y FTD (CVE-2024-20481)

Esta vulnerabilidad se debe al agotamiento de los recursos debido a los ataques mediante pulverización de contraseñas, en los que los atacantes envían numerosas solicitudes de autenticación de VPN al dispositivo objetivo. La explotación exitosa puede conducir a una Denegación de Servicio para el servicio RAVPN. Un síntoma clave de esta vulnerabilidad es cuando los usuarios se encuentran de forma intermitente con el mensaje "No se puede completar la conexión. Cisco Secure Desktop no está instalado en el cliente". mensaje de error cuando intentan establecer una conexión RAVPN utilizando Cisco Secure Client.

Para corregir esta vulnerabilidad, es necesario actualizar a las versiones de software enumeradas en el aviso de seguridad. Además, se recomienda activar las funciones de detección de amenazas para VPN de acceso remoto después de actualizar el firewall seguro a estas versiones para protegerse contra los ataques de DoS dirigidos a los servicios VPN de RA.

Consulte el aviso de seguridad de Vulnerabilidad por denegación de servicio por fuerza bruta de VPN de acceso remoto del software Cisco ASA y FTD para obtener más detalles.

 

Additional Information

• Procedimientos de investigación forense de Cisco ASA para los primeros en responder

• Procedimientos de investigación forense de Cisco Firepower Threat Defence para los primeros en responder
• Asesoramiento sobre amenazas de Cisco Talos

Si necesita más ayuda, póngase en contacto con el TAC de Cisco. Se necesita un contrato de soporte válido: Contactos de soporte a nivel mundial de Cisco.

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
8.0	01-Jul-2026	Título del artículo actualizado, introducción, ortografía, espaciado, texto alternativo, alertas de CCW y URL.
7.0	26-Oct-2024	Se ha actualizado la sección "Comportamientos relacionados" para agregar una vulnerabilidad reciente relacionada con este documento.
6.0	20-Sep-2024	Se han actualizado las versiones compatibles de las funciones de detección de amenazas para VPN de acceso remoto.
5.0	06-Sep-2024	Se ha añadido la recomendación "Configurar la detección de amenazas para VPN de acceso remoto".
4.0	22-Apr-2024	Se han actualizado las secciones de "Información general" y "Recomendaciones".
3.0	15-Apr-2024	El ID de bug de Cisco CSCwj45822, agregado la subsección "Agotamiento de Token de Hostscan", agregado la sección "Implementaciones de endurecimiento adicionales para RAVPN"
2.0	01-Apr-2024	Se actualizó el título del documento, se cambió el nombre de la sección "IoC" a "Patrones inusuales observados" y se añadieron más detalles en la sección "Recomendaciones".
1.0	26-Mar-2024	Versión inicial