À l’aide des statistiques de détection des menaces de base, l’ASA surveille le taux d'abandons de paquets et les événements de sécurité pour les raisons suivantes  :

• Déni par les listes de contrôle d’accès.

• Mauvais format de paquet (comme invalid-ip-header ou invalid-tcp-hdr-length).

• Limites de connexion dépassées (limites de ressources à l’échelle du système et limites définies dans la configuration).

• Attaque DoS détectée (comme un SPI non valide, échec de vérification de pare-feu avec état).

• Échec des vérifications de base du pare-feu. Cette option est un débit combiné qui inclut tous les abandons de paquets liés au pare-feu dans cette liste. Il n’inclut pas les abandons non liés au pare-feu, tels que la surcharge d’interface, les échecs de paquets lors de l’inspection de l’application et les attaques par analyse détectées.

• Paquets ICMP suspects détectés.

• Paquets ayant échoué à l'inspection de l’application.

• Surcharge de l’interface.

• Attaque par analyse détectée. Cette option surveille les attaques par analyse; par exemple, le premier paquet TCP n’est pas un paquet SYN, ou la connexion TCP a échoué dans l’établissement de liaison à 3 voies. La détection des menaces d’analyse complète prend ces informations de taux d’attaque d’analyse et agit en classant les hôtes comme agresseurs et en les contournant automatiquement, par exemple.

• Session incomplète détectée, comme l’attaque TCP SYN détectée ou la session UDP sans retour de données détectée.

Lorsque l’ASA détecte une menace, il envoie immédiatement un message de journal système (733100). L’ASA suit deux types de taux : le taux moyen d’événements sur un intervalle, et le taux d’événements en rafale sur un intervalle de rafale plus court. L’intervalle de débit en rafale est de 1/30 de l’intervalle de débit moyen ou de 10 secondes, selon le plus élevé des deux. Pour chaque événement reçu, l’ASA vérifie les limites de débit moyen et de rafale; si les deux débits sont dépassés, l’ASA envoie deux messages système distincts, avec un maximum d’un message pour chaque type de débit par période de rafale.

La détection des menaces de base affecte les performances uniquement en cas d’abandon ou de menace potentielle; même dans ce scénario, l’incidence sur les performances est négligeable.

Les statistiques de détection avancée des menaces affichent les débits de trafic autorisés et abandonnés pour les objets individuels tels que les hôtes, les ports, les protocoles ou les listes de contrôle d’accès.

Mise en garde

L’activation des statistiques avancées peut affecter les performances de l’ASA, selon le type de statistiques activées. L’activation des statistiques sur l’hôte a une incidence importante sur les performances ; si vous avez une charge de trafic élevée, vous pouvez envisager d’activer temporairement ce type de statistiques. Les statistiques de port ont cependant une incidence faible.

Une attaque par analyse typique se compose d’un hôte qui teste l’accessibilité de chaque adresse IP d’un sous-réseau (en analysant de nombreux hôtes dans le sous-réseau ou en balayage de nombreux ports dans un hôte ou un sous-réseau). La fonction de détection des menaces par analyse détermine quand un hôte effectue une analyse. Contrairement à la détection d’analyse IPS qui est basée sur les signatures de trafic, la fonction de détection des menaces par analyse ASA gère une base de données étendue qui contient des statistiques d’hôte pouvant être analysées pour l’activité d’analyse.

La base de données d’hôtes suit les activités suspectes telles que les connexions sans activité de retour, l’accès à des ports de service fermés, les comportements TCP vulnérables tels que les IPID non aléatoires, etc.

Si le taux de menace d’analyse est dépassé, l’ASA envoie un message syslog (733101) et bloque éventuellement l’agresseur. L’ASA suit deux types de taux : le taux moyen d’événements sur un intervalle, et le taux d’événements en rafale sur un intervalle de rafale plus court. Le taux d’événements en rafale est de 1/30 de l’intervalle de débit moyen ou de 10 secondes, selon le plus élevé des deux. Pour chaque événement détecté et considéré comme faisant partie d’une attaque par analyse, l’ASA vérifie les limites de débit moyen et de rafale. Si l’un ou l’autre de ces débits est dépassé pour le trafic envoyé par un hôte, cet hôte est considéré comme un agresseur. Si l’un ou l’autre de ces débits est dépassé pour le trafic reçu par un hôte, cet hôte est considéré comme une cible.

Le tableau suivant répertorie les limites de débit par défaut pour la détection des menaces d’analyse.

Mise en garde

La fonction de détection des menaces par analyse peut affecter de manière significative les performances et la mémoire de l’ASA pendant qu’elle crée et recueille une structure de données et des informations basées sur l’hôte et le sous-réseau.

Choisissez Home (Accueil) > Firewall Dashboard (Tableau de bord du pare-feu) > Traffic Overview (Aperçu du trafic) pour afficher les statistiques de détection des menaces de base.

Vous pouvez surveiller les statistiques avancées sur les menaces à l’aide des tableaux de bord suivants :

• Accueil > Tableau de bord du pare-feu > 10 principaux critères d’accès : affiche les critères d’accès les plus sollicités. Les autorisations et les refus ne sont pas distingués dans ce graphique. Vous pouvez suivre le trafic refusé dans le graphique Aperçu du trafic > Taux de paquets abandonnés.

• Accueil > Tableau de bord du pare-feu > Statistiques d’utilisation : les onglets 10 principales sources et 10 principales destinations affichent les statistiques sur les hôtes. En raison de l’algorithme de détection des menaces, une interface utilisée comme combinaison de basculement et de lien d’état peut apparaître dans les 10 principaux hôtes; il s’agit du comportement attendu, et vous pouvez ignorer cette adresse IP dans l’affichage.

  L’onglet Top 10 Services (10 principaux services) affiche les statistiques pour les ports et les protocoles (les deux doivent être activés pour l’affichage) et affiche les statistiques combinées des types de ports TCP/UDP et de protocoles IP. TCP (protocole 6) et UDP (protocole 17) ne sont pas inclus dans l'affichage pour les protocoles IP; cependant, les ports TCP et UDP sont inclus dans l'affichage pour les ports. Si vous n’activez les statistiques que pour l’un de ces types, port ou protocole, vous ne pourrez afficher que les statistiques activées.

• Accueil > Tableau de bord du pare-feu > Les dix principaux serveurs protégés sous l’attaque SYN : affiche les statistiques d’interception TCP. Cliquez sur le bouton Detail (Détails) pour afficher les données d’échantillonnage de l’historique. L’ASA échantillonne le nombre d’attaques 30 fois au cours de l’intervalle de débit ; ainsi, pour la période par défaut de 30 minutes, des statistiques sont collectées toutes les 60 secondes.