Verifica della configurazione e della funzionalità di rilevamento delle minacce ASA
Sommario
Introduzione
In questo documento viene descritta la funzionalità e la configurazione di rilevamento minacce su Cisco Secure Firewall ASA.
Prerequisiti
Requisiti
Cisco consiglia la conoscenza della CLI ASA, del controllo degli accessi e della VPN ad accesso remoto (per il rilevamento delle minacce VPN).
Componenti usati
- Classico rilevamento minacce (Basic, Advanced, Scanning): Software ASA versione 8.0(2) e successive. Le statistiche di TCP Intercept richiedono la versione 8.0(4) / 8.1(2) o successive. La durata Shun è configurabile a partire da 8.0(4) / 8.1(2).
- Rilevamento minacce per servizi VPN: Introdotto nel treno 9.20 alle 9.20(3). Cisco documenta inoltre questi valori minimi in altri treni ai punti 9.16(4)67, 9.17(1)45, 9.18(4)40, 9.19(1).37 e 9.22(1.1) (9.22(1) non è stato rilasciato).
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Premesse
Il rilevamento delle minacce sull'appliance ASA fornisce una difesa in linea frontale di layer 3/4. Crea una baseline dalle statistiche di packet-drop e dai primi report facoltativi a livello di oggetto. non sostituisce un modulo IPS dedicato o un modulo IPS di nuova generazione, che controlla il traffico autorizzato fino al layer 7; i due possono lavorare insieme.
Nota: Questo articolo descrive il set di funzionalità dell'ASA CLI. Cisco Secure Firewall Threat Defense (FTD) espone una funzionalità di rilevamento delle minacce correlata ma non identica nelle impostazioni avanzate dei criteri di controllo di accesso. Non trattare il rilevamento delle minacce FTD come mappatura 1:1 di questi comandi. Per ulteriori informazioni, consultare l'articolo sulla mappatura delle funzionalità di difesa delle minacce dell'appliance ASA.
Il rilevamento delle minacce fornisce agli amministratori del firewall gli strumenti per identificare, comprendere e (per i servizi di scansione e VPN) arrestare gli attacchi. Si basa su trigger di velocità, statistiche a livello di oggetto e shun automatici facoltativi.
Questa feature è costituita da quattro componenti:
- Rilevamento di base delle minacce (drop rate a livello di sistema) - Abilitato per impostazione predefinita
- Advanced Threat Detection (statistiche a livello di oggetto e primi N) - Statistiche ACL abilitate per impostazione predefinita
- Rilevamento delle minacce durante l'analisi (database di destinazione/utente non autorizzato, shun opzionale) - Disabilitato per impostazione predefinita
- Rilevamento delle minacce per i servizi VPN (protezione RA VPN DoS, shun automatico) — Disabilitato per impostazione predefinita; 9.20(3)+ / treni elencati
Funzionalità di rilevamento minacce
Rilevamento di base delle minacce (velocità a livello di sistema)
Il rilevamento delle minacce di base è abilitato per impostazione predefinita sulle appliance ASA con versione 8.0(2) e successive.
Controlla la frequenza con cui i pacchetti vengono scartati dall'appliance ASA. Le statistiche si applicano all'intero accessorio e in genere non sono sufficientemente granulari per identificare l'host di origine. L'appliance ASA monitora i pacchetti ignorati per questi eventi:
- Drop ACL (acl-drop): pacchetti negati dagli elenchi degli accessi.
- Pacchetti errati (bad-packet-drop): Formati di pacchetto non validi, incluse le intestazioni L3 e L4 che non sono conformi agli standard RFC (ad esempio, invalid-ip-header o invalid-tcp-hdr-length).
- Conn Limit (conn-limit-drop): Pacchetti che superano un limite di connessione configurato o globale.
- Attacco DoS (dos-drop): Attacchi Denial of Service (ad esempio, errore di controllo SPI non valido o Firewall stateful).
- Firewall (fw-drop): Frequenza combinata delle cadute relative al firewall nell'elenco. Non include le cadute non firewall, ad esempio il sovraccarico dell'interfaccia, gli errori di ispezione o gli attacchi di scansione rilevati.
- Attacco ICMP (icmp-drop): Pacchetti ICMP sospetti.
- Ispeziona (inspect-drop): Rifiuto mediante ispezione su richiesta.
- Interfaccia (interface-drop): Pacchetti ignorati dai controlli dell'interfaccia (sovraccarico).
- Scansione (minaccia di scansione): Attacchi di scansione di rete/host (ad esempio, il primo pacchetto TCP non è SYN o l'handshake a 3 vie non è riuscito). Il rilevamento completo delle minacce di scansione utilizza questa frequenza per classificare gli host e, facoltativamente, evitarli.
- SYN Attack (attacco SYN): Attacchi di sessione incompleti, inclusi gli attacchi SYN TCP e le sessioni UDP unidirezionali senza dati di ritorno.
La maggior parte dei trigger viene mappata a motivi di eliminazione ASP specifici; si tiene conto anche di alcuni syslog e di alcune azioni ispettive. Alcuni trigger appaiono in più di una categoria di minaccia. Mapping comuni (non esaustivi):
| Minaccia di base |
Trigger/i / Motivo/i rilascio ASP |
| acl-drop |
acl-drop |
| bad-packet-drop |
invalid-tcp-hdr-length invalid-ip-header inspect-dns-pak-troppo lungo inspect-dns-id-not-matched |
| conn-limit-drop |
conn-limit |
| dos-drop |
sp-security-failed |
| fw-drop |
inspect-icmp-seq-num-not-matched inspect-dns-pak-troppo lungo inspect-dns-id-not-matched sp-security-failed acl-drop |
| icmp-drop |
inspect-icmp-seq-num-not-matched |
| inspect-drop |
Cadute di fotogrammi attivate da un motore di ispezione |
| interface-drop |
sp-security-failed nessun percorso |
| minaccia di scansione |
tcp-3whs-failed tcp-not-syn sp-security-failed acl-drop inspect-icmp-seq-num-not-matched inspect-dns-pak-troppo lungo inspect-dns-id-not-matched |
| syn-attack |
%ASA-6-302014 syslog con motivo di disinstallazione di "SYN Timeout" |
Per ogni evento, il rilevamento di base delle minacce misura le cadute su un intervallo ARI (Average Rate Interval) configurato, da 600 secondi a 30 giorni. Se gli eventi nell'ARI superano le soglie configurate, l'ASA li considera una minaccia.
Esistono due soglie: velocità media e burst. La velocità media è in calo al secondo sull'ARI. La velocità di burst utilizza un intervallo di velocità di burst (BRI) più breve. A partire dall'8.2(1), BRI è 1/30 dell'ARI, o 10 secondi, a seconda di quale valore è superiore. Prima dell'8.2(1), BRI era 1/60 dell'ARI. Il minimo di 10 secondi è valido per tutte le versioni del software.
Esempio: La frequenza media di ACL-drop è 400 con ARI 600 secondi. Ciò significa che l'ASA cala la media degli ACL negli ultimi 600 secondi e registra una minaccia se la media supera i 400 secondi. Burst rate 800 con lo stesso ARI usa un BRI di 20 secondi (600 / 30). Se l'ACL cade in una finestra di 20 secondi e supera le 800 al secondo, viene registrata una minaccia.
Quando viene rilevata una minaccia di base, l'ASA genera il syslog %ASA-4-733100. Se vengono superate sia la velocità media che la velocità di burst, l'ASA può inviare due messaggi 733100 (uno per tipo di velocità), con un massimo di un messaggio per tipo di velocità per periodo di burst.
Eseguire il comando show threat-detection rate per visualizzare gli eventi medi, correnti, il conteggio dei trigger e il totale. L'ASA memorizza il conteggio alla fine di ciascun periodo di burst per 30 BRI completati. La BRI corrente non completata è in genere esclusa dalla media. Il conteggio totale degli eventi è la somma degli eventi in questi 30 campioni BRI (con un'eccezione in tempo reale se il BRI non completato supera già il campione meno recente).
La velocità di burst nel syslog viene calcolata a partire dalle cadute finora registrate nell'attuale BRI, campionate periodicamente, in modo che sia possibile segnalare una violazione prima del completamento dell'BRI (un syslog per tipo di velocità per BRI). La velocità burst/corrente in show threat-detection rate utilizza l'ultima BRI completata.
Il rilevamento delle minacce di base non riduce né diminuisce il traffico. È informativo (monitoraggio e reporting). L'impatto sulle prestazioni è insignificante e si verifica principalmente in caso di cali o minacce potenziali.
Rilevamento avanzato delle minacce (statistiche a livello di oggetto e primi N)
La funzione Advanced Threat Detection tiene traccia delle statistiche relative agli oggetti più granulari: IP host, porte, protocolli, ACL e server protetti da TCP Intercept. Per impostazione predefinita, sono abilitate solo le statistiche ACL. Le statistiche relative agli host hanno un impatto significativo sulle prestazioni in caso di traffico elevato; attivarli temporaneamente quando necessario. Le statistiche relative alle porte hanno un impatto più modesto.
Per gli oggetti host, porte e protocolli, l'ASA tiene traccia dei pacchetti, dei byte e delle eliminazioni inviati e ricevuti in finestre fisse. Per gli ACL, tiene traccia delle prime 10 voci ACE (consentite e negate) trovate in queste finestre. Le voci ACE consentite e quelle negate non vengono differenziate nella visualizzazione dell'ACL superiore.
Le finestre fisse sono 20 minuti, 1 ora, 8 ore e 24 ore. Le finestre stesse non sono configurabili. Numero della tariffa {1} | 2 La parola chiave | 3} (solo host, porta e protocollo) controlla il numero di intervalli più lunghi da mantenere:
- 1 (impostazione predefinita): solo l'intervallo di frequenza più breve per mantenere basso l'utilizzo della memoria
- 2 — i due intervalli più brevi
- 3 — 1 ora, 8 ore e 24 ore
Le statistiche dell'host si accumulano quando l'host è attivo nel database host in cui il rischio di scansione è elevato e vengono cancellate dopo 10 minuti di inattività.
Quando TCP Intercept è abilitato, il rilevamento delle minacce può tenere traccia dei primi 10 server sotto attacco. Le statistiche TCP Intercept utilizzano una finestra di monitoraggio configurabile più le soglie medie e burst (disponibili a partire dalla versione 8.0(4)). Valori predefiniti:
- Intervallo di frequenza (finestra cronologia): 30 minuti (da 1 a 1440). L'appliance ASA viene campionata 30 volte durante la finestra (ogni 60 secondi per impostazione predefinita).
- Velocità burst: 400 attacchi/sec — syslog %ASA-4-733104
- Tasso medio: 200 attacchi/sec — syslog %ASA-4-733105
Visualizzare le statistiche eseguendo il comando show threat-detection statistics e show threat-detection statistics top. Questa è anche la funzione che ha popolato i grafici "in alto" sul dashboard del firewall ASDM classico.
Il rilevamento avanzato delle minacce è informativo, con la differenza che TCP Intercept protegge già il server. Da queste sole statistiche non viene applicato alcun blocco aggiuntivo.
Rilevamento delle minacce durante la scansione
L'analisi del rilevamento delle minacce tiene traccia degli host che creano connessioni su troppi host in una subnet o su troppe porte in un host o in una subnet. Per impostazione predefinita, è disabilitato. A differenza del rilevamento basato su firma IPS, il rilevamento delle minacce di scansione ASA mantiene un database host (connessioni senza attività di ritorno, accesso a porte chiuse, determinati comportamenti TCP e altro ancora).
Condivide l'intervallo di velocità, la velocità media (ARI) e la velocità di burst (BRI) con la categoria di minaccia di scansione di base. Non è possibile configurare velocità separate per la scansione e la scansione di base. La differenza sta nel rilevamento delle minacce di scansione mantiene un attaccante e un database IP di destinazione. Viene conteggiato solo il traffico che può passare attraverso l'ASA e crea un flusso. La funzionalità Basic Threat Detection può continuare a utilizzare lo scanner-threat 733100 per il traffico con ACL negato; il rilevamento delle minacce di scansione non funziona.
Se la velocità di scansione viene superata per il traffico proveniente da un host, quest'ultimo è un utente non autorizzato. Se viene superato per il traffico verso un host, tale host è una destinazione. Syslog %ASA-4-73101 registrato. Facoltativamente, è possibile evitare l'autore dell'attacco (%ASA-4-733102 quando viene aggiunto l'utente shun, %ASA-4-733103 quando viene rimosso). La durata di shun predefinita è di 3600 secondi (1 ora), configurabile da 10 a 2592000 secondi.
La scansione del rilevamento delle minacce con shun è una delle due funzionalità in grado di interrompere attivamente il traffico altrimenti autorizzato (l'altra è il rilevamento delle minacce VPN).
Eseguire il comando show threat-detection scanning-threat per il database degli utenti non autorizzati/di destinazione e show threat-detection shun solo per gli shun delle minacce di scansione.
Nota: Esenzione per gli host che inviano traffico control-plane o multicast legittimo elevato (ad esempio router PIM) con shun threat-detection-threat shun except. In alternativa, tali pacchetti possono essere scartati quando viene installato uno shun.
Rilevamento delle minacce per i servizi VPN (9.20(3)+ / list train)
Il rilevamento delle minacce VPN protegge l'headend VPN ad accesso remoto dell'ASA dagli attacchi IPv4 DoS. Per impostazione predefinita, tutti e tre i servizi sono disattivati. Quando un servizio è abilitato e un host supera la soglia, l'ASA rifiuta automaticamente l'indirizzo IPv4 finché non viene rimossa la condivisione.
Servizi
- autenticazione di accesso remoto: Errori consecutivi di accesso VPN RA (spray di password/forza bruta). da 1 a 1440 minuti; soglia 1-100. Gli errori di autenticazione SAML non vengono conteggiati.
- inizializzazioni client di accesso remoto: La connessione SSL/IKEv2 ripetuta viene avviata e non viene completata da un host. da 1 a 1440 minuti; soglia 5-100.
- invalid-vpn-access: tenta di raggiungere i gruppi di tunnel predefiniti esistenti solo per il funzionamento interno del dispositivo. Un indirizzo IPv4 corrispondente viene escluso immediatamente (blocco/soglia effettiva 1/1).
Questi attacchi possono consumare l'autenticazione e le risorse di sessione anche quando hanno esito negativo. Quando si imposta il blocco e la soglia, tenere conto di PAT (hotel, CGNAT): molti utenti validi possono condividere un IP pubblico. Utilizzare valori più alti per consentire agli utenti legittimi di completare la connessione.
Il rilevamento delle minacce VPN esegue il monitoraggio solo del protocollo IPv4. Le ronde appaiono in show shun, non in show threat-detection shun. Registri di sistema correlati: %ASA-6-73200 (info) e %ASA-4-733201 (soglia superata; shun installato).
Limitazioni
- Il rilevamento classico delle minacce richiede ASA versione 8.0(2) o successive. La precedente piattaforma ASA 1000V non supportava la funzione (questa piattaforma è fuori produzione).
- Contesto di protezione: Ad eccezione delle statistiche avanzate sulle minacce e dei servizi VPN, il rilevamento delle minacce è supportato solo in modalità contesto singolo. In modalità a più contesti, le statistiche di TCP Intercept sono statistiche avanzate supportate. il rilevamento delle minacce VPN è supportato anche in modalità multipla.
- Modalità firewall: Supportato in modalità instradata e trasparente.
- Per le statistiche di base, avanzate e di scansione, viene monitorato solo il traffico integrato. Il traffico inviato all'appliance ASA non viene conteggiato.
- Per i servizi VPN, viene monitorato solo l'IPv4 integrato.
- Il traffico negato da un ACL non attiva il rilevamento delle minacce di analisi (monitoraggio di utenti non autorizzati/destinazioni). Le velocità di base delle minacce alla scansione possono aumentare in caso di cadute degli ACL.
- I tentativi di connessione TCP che vengono reimpostati dal server di destinazione non vengono considerati come attacchi SYN o minaccia di analisi.
- Il rilevamento degli errori di autenticazione VPN non include gli errori SAML.
Configurazione
Rilevamento di base delle minacce
Il rilevamento delle minacce di base è abilitato per impostazione predefinita ed è possibile riabilitarlo con:
ciscoasa(config)# threat-detection basic-threat
Disabilita senza minacce di base di rilevamento minacce. Visualizzazione frequenze predefinite con show run all threat-detection:
ciscoasa(config)# show run all threat-detection threat-detection rate dos-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate dos-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate bad-packet-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate bad-packet-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate acl-drop rate-interval 600 average-rate 400 burst-rate 800 threat-detection rate acl-drop rate-interval 3600 average-rate 320 burst-rate 640 threat-detection rate conn-limit-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate conn-limit-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate icmp-drop rate-interval 600 average-rate 100 burst-rate 400 threat-detection rate icmp-drop rate-interval 3600 average-rate 80 burst-rate 320 threat-detection rate scanning-threat rate-interval 600 average-rate 5 burst-rate 10 threat-detection rate scanning-threat rate-interval 3600 average-rate 4 burst-rate 8 threat-detection rate syn-attack rate-interval 600 average-rate 100 burst-rate 200 threat-detection rate syn-attack rate-interval 3600 average-rate 80 burst-rate 160 threat-detection rate fw-drop rate-interval 600 average-rate 400 burst-rate 1600 threat-detection rate fw-drop rate-interval 3600 average-rate 320 burst-rate 1280 threat-detection rate inspect-drop rate-interval 600 average-rate 400 burst-rate 1600 threat-detection rate inspect-drop rate-interval 3600 average-rate 320 burst-rate 1280 threat-detection rate interface-drop rate-interval 600 average-rate 2000 burst-rate 8000 threat-detection rate interface-drop rate-interval 3600 average-rate 1600 burst-rate 6400
Per regolare una categoria, eseguire il comando threat-detection rate. Ogni categoria può avere fino a tre tassi (tasso 1, 2 e 3). In 733100 viene fatto riferimento all'ID tariffa superato:
ciscoasa(config)# threat-detection rate acl-drop rate-interval 1200 average-rate 250 burst-rate 550
Nell'esempio, viene generato il valore 733100 quando le perdite dell'ACL superano i 250/sec in 1200 secondi o i 550/sec in 40 secondi (1200 / 30).
La parola chiave scanning-threat di questo comando viene condivisa con il rilevamento delle minacce di scansione. È possibile impostare le velocità di scansione anche se il rilevamento delle minacce di base è disabilitato.
Rilevamento avanzato delle minacce
Eseguire il comando threat-detection statistics per abilitare le statistiche avanzate. Senza parole chiave, tutti i tipi di statistiche sono abilitati:
ciscoasa(config)# threat-detection statistics ? configure mode commands/options: access-list Keyword to specify access-list statistics host Keyword to specify IP statistics port Keyword to specify port statistics protocol Keyword to specify protocol statistics tcp-intercept Trace tcp intercept statistics <cr>
no threat-detection statistics (no options) rimuove tutti i comandi statistici, incluso l'elenco di accesso predefinito per le statistiche di rilevamento delle minacce.
Statistiche ACL (impostazione predefinita):
ciscoasa(config)# threat-detection statistics access-list
Host, porta o protocollo, con numero opzionale di intervalli di velocità:
ciscoasa(config)# threat-detection statistics host number-of-rate 2 ciscoasa(config)# threat-detection statistics port number-of-rate 2 ciscoasa(config)# threat-detection statistics protocol number-of-rate 3
Statistiche di TCP Intercept (disponibili anche in modalità a più contesti):
ciscoasa(config)# threat-detection statistics tcp-intercept ciscoasa(config)# threat-detection statistics tcp-intercept rate-interval 60 burst-rate 800 average-rate 600
Rilevamento delle minacce durante la scansione
ciscoasa(config)# threat-detection scanning-threat ciscoasa(config)# threat-detection rate scanning-threat rate-interval 1200 average-rate 10 burst-rate 20 ciscoasa(config)# threat-detection scanning-threat shun ciscoasa(config)# threat-detection scanning-threat shun duration 1000 ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.1 255.255.255.255 ciscoasa(config)# threat-detection scanning-threat shun except object-group no-shun
È possibile combinare shun and except su una riga e immettere il comando più volte per esentare più indirizzi o gruppi di oggetti.
ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.0 255.255.255.0
Rilevamento minacce per servizi VPN
ciscoasa(config)# threat-detection service invalid-vpn-access ciscoasa(config)# threat-detection service remote-access-client-initiations hold-down 10 threshold 20 ciscoasa(config)# threat-detection service remote-access-authentication hold-down 10 threshold 20
Disabilitare un servizio con la forma no dello stesso comando. Reimposta i contatori con il servizio di rilevamento delle minacce.
Per una procedura dettagliata dedicata, fare riferimento a Configurazione del rilevamento delle minacce per i servizi VPN di accesso remoto su ASA Secure Firewall (ID documento 22315).
Prestazioni
Il rilevamento delle minacce di base ha un impatto minimo sulle prestazioni. Statistiche avanzate sugli host e rilevamento delle minacce di scansione richiedono maggiori risorse in quanto archiviano i dati per host e per oggetto. Abilitare temporaneamente le statistiche host durante la risoluzione di un problema specifico.
Funzionalità che possono bloccare il traffico altrimenti autorizzato:
- Analisi rilevamento minacce con shun
- Servizi di rilevamento minacce VPN (shun automatico)
Monitorare la memoria prima e dopo l'attivazione delle funzioni avanzate di scansione:
ciscoasa# show threat-detection memory ciscoasa# show memory app-cache threat-detection detail
show threat-detection memory (8.3(1)+) è il comando documentato per advanced-statistics memory. show memory app-cache threat-detection [dettagli] mostra la cache dei blocchi dell'applicazione.
Azioni consigliate
Quando viene superata una frequenza di rilascio di base e viene generato %ASA-4-733100
Annotare la categoria di minaccia in 733100 e correlarla con show threat-detection rate. Quindi selezionare show asp drop per i motivi di rilascio.
Per un motivo specifico, utilizzare l'acquisizione ASP-drop:
ciscoasa# capture drop type asp-drop acl-drop ciscoasa# show capture drop 1 packet captured 1: 18:03:00.205189 10.10.10.10.60670 > 192.168.1.100.53: udp 34 Drop-reason: (acl-drop) Flow is denied by configured rule
L'esempio è un pacchetto UDP/53 compreso tra 10.10.10.10 e 192.168.1.100.
Se lo switch 73100 segnala una scansione, abilitare temporaneamente il rilevamento delle minacce di scansione in modo che l'ASA possa registrare gli attacchi e gli IP di destinazione.
Il rilevamento delle minacce di base conteggia principalmente il traffico che l'ASP è già stato interrotto, pertanto non è necessaria alcuna ulteriore azione di eliminazione. Fanno eccezione gli attacchi SYN e le minacce della scansione che coinvolgono il traffico che attraversa l'ASA.
Se le cadute sono legittime per l'ambiente, aumentare gli intervalli di frequenza di base. Se il traffico è un attacco, bloccare o limitare la velocità a monte (ACL, QoS) prima dell'appliance ASA.
Per gli attacchi SYN, negare l'origine in un ACL o abilitare TCP Intercept per proteggere la destinazione (in modo da generare una minaccia conn-limit). Per la scansione, è possibile negare in un ACL o abilitare il rilevamento delle minacce di scansione con shun.
Quando viene rilevata una minaccia di scansione e %ASA-4-733101 è registrato
Lo switch 73101 elenca l'host/la subnet di destinazione o l'autore dell'attacco. Per gli elenchi completi, eseguire il comando show threat-detection scanning-threat.
Le acquisizioni sulle interfacce verso l'utente malintenzionato e verso la destinazione aiutano a confermare la scansione.
Se l'analisi è imprevista, bloccare o limitare la velocità a monte. L'aggiunta di shun consente all'ASA di eliminare tutti i pacchetti dall'autore dell'attacco per la durata configurata. Come ultima risorsa, bloccare l'appliance ASA con ACL o TCP Intercept.
Se si tratta di un falso positivo, aumentare gli intervalli di frequenza delle minacce di scansione.
Quando un utente malintenzionato viene escluso e %ASA-4-733102 registrato
733102 elenca la minaccia di scansione per la destinazione di shun. Eseguire il comando show threat-detection shun solo per shun di tipo scan-threat. Eseguire il comando show shun per ciascuna connessione attiva sull'appliance ASA (scansione, rilevamento minacce VPN e connessione manuale).
Per un attacco reale, blocca anche il più a monte possibile, in modo che i dispositivi intermedi non elaborino il traffico. Per i falsi positivi, rimuovere la distorsione di scansione:
ciscoasa# clear threat-detection shun ciscoasa# clear threat-detection shun 10.1.1.6
Quando %ASA-4-73104 e/o %ASA-4-733105 è registrato
Questi syslog assegnano un nome a un host già protetto da TCP Intercept. 733104 è la velocità di burst; 733105 è il tasso medio. Verifica:
ciscoasa# show threat-detection statistics top tcp-intercept Top 10 protected servers under attack (sorted by average rate) Monitoring window size: 30 mins Sampling interval: 30 secs ---------------------------------------------------------------------------------- 1 192.168.1.2:5000 inside 1249 9503 2249245 Last: 10.0.0.3 (0 secs ago) 2 192.168.1.3:5000 inside 10 10 6080 10.0.0.200 (0 secs ago)
Verificare che i limiti di connessione siano adeguati. Se possibile, bloccare l'autore dell'attacco a monte. Per un falso positivo, regolare le frequenze di intercettazione tcp delle statistiche di rilevamento delle minacce.
Quando si rimuove un host VPN e si registra %ASA-4-73201
733201 indica il servizio e il peer che hanno superato la soglia. Conferma con:
ciscoasa# show threat-detection service ciscoasa# show threat-detection service remote-access-authentication details ciscoasa# show shun
gli IP che sono stati esclusi dall'elenco delle voci del servizio; il contatore di blocco viene incrementato. Se l'host è legittimo (PAT condiviso, client configurato in modo errato), rimuovere il comando shun:
ciscoasa# no shun 192.168.100.101 ciscoasa# no shun 192.168.100.101 interface outside
Se si omette l'indirizzo su più interfacce e si omette l'interfaccia, no shun rimuove la linea da una sola interfaccia (ricerca route). Specificare l'interfaccia per cancellare le interfacce aggiuntive; clear shun rimuove tutti gli shun su tutte le interfacce.
non eseguire shun di rilevamento delle minacce chiaro per shun VPN; questo comando è valido solo per il rilevamento di minacce tramite scansione.
Se si evitano utenti validi, aumentare il valore di blocco/soglia (in particolare dietro PAT) o disabilitare il servizio fino a quando non viene regolato.
Come attivare manualmente una minaccia
Utilizzare questi metodi lab per eseguire il test e la risoluzione dei problemi. Eseguirli solo in un ambiente isolato.
Minaccia di base: rilevamento ACL, firewall e scansione
Le categorie di base ACL Drop, Firewall e Scanning prendono in considerazione tutte le ACL-drop. Per attivarle insieme:
1. Creare un ACL sull'interfaccia esterna che neghi il protocollo TCP a una destinazione interna (10.11.11.11):
access-list outside_in extended line 1 deny tcp any host 10.11.11.11 access-list outside_in extended permit ip any any access-group outside_in in interface outside
2. Da un attacco esterno (10.10.10.10), eseguire una scansione SYN di TCP:
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
Nota: T5 esegue nmap il più velocemente possibile. Il PC non autorizzato può essere ancora troppo lento per le velocità predefinite. Ridurre le tariffe configurate per la categoria che si desidera visualizzare. Se si impostano ARI e BRI su 0, il rilevamento delle minacce di base viene attivato indipendentemente dalla frequenza.
3. Le minacce di base sono registrate, ad esempio:
%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 19 per second, max configured rate is 10; Current average rate is 9 per second, max configured rate is 5; Cumulative total count is 5538 %ASA-4-733100: [ ACL drop] drop rate-1 exceeded. Current burst rate is 19 per second, max configured rate is 0; Current average rate is 2 per second, max configured rate is 0; Cumulative total count is 1472 %ASA-4-733100: [ Firewall] drop rate-1 exceeded. Current burst rate is 18 per second, max configured rate is 0; Current average rate is 2 per second, max configured rate is 0; Cumulative total count is 1483
Nota: In questo esempio, ACL-drop e Firewall ARI/BRI sono stati impostati su 0 in modo che vengano sempre attivati (le velocità configurate massime sono indicate come 0).
Advanced Threat - TCP Intercept
1. Autorizzare TCP alla destinazione interna:
access-list outside_in extended line 1 permit tcp any host 10.11.11.11 access-group outside_in in interface outside
2. Se la destinazione non esiste o reimposta le connessioni, inserire una voce ARP statica nel campo Foro nero:
arp inside 10.11.11.11 dead.dead.dead
3. Creare un criterio TCP Intercept semplice (embronic/conn limit):
access-list tcp extended permit tcp any any
class-map tcp
match access-list tcp
policy-map global_policy
class tcp
set connection conn-max 2
service-policy global_policy global
Dall'autore dell'attacco, eseguire la scansione di:
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
ciscoasa(config)# show threat-detection statistics top tcp-intercept Top 10 protected servers under attack (sorted by average rate) Monitoring window size: 30 mins Sampling interval: 30 secs -------------------------------------------------------------------------------- 1 10.11.11.11:18589 outside 0 0 1 10.10.10.10 (36 secs ago) 2 10.11.11.11:47724 outside 0 0 1 10.10.10.10 (36 secs ago)
Minaccia di scansione
1. Consenti TCP alla destinazione (rilevamento della minaccia di scansione solo tracce consentite, flussi creati):
access-list outside_in extended line 1 permit tcp any host 10.11.11.11 access-group outside_in in interface outside
2. Se necessario, buco nero con ARP statico. Le connessioni reimpostate da un server reale non vengono conteggiate.
arp inside 10.11.11.11 dead.dead.dead
3. Eseguire la scansione dall'autore dell'attacco. Abbassare le velocità o impostare ARI/BRI su 0 se nmap non è abbastanza veloce.
nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
4. Log previsti quando shun è abilitato:
%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 17 per second, max configured rate is 10; Current average rate is 0 per second, max configured rate is 5; Cumulative total count is 404 %ASA-4-733101: Host 10.10.10.10 is attacking. Current burst rate is 17 per second, max configured rate is 10; Current average rate is 0 per second, max configured rate is 5; Cumulative total count is 700 %ASA-4-733102: Threat-detection adds host 10.10.10.10 to shun list
Informazioni correlate
- Guida alla configurazione della CLI di Cisco Secure Firewall ASA Firewall, 9.20 — Threat Detection (pubblicata anche per 9.23/9.24)
- Configurazione del rilevamento delle minacce per i servizi VPN di accesso remoto su ASA Secure Firewall (ID documento 22315)
- Guida di riferimento ai comandi ASA - comandi per il rilevamento di minacce
- Guida di riferimento ai comandi ASA — Comandi show threat-detection
- Messaggi syslog Cisco Secure Firewall serie ASA (733100-733105, 73200-733201)
- Mappatura ASA to Threat Defense Feature - Rilevamento minacce
- Supporto tecnico Cisco e download
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
5.0 |
16-Sep-2026
|
Controllo ortografico e grammaticale aggiornato, inserimento di righe orizzontali in sezioni separate per la leggibilità, URL aggiornati per HTTP e avvisi CCW fissi. |
4.0 |
20-Jun-2023
|
Ripubblica |
3.0 |
20-Jun-2023
|
PII aggiornato, Introduzione, Requisiti di stile, Traduzione automatica, Gerund e formattazione. |
1.0 |
31-Aug-2012
|
Versione iniziale |
Feedback