Attenuazione degli attacchi di spray di password su firewall sicuro VPN remoto

Introduzione

In questo documento vengono forniti suggerimenti da prendere in considerazione per evitare attacchi con spray di password destinati ai servizi VPN ad accesso remoto in Secure Firewall.

Premesse

Gli attacchi tramite spray di password sono un tipo di attacco di forza bruta in cui un utente non autorizzato tenta di ottenere l'accesso non autorizzato a più account utente utilizzando in modo sistematico poche password comunemente utilizzate in molti account. Attacchi tramite spray di password riusciti possono comportare l'accesso non autorizzato a informazioni riservate, violazioni dei dati e potenziali compromessi dell'integrità della rete

Inoltre, questi attacchi, anche quando non riescono a ottenere l'accesso, possono consumare le risorse computazionali dal Secure Firewall e impedire agli utenti validi di connettersi ai servizi VPN di accesso remoto.

 

Comportamenti osservati

Quando il firewall protetto è bersaglio di attacchi con spray di password nei servizi VPN ad accesso remoto, è possibile identificare questi attacchi monitorando i syslog ed eseguendo comandi show specifici. I comportamenti più comuni da cercare includono:

Importo insolito di richieste di autenticazione rifiutate

L'headend VPN Cisco Secure Firewall ASA o FTD mostra sintomi di attacchi con spray di password con una frequenza insolita di tentativi di autenticazione rifiutati. 

Nota: Questi tentativi di autenticazione insoliti possono essere indirizzati al database LOCALE o ai server di autenticazione esterni.

 

Il modo migliore per rilevarlo è guardando il syslog. Cercare un numero insolito di uno qualsiasi dei successivi ID syslog ASA:

 

• %ASA-6-113015

%ASA-6-113015: AAA user authentication Rejected : reason = User was not found : local database : user = admin : user IP = x.x.x.x

 

• %ASA-6-113005

%ASA-6-113005: AAA user authentication Rejected : reason = Unspecified : server = x.x.x.x : user = ***** : user IP = x.x.x.x

 

• %ASA-6-716039

%ASA-6-716039: Group <DfltGrpPolicy> User <admin> IP <x.x.x.x> Authentication: rejected, Session Type: WebVPN.

 

Il nome utente è sempre nascosto finché non si configura il comando no logging hide username sull'appliance ASA.

Nota: In questo modo è possibile verificare se gli utenti validi sono generati o conosciuti da IP offensivi. Prestare attenzione, poiché i nomi utente sono visibili nei registri.

Per verificarlo, accedere all'interfaccia della riga di comando (CLI) ASA o FTD ed eseguire il comando show aaa-server. Individuare un numero insolito di richieste di autenticazione tentate e rifiutate per uno dei server AAA configurati:

ciscoasa# show aaa-server

Server Group: LDAP-SERVER - - - - - >>>> Sprays against external server
Server Protocol: ldap
Server Hostname: ldap-server.example.com
Server Address: 10.10.10.10
Server port: 636
Server status: ACTIVE, Last transaction at unknown
Number of pending requests 0
Average round trip time 0ms
Number of authentication requests 2228536 - - - - - >>>> Unusual increments
Number of authorization requests 0
Number of accounting requests 0
Number of retransmissions 0
Number of accepts 1312
Number of rejects 2225363 - - - - - >>>> Unusual increments / Unusual rejection rate
Number of challenges 0
Number of malformed responses 0
Number of bad authenticators 0
Number of timeouts 1
Number of unrecognized responses 0 

Consigli

Prendere in considerazione e applicare le raccomandazioni descritte di seguito.

1. Abilita registrazione

La registrazione è una parte cruciale della sicurezza informatica che comporta la registrazione degli eventi che si verificano all'interno di un sistema. L'assenza di registri dettagliati lascia delle lacune nella comprensione e ostacola una chiara analisi del metodo di attacco. Si consiglia di abilitare la registrazione su un server syslog remoto per migliorare la correlazione e il controllo degli incidenti di rete e di sicurezza tra vari dispositivi di rete.

Per informazioni su come configurare la registrazione, fare riferimento alle seguenti guide specifiche della piattaforma:

 

Software Cisco ASA:

• Guida al firewall Secure ASA
• Guida alla registrazione della CLI per la configurazione generale di Cisco Secure Firewall ASA serie ASA

 

Software Cisco FTD:

• Configurare la registrazione su FTD tramite Centro gestione firewall
• Sezione Configure Syslog nel capitolo Platform Settings della Guida alla configurazione dei dispositivi di Cisco Secure Firewall Management Center
• Configurazione e verifica di Syslog in Gestione periferiche di Firepower
• Sezione Configurazione delle impostazioni di registrazione del sistema nel capitolo System Settings della Guida alla configurazione di Cisco Firepower Threat Defense per Firepower Device Manager

Nota: gli ID dei messaggi syslog sono necessari per verificare i comportamenti descritti in questo documento (113015, 113005 e 716039). Devono essere abilitati a livello informativo (6) poiché questi ID rientrano nelle classi di registrazione 'auth' e 'webvpn'.

 

2. Configurare le funzionalità di rilevamento delle minacce o le misure di protezione avanzata per la VPN ad accesso remoto

Per ridurre l'impatto e la probabilità che si verifichino questi attacchi di forza bruta sulle connessioni RAVPN, è possibile esaminare e applicare le opzioni di configurazione successive:

 

Opzione 1 (consigliata): Configura rilevamento minacce per servizi VPN di accesso remoto

Le funzionalità di rilevamento delle minacce per i servizi VPN ad accesso remoto impediscono attacchi DoS (Denial of Service) da indirizzi IPv4 bloccando automaticamente l'host (indirizzo IP) che supera le soglie configurate per impedire ulteriori tentativi finché non si rimuove manualmente la condivisione dell'indirizzo IP. Per questi tipi di attacchi sono disponibili servizi distinti:

• Ripetuti tentativi di autenticazione non riusciti per i servizi VPN di accesso remoto (attacchi di scansione di nomi utente e password con una forza bruta).
• L'inizializzazione del client comporta un attacco nel punto in cui l'autore dell'attacco si avvia, ma non completa i tentativi di connessione a un headend VPN ad accesso remoto ripetuti da un singolo host.
• La connessione tenta di accedere a servizi VPN ad accesso remoto non validi quando gli autori di attacchi tentano di connettersi a gruppi di tunnel predefiniti destinati esclusivamente al funzionamento interno del dispositivo. Gli endpoint legittimi non devono mai tentare di connettersi a questi gruppi di tunnel.

 

Queste funzionalità di rilevamento minacce sono attualmente supportate nelle versioni di Cisco Secure Firewall elencate di seguito:

 

Software ASA:

• 9.16 versione treno -> supportato dalla 9.16(4)67 e versioni più recenti all'interno di questo treno specifico.
• 9.17 versione treno -> supportato dalla 9.17(1)45 e versioni più recenti all'interno di questo treno specifico.
• 9.18 versione treno -> supportato dalla 9.18(4)40 e versioni più recenti all'interno di questo treno specifico.
• 9.19 versione treno -> supportato dalla 9.19(1).37 e versioni più recenti all'interno di questo treno specifico.
• 9.20 versione treno -> supportato dalla 9.20(3) e versioni più recenti all'interno di questo treno specifico.
• 9.22 version train -> supportato dalla versione 9.22(1.1) e da tutte le versioni più recenti.

 

Software FTD:

• 7.0 version train -> supportato dalla versione 7.0.6.3 e dalle versioni più recenti all'interno di questo specifico treno.
• 7.2 versione treno -> supportato dalla 7.2.9 e dalla versione più recente all'interno di questo treno specifico.
• 7.4 version train -> supportato dalla versione 7.4.2.1 e successive all'interno di questo specifico treno.
• 7.6 version train -> supportato dalla versione 7.6.0 e dalle versioni più recenti.

Nota: Queste funzionalità non sono attualmente supportate nelle versioni 7.1 o 7.3.

 

Per informazioni dettagliate e assistenza nella configurazione, consultare le guide alla documentazione:

• Configurazione su ASA Secure Firewall: configurazione del rilevamento delle minacce per la VPN ad accesso remoto su ASA Secure Firewall
• Configurazione su FTD Secure Firewall gestita da FMC: configurazione del rilevamento delle minacce per i servizi VPN di accesso remoto su Centro gestione Secure Firewall
• Configurazione su FTD Secure Firewall gestita da FDM: Configurare il rilevamento delle minacce per i servizi VPN di accesso remoto in Gestione dispositivi firewall protetti

 

Opzione 2: Applicazione di misure di protezione avanzata per VPN ad accesso remoto

Nota: Queste misure contribuiscono solo a ridurre il rischio, tuttavia non sono una misura preventiva contro gli attacchi DoS diretti ai servizi RAVPN.

 

Se le funzionalità di rilevamento delle minacce per i servizi VPN ad accesso remoto non sono supportate nella versione del firewall protetto in uso, implementare misure di protezione avanzata per ridurre il rischio di impatto da questi attacchi:

1. Disabilitare l'autenticazione AAA nei profili di connessione DefaultWEBVPN e DefaultRAGroup (procedura dettagliata:ASA|FTD Gestito da FMC).
2. Disabilitare la postura del firewall protetto (Hostscan) da DefaultWEBVPNGroup e DefaultRAGroup (procedura dettagliata: ASA|FTD Gestito da FMC).
3. Disabilitare gli alias di gruppo e abilitare gli URL di gruppo negli altri profili di connessione (procedura dettagliata: ASA|FTD Gestito da FMC).

Nota: Per ulteriore supporto con FTD gestito tramite FDM (Firewall Device Management) locale, contattare Cisco TAC per ottenere assistenza tecnica.

 

Per ulteriori informazioni, consultare la guida all'implementazione delle misure di protezione avanzata per la VPN AnyConnect client sicura.

 

Comportamenti correlati

Gli utenti possono riscontrare l'impossibilità di stabilire connessioni VPN con Cisco Secure Client (AnyConnect) quando la postura del firewall (HostScan) è abilitata sul firewall sicuro. È possibile che venga visualizzato a intermittenza un messaggio di errore che indica "Impossibile completare la connessione. Cisco Secure Desktop non installato sul client."

Questo comportamento è una conseguenza del successo dello sfruttamento della vulnerabilità CVE-2024-20481 descritta di seguito.

ID bug Cisco CSCwj45822: Vulnerabilità della forza bruta di negazione del servizio VPN ad accesso remoto con software Cisco ASA e FTD (CVE-2024-20481)

Questa vulnerabilità deriva dall'esaurimento delle risorse a causa di attacchi di spray di password in cui gli aggressori inviano numerose richieste di autenticazione VPN al dispositivo di destinazione. Se lo sfruttamento riesce, è possibile che si verifichi un attacco Denial of Service per il servizio RAVPN. Un sintomo chiave di questo attacco è quando gli utenti incontrano a intermittenza "Impossibile completare la connessione. Cisco Secure Desktop non installato sul client." quando tentano di stabilire una connessione RAVPN utilizzando Cisco Secure Client.

Per risolvere questa vulnerabilità, è necessario eseguire l'aggiornamento alle versioni software elencate nell'advisory della sicurezza. È inoltre consigliabile abilitare le funzionalità di rilevamento minacce per VPN ad accesso remoto dopo l'aggiornamento del firewall protetto a queste versioni per proteggere il sistema dagli attacchi DoS diretti ai servizi VPN.

Per ulteriori informazioni, fare riferimento all'advisory della sicurezza della vulnerabilità della forza bruta di negazione del servizio della VPN ad accesso remoto del software Cisco ASA e FTD.

 

Ulteriori informazioni

• Procedure di indagine forense Cisco ASA per i First Responder

• Procedure di indagine forense di Cisco Firepower Threat Defense per i primi risponditori
• Cisco Talos Threat Advisory

Per ulteriore assistenza, contattare Cisco TAC. È necessario un contratto di supporto valido: Contatti del supporto Cisco internazionali.

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
8.0	01-Jul-2026	Titolo, introduzione, ortografia, spaziatura, testo alternativo, avvisi CCW e URL aggiornati.
7.0	26-Oct-2024	È stata aggiornata la sezione "Comportamenti correlati" per aggiungere una vulnerabilità recente relativa a questo documento.
6.0	20-Sep-2024	Versioni aggiornate delle funzionalità di rilevamento minacce per VPN ad accesso remoto.
5.0	06-Sep-2024	È stata aggiunta la raccomandazione "Configura rilevamento minacce per VPN ad accesso remoto".
4.0	22-Apr-2024	Aggiornamento delle sezioni "Informazioni generali" e "Raccomandazioni".
3.0	15-Apr-2024	L'ID bug Cisco collegato CSCwj45822, ha aggiunto la sottosezione "Hostscan Token Exhaustion" e la sezione "Ulteriori implementazioni di protezione avanzata per RAVPN"
2.0	01-Apr-2024	Il titolo del documento è stato aggiornato, rinominando la sezione "IoCs" in "Modi insoliti osservati" e aggiungendo ulteriori dettagli nella sezione "Consigli".
1.0	26-Mar-2024	Versione iniziale