Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Caratteristica 1: Rilevamento delle minacce per i tentativi di connessione a servizi VPN di solo interno (non validi)

Caratteristica 2: Rilevamento delle minacce per gli attacchi di avvio dei client VPN di accesso remoto

Caratteristica 3: Rilevamento delle minacce per errori di autenticazione VPN ad accesso remoto

Verifica

Elimina o modifica configurazione

Informazioni correlate

Introduzione

Questo documento descrive il processo di configurazione del rilevamento delle minacce per i servizi VPN ad accesso remoto su Cisco Secure Firewall Threat Defense (FTD).

Prerequisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Cisco Secure Firewall Threat Defense (FTD).

- Cisco Secure Firewall Management Center (FMC).

- RAVPN (Remote Access VPN) su FTD.

Requisiti

Queste funzionalità di rilevamento minacce sono supportate nelle versioni di Cisco Secure Firewall Threat Defense elencate di seguito:

- versione 7.0 treno-> supportato da 7.0.6.3 e versioni più recenti all'interno di questo treno specifico.

- 7.2 versione treno-> supportato da 7.2.9 e versioni più recenti all'interno di questo treno specifico.

- 7.4 versione treno-> supportato da 7.4.2.1 e versioni più recenti all'interno di questo treno specifico.

- 7.6 versione train-> supportata dalla 7.6.0 e da tutte le versioni più recenti.

Nota: Queste funzionalità non sono attualmente supportate nelle versioni 7.1 o 7.3.

Componenti usati

Le informazioni descritte in questo documento si basano sulle seguenti versioni hardware e software:

- Cisco Secure Firewall Threat Defense Virtual versione 7.0.6.3.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Le funzionalità di rilevamento delle minacce per i servizi VPN ad accesso remoto impediscono attacchi Denial of Service (DoS) da indirizzi IPv4 bloccando automaticamente l'host (indirizzo IP) che supera le soglie configurate per impedire ulteriori tentativi finché non si rimuove manualmente la condivisione dell'indirizzo IP. Per i successivi tipi di attacco sono disponibili servizi distinti:

- Ripetuti tentativi di autenticazione non riusciti ai servizi VPN di accesso remoto (attacchi di scansione di nomi utente e password con una forza bruta).

- attacchi di avvio client, in cui l'autore dell'attacco inizia ma non completa i tentativi di connessione a un headend VPN ad accesso remoto ripetuti da un singolo host.

- La connessione tenta di accedere a servizi VPN di accesso remoto non validi. ovvero quando gli aggressori tentano di connettersi a gruppi di tunnel predefiniti destinati esclusivamente al funzionamento interno del dispositivo. Gli endpoint legittimi non devono mai tentare di connettersi a questi gruppi di tunnel.

Questi attacchi, anche quando non riescono a ottenere l'accesso, possono consumare risorse di calcolo e impedire agli utenti validi di connettersi ai servizi VPN di accesso remoto.

Quando si attivano questi servizi, il firewall protetto ignora automaticamente l'host (indirizzo IP) che supera le soglie configurate, per impedire ulteriori tentativi fino a quando non si rimuove manualmente la condivisione dell'indirizzo IP.

Nota: per impostazione predefinita, tutti i servizi di rilevamento delle minacce per la VPN ad accesso remoto sono disabilitati.

Configurazione

Nota: La configurazione di queste funzionalità in Secure Firewall Threat Defense è attualmente supportata solo tramite FlexConfig.

1. Accedere al centro di gestione Secure Firewall.

2. Per configurare l'oggetto FlexConfig, selezionare Oggetti > Gestione oggetti > FlexConfig > Oggetto FlexConfig, quindi fare clic su Aggiungi oggetto FlexConfig.

3. Una volta aperta la finestra Add FlexConfig Object, aggiungere la configurazione richiesta per abilitare le funzionalità di rilevamento minacce per la VPN ad accesso remoto:

- Nome oggetto FlexConfig: enable-threat-detection-ravpn

- Descrizione oggetto FlexConfig: Abilita rilevamento minacce per i servizi VPN di accesso remoto.

- Implementazione: Ogni volta

- Tipo: Aggiungi.

- Casella di testo aggiungere i comandi del "servizio di rilevamento minacce" in base alle funzionalità disponibili descritte di seguito.

Nota: È possibile abilitare le tre funzionalità di rilevamento delle minacce disponibili per la VPN ad accesso remoto utilizzando lo stesso oggetto FlexConfig oppure creare un oggetto FlexConfig singolarmente per ciascuna funzionalità da abilitare.

Caratteristica 1: Rilevamento delle minacce per i tentativi di connessione a servizi VPN di solo interno (non validi)

Per abilitare questo servizio, aggiungere il comando threat-detection service invalid-vpn-access nella casella di testo dell'oggetto FlexConfig.

Caratteristica 2: Rilevamento delle minacce per gli attacchi di avvio dei client VPN di accesso remoto

Per abilitare questo servizio, aggiungere il comando threat-detection service remote-access-client-initiations hold-down <minuti> threshold <count> nella casella di testo dell'oggetto FlexConfig, dove:

- hold-down <minuti> definisce il periodo successivo all'ultimo tentativo di avvio durante il quale vengono conteggiati i tentativi di connessione consecutivi. Se il numero di tentativi di connessione consecutivi raggiunge la soglia configurata in questo periodo, l'indirizzo IPv4 dell'autore dell'attacco viene ignorato. È possibile impostare un periodo compreso tra 1 e 1440 minuti.

- threshold <count> è il numero di tentativi di connessione necessari nel periodo di attesa per attivare una deviazione. È possibile impostare un valore di soglia compreso tra 5 e 100.

Ad esempio, se il periodo di attesa è di 10 minuti e la soglia è di 20, l'indirizzo IPv4 viene automaticamente ignorato se vi sono 20 tentativi di connessione consecutivi in un intervallo di 10 minuti.

Nota: Quando si impostano i valori di blocco e soglia, tenere in considerazione l'utilizzo NAT. Se si utilizza PAT, che consente molte richieste dallo stesso indirizzo IP, prendere in considerazione valori più alti. In questo modo gli utenti validi avranno tempo sufficiente per connettersi. Ad esempio, in un hotel, numerosi utenti possono tentare di connettersi in breve tempo.

Caratteristica 3: Rilevamento delle minacce per errori di autenticazione VPN ad accesso remoto

Per abilitare questo servizio, aggiungere il comando threat-detection service remote-access-authentication hold-down<minutes> threshold <count> nella casella di testo dell'oggetto FlexConfig, dove:

- hold-down <minuti> definisce il periodo successivo all'ultimo tentativo non riuscito durante il quale vengono conteggiati gli errori consecutivi. Se il numero di errori di autenticazione consecutivi raggiunge la soglia configurata in questo periodo, l'indirizzo IPv4 dell'autore dell'attacco verrà ignorato. È possibile impostare un periodo compreso tra 1 e 1440 minuti.

- threshold <count> è il numero di tentativi di autenticazione non riusciti richiesti entro il periodo di attesa per attivare una riattivazione. È possibile impostare un valore di soglia compreso tra 1 e 100.

Ad esempio, se il periodo di attesa è di 10 minuti e la soglia è di 20, l'indirizzo IPv4 viene automaticamente ignorato in caso di 20 errori di autenticazione consecutivi in un intervallo di 10 minuti.

Nota: Quando si impostano i valori di blocco e soglia, tenere in considerazione l'utilizzo NAT. Se si utilizza PAT, che consente molte richieste dallo stesso indirizzo IP, prendere in considerazione valori più alti. In questo modo gli utenti validi avranno tempo sufficiente per connettersi. Ad esempio, in un hotel, numerosi utenti possono tentare di connettersi in breve tempo.

Nota: Gli errori di autenticazione tramite SAML non sono ancora supportati.

Questa configurazione di esempio abilita i tre servizi di rilevamento delle minacce disponibili per la VPN ad accesso remoto con un periodo di attesa di 10 minuti e una soglia di 20 per l'avvio del client e i tentativi di autenticazione non riusciti. Configurare i valori di blocco e soglia in base ai requisiti dell'ambiente.

In questo esempio viene utilizzato un singolo oggetto FlexConfig per abilitare le tre funzionalità disponibili.

threat-detection service invalid-vpn-access

threat-detection service remote-access-client-initiations hold-down 10 threshold 20

threat-detection service remote-access-authentication hold-down 10 threshold 20

Nuovo oggetto FlexConfig

4. Salvare l'oggetto FlexConfig.

5. Passare a Dispositivi > FlexConfig e selezionare il criterio FlexConfig assegnato al firewall protetto.

6. Tra gli oggetti FlexConfig disponibili visualizzati nel riquadro sinistro, selezionare l'oggetto FlexConfig configurato nel passaggio 3, fare clic su ">", e salvare le modifiche.

7. Distribuire le modifiche e verificarle.

Verifica

Per visualizzare le statistiche per i servizi RAVPN di rilevamento minacce, accedere alla CLI dell'FTD ed eseguire il comando show threat-detection service [servizio] [voci|dettagli]. Dove il servizio può essere: autenticazione di accesso remoto, inizializzazione client di accesso remoto o accesso vpn non valido.

È possibile limitare ulteriormente la vista aggiungendo i seguenti parametri:

- voci: visualizza solo le voci registrate dal servizio di rilevamento delle minacce. Ad esempio, gli indirizzi IP per i quali sono stati eseguiti tentativi di autenticazione non riusciti.

- dettagli: visualizza sia i dettagli che le voci di servizio.

Eseguire il comando show threat-detection service per visualizzare le statistiche di tutti i servizi di rilevamento minacce abilitati.

ciscoftd# show threat-detection service

Service: invalid-vpn-access

State     : Enabled

Hold-down : 1 minutes

Threshold : 1

Stats:

failed      :          0

blocking    :          0

recording   :          0

unsupported :          0

disabled    :          0

Total entries: 0

Service: remote-access-authentication

State     : Enabled

Hold-down : 10 minutes

Threshold : 20

Stats:

failed      :          0

blocking    :          1

recording   :          4

unsupported :          0

disabled    :          0

Total entries: 2

Name: remote-access-client-initiations

State     : Enabled

Hold-down : 10 minutes

Threshold : 20

Stats:

failed      :          0

blocking    :          0

recording   :          0

unsupported :          0

disabled    :          0

Total entries: 0

Per visualizzare ulteriori dettagli sui potenziali attacchi rilevati per il servizio di autenticazione ad accesso remoto, eseguire il comando show threat-detection service <service>.

ciscoftd# show threat-detection service remote-access-authentication entries

Service: remote-access-authentication

Total entries: 2

Idx Source              Interface            Count          Age        Hold-down

--- ------------------- -------------------- -------------- ---------- ---------

1 192.168.100.101/ 32              outside              1        721         0

2 192.168.100.102/ 32              outside              2        486       114

Total number of IPv4 entries: 2

NOTE: Age is in seconds since last reported. Hold-down is in seconds remaining.

Per visualizzare le statistiche generali e i dettagli di un servizio VPN di accesso remoto per il rilevamento delle minacce specifico, eseguire il comando show threat-detection service<service> details.

ciscoftd# show threat-detection service remote-access-authentication details

Service: remote-access-authentication

State     : Enabled

Hold-down : 10 minutes

Threshold : 20

Stats:

failed      :          0

blocking    :          1

recording   :          4

unsupported :          0

disabled    :          0

Total entries: 2

Idx Source              Interface            Count          Age        Hold-down

--- ------------------- -------------------- -------------- ---------- ---------

1 192.168.100.101/ 32              outside              1        721         0

2 192.168.100.102/ 32              outside              2        486       114

Total number of IPv4 entries: 2

NOTE: Age is in seconds since last reported. Hold-down is in seconds remaining.

Nota: Le voci visualizzano solo gli indirizzi IP rilevati dal servizio di rilevamento delle minacce. Se un indirizzo IP soddisfa le condizioni da evitare, il conteggio dei blocchi aumenta e l'indirizzo IP non viene più visualizzato come voce.

È inoltre possibile monitorare gli shun applicati dai servizi VPN e rimuovere gli shun per un singolo indirizzo IP o per tutti gli indirizzi IP con i comandi successivi:

- show shun [indirizzo_ip]

Mostra gli host disattivati, inclusi quelli disattivati automaticamente dal rilevamento delle minacce per i servizi VPN, o manualmente utilizzando il comando shun. Se lo si desidera, è possibile limitare la visualizzazione a un indirizzo IP specificato.

- no shun ip_address [interface if_name]

Rimuove un controllo applicato all'indirizzo IP specificato.

Se un indirizzo IP viene omesso su più interfacce e non viene menzionata alcuna interfaccia specifica, il comando rimuove la sequenza da una sola interfaccia. La selezione di questa interfaccia si basa su una ricerca route dell'indirizzo IP non utilizzato. Per rimuovere il comando shun da altre interfacce, è necessario specificare esplicitamente l'interfaccia.

- clear shun

Rimuove la sequenza da tutti gli indirizzi IP e da tutte le interfacce.

Nota: gli indirizzi IP esclusi dal rilevamento delle minacce per i servizi VPN non vengono visualizzati nel comando show threat-detection shun, applicabile solo al rilevamento delle minacce di scansione.

Per tutti i dettagli di ciascun output del comando e dei messaggi syslog disponibili relativi ai servizi di rilevamento delle minacce per la VPN ad accesso remoto, consultare il documento di riferimento dei comandi.

Elimina o modifica configurazione

Se è necessario apportare modifiche alla soglia o ai valori di blocco configurati o si desidera semplicemente disabilitare le funzionalità di rilevamento delle minacce configurate per i servizi RAVPN, procedere come descritto di seguito:

1. Passare a Devices > FlexConfig (Dispositivi > FlexConfig) e selezionare il criterio FlexConfig applicato al dispositivo.

2. Individuare l'oggetto FlexConfig definito in precedenza per abilitare le funzionalità di rilevamento delle minacce per i servizi RAVPN e fare clic sull'icona del cestino per eliminarlo.

3. Salvare e distribuire le modifiche.

4. Selezionare Oggetti > Gestione oggetti > FlexConfig > FlexConfig Object, quindi fare clic su Aggiungi oggetto FlexConfig.

5. Una volta aperta la finestra Add FlexConfig Object, aggiungere la configurazione richiesta per immettere la forma no dei comandi utilizzati per il rilevamento delle minacce per i servizi RAVPN:

- Nome oggetto FlexConfig: remove-threat-detection-service

- Descrizione oggetto FlexConfig: Rimuovi rilevamento minacce per i servizi VPN di accesso remoto.

- Implementazione: Una volta

- Tipo: Aggiungi.

- Casella di testo aggiungere il formato no dei comandi del servizio di rilevamento minacce che si desidera modificare in seguito o rimuovere completamente. Le opzioni disponibili sono:

Nota: Immettere i comandi come descritto di seguito. Non includere le opzioni hold-down o threshold nella forma no dei comandi.

- nessuna inizializzazione client-accesso remoto-servizio di rilevamento minacce

- nessuna autenticazione di accesso remoto del servizio di rilevamento minacce

- no threat-detection service invalid-vpn-access

In questo esempio viene utilizzato un singolo oggetto FlexConfig per rimuovere le funzionalità di rilevamento minacce accesso remoto-inizializzazioni client e autenticazione accesso remoto-rilevate precedentemente configurate.

no threat-detection service remote-access-client-initiations

no threat-detection service remote-access-authentication

6. Salvare l'oggetto FlexConfig.

7. Passare a Dispositivi > FlexConfig e selezionare il criterio FlexConfig assegnato al firewall protetto.

8. Tra gli oggetti FlexConfig disponibili visualizzati nel riquadro sinistro, selezionare l'oggetto FlexConfig configurato nel passaggio 5, fare clic su ">", e salvare le modifiche.

9. È possibile visualizzare in anteprima i comandi da applicare nella distribuzione. Una volta salvata la configurazione, fare clic su Preview Config (Anteprima configurazione) e selezionare la periferica corretta.

10. Distribuire le modifiche e verificare che i comandi siano stati rimossi.

11. (Facoltativo) Se è necessario distribuire nuovamente le funzionalità del servizio di rilevamento delle minacce per RAVPN con valori di blocco o soglia diversi, procedere come descritto nella sezione Configurazione. In questo caso, non è necessario creare un nuovo oggetto FlexConfig con i valori modificati, è possibile modificare l'oggetto FlexConfig creato in origine.

Informazioni correlate

- Per ulteriore assistenza, contattare il Technical Assistance Center (TAC). È necessario un contratto di supporto valido:Contatti del supporto Cisco internazionali.

- Qui è possibile anche visitare la Cisco VPN Community.

- Supporto tecnico Cisco e download