Informational
Advisory ID : cisco-sa-20170214-smi
初公開日 : 2017-02-14 00:00
最終更新日 : 2018-05-23 11:20
バージョン 4.2 : Final
回避策 :
No Workarounds available
Cisco Bug ID :
日本語の情報は原文の英語の非公式な翻訳です。日本語と英語のバージョンに相違がある場合は、英語のバージョンが優先されます。
概要
シスコでは、セットアップ完了後もSmart Install機能が有効のままであり、適切なセキュリティ制御が行われていないデバイスを検出しようとするインターネットスキャンが大幅に増加していることを認識しています。これにより、関連するデバイスがこの機能の誤用の影響を受けやすくなる可能性があります。まだ実行していないお客様は、このNoticeの「推奨事項」セクションのガイダンスに従って、ネットワークスイッチを評価し、Smart Install機能の悪用から適切に保護されるようにすることをお勧めします。
複数の研究者から、Smart Installクライアント(統合ブランチクライアント(IBC)とも呼ばれる)に対するSmart Install(SMI)プロトコルメッセージの使用に関する報告が寄せられています。これにより、認証されていないリモートの攻撃者がstartup-configファイルを変更してデバイスのリロードを強制し、デバイスに新しいIOSイメージをロードし、Cisco IOSおよびIOS XEソフトウェアをが実行しているスイッチで高特権CLIコマンドを実行実行できます。
Smart Installネットワークは、1台のSmart Installディレクタスイッチまたはルータ(統合ブランチディレクタ(IBD)とも呼ばれる)、1台以上のSmart Installクライアントスイッチ(統合ブランチクライアント(IBC)とも呼ばれる)で構成されます。 クライアントスイッチはディレクタに直接接続する必要はありませんが、最大7ホップ離れることができます。このドキュメントで説明されている誤用の影響を受けるのは、Smart Installクライアントスイッチのみです。
ディレクタは、クライアントスイッチのイメージと設定に対して単一の管理ポイントを提供します。クライアントスイッチがネットワークに初めて設置されると、ディレクタは自動的に新しいスイッチを検出し、ダウンロードする正しいCisco IOSイメージとコンフィギュレーションファイルを特定します。また、IPアドレスとホスト名をクライアントに割り当てることもできます。
クライアントスイッチでは、Smart Install機能はデフォルトで有効になっています。クライアントスイッチでの設定は必要ありません。
Cisco Talosグループは、環境内でSmart Install機能が有効になっているデバイスをスキャンするために使用できるツールを開発しました。このツールの詳細については、Talosのブログ記事を参照してください。
Smart Install機能の詳細については、『Smart Install Configuration Guide』を参照してください。
no vstackコマンドを使用できないネットワークについては、「ゼロタッチ導入以上でSmart Install機能を活用するお客様」のセクションを参照してください。
注：Cisco IOSおよびIOS XEの次のリリースでは、Cisco不具合CSCvd99197ードが原因でno vstackコマンドがリロード後は保持されません（この問題はプラットフォームに依存しませんが、下記のリリースのいくつかはディレクタとして機能するハードウェアプラットフォームのみをサポートしています）。
インフラストラクチャ内のすべてのIBCへのアクセスをさらに制限するために、管理者はネットワーク内の他のデバイスで次のセキュリティベストプラクティスを使用できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20120328-smartinstall
Smart Install機能によって書き込み操作が実行され、ログレベルが6（情報）以上に設定されている場合、ログにメッセージが表示されます。
startup-configを置き換えると、通常、影響を受けるデバイスのログに次のメッセージが記録されます。
シスコは、侵入防御システム(IPS)シグニチャID 7856-0とSnortルール 41722-41725を公開し、お客様のネットワークでのSmart Installプロトコルメッセージの使用を検出できるようにしています。Snortルールの詳細については、Talosのブログ記事を参照してください。
誤検出を避けるために、このシグニチャおよびSnortルールは、Smart Install機能を使用していないネットワーク、またはネットワーク内でSmart Installプロトコルメッセージが表示されないと予想される場所でのみ有効にする必要があります。
環境内で起こりうる異常をより詳細に把握するためには、以下のベストプラクティスも使用することが推奨されます。
複数の研究者から、Smart Installクライアント(統合ブランチクライアント(IBC)とも呼ばれる)に対するSmart Install(SMI)プロトコルメッセージの使用に関する報告が寄せられています。これにより、認証されていないリモートの攻撃者がstartup-configファイルを変更してデバイスのリロードを強制し、デバイスに新しいIOSイメージをロードし、Cisco IOSおよびIOS XEソフトウェアをが実行しているスイッチで高特権CLIコマンドを実行実行できます。
シスコでは、これをCisco IOS、IOS XE、またはSmart Install機能自体の脆弱性とは見なさず、Smart Installプロトコルの誤用と見なします。誤用には設計上の認証は必要ありません。ゼロタッチ導入以上のものを探しているお客様は、代わりにシスコネットワークプラグアンドプレイソリューションの導入を検討してください。
シスコは、Smart Install設定ガイドを更新し、お客様のインフラストラクチャへのCisco Smart Install機能の導入に関するセキュリティのベストプラクティスを取り入れました。
これらの問題は、Tenable Network Security、Trustwave SpiderLabsのDaniel Turner、Digital SecurityのAlexander EvstigneevおよびDmitry Kuznetsovによって報告されています。
シスコは最近、Smart Install機能の悪用からネットワークスイッチを適切に保護する必要があることをお客様に警告するブログ投稿を公開しました。シスコはこの機能の悪用の可能性を詳述する公開投稿を知り、Smart Installが有効なままの状態で攻撃のレポートを受けています。これらのブログ投稿は、次のリンクで入手できます。
追加情報
Cisco Smart Install（ベータ版）
Cisco Smart Installは、新しい（通常はアクセスレイヤ）スイッチのゼロタッチ導入を実現する「プラグアンドプレイ」構成およびイメージ管理機能です。この機能により、お客様は追加の設定要件なしで、シスコのスイッチを任意の場所に出荷し、ネットワークに設置して、電源を入れることができます。Smart Install機能には、設計上の認証が組み込まれていません。Smart Installネットワークは、1台のSmart Installディレクタスイッチまたはルータ(統合ブランチディレクタ(IBD)とも呼ばれる)、1台以上のSmart Installクライアントスイッチ(統合ブランチクライアント(IBC)とも呼ばれる)で構成されます。 クライアントスイッチはディレクタに直接接続する必要はありませんが、最大7ホップ離れることができます。このドキュメントで説明されている誤用の影響を受けるのは、Smart Installクライアントスイッチのみです。
ディレクタは、クライアントスイッチのイメージと設定に対して単一の管理ポイントを提供します。クライアントスイッチがネットワークに初めて設置されると、ディレクタは自動的に新しいスイッチを検出し、ダウンロードする正しいCisco IOSイメージとコンフィギュレーションファイルを特定します。また、IPアドレスとホスト名をクライアントに割り当てることもできます。
クライアントスイッチでは、Smart Install機能はデフォルトで有効になっています。クライアントスイッチでの設定は必要ありません。
Cisco Talosグループは、環境内でSmart Install機能が有効になっているデバイスをスキャンするために使用できるツールを開発しました。このツールの詳細については、Talosのブログ記事を参照してください。
Smart Install機能の詳細については、『Smart Install Configuration Guide』を参照してください。
プロトコル誤使用機会
クライアントとディレクタの間のSmart Installプロトコルに許可または認証メカニズムが存在しない場合、クライアントは、巧妙に細工されたSMIプロトコルメッセージをSmart Installディレクタから送信されたかのように処理し、次のリストと同様のアクションを実行できます。- IBC上のTFTPサーバアドレスを変更する
- IBCから攻撃者が制御するTFTPサーバに任意の1ファイルをコピーします
- クライアントのstartup-configファイルを、攻撃者が準備したファイルに置き換え、定義された時間間隔の後にIBCのリロードを強制します
- 攻撃者が提供したIOSイメージをIBCにロードする
- do-exec CLIコマンドを含め、IBC上で高特権コンフィギュレーションモードのCLIコマンドを実行する。実行したコマンドの出力またはプロンプトは、IBCのローカルコンソールに表示されます(これは、IOS 15.2(2)E以降およびIOS XE 3.6.0E以降でのみ可能です)
1 IOSまたはIOS XE CLIで通常のcopyコマンドを使用してアクセス可能な、任意のファイルシステムにある任意のファイル。
推奨事項
Cisco Smart Install機能に関するセキュリティのベストプラクティスは、その機能が特定のお客様の環境でどのように使用されるかによって異なります。次のセクションでは、それぞれの使用例について説明します。Smart Install機能を使用していない顧客
Cisco Smart Install機能を使用せず、コマンドが使用可能なCisco IOSまたはCisco IOS XEソフトウェアリリースを実行しているお客様は、設定コマンドno vstackでSmart Install機能（クライアントまたはディレクタ）を無効にする必要があります。次の例は、Smart Installクライアント機能が有効になっているCisco Catalystスイッチでshow vstack configコマンドを実行した場合の出力を示しています。これらは、Smart Installクライアント機能が有効になっていることを示す唯一の出力です。
switch1#show vstack config
Role: Client
.
.
.
switch2#show vstack config
Role: Client (SmartInstall enabled)
.
.
.
switch3#show vstack config注：Smart Installクライアント機能を無効にするためのno vstackグローバルコンフィギュレーションコマンドの使用は、Cisco不具合CSCtj75729（TCPポート4786でSmart Installデフォルトサービスをシャットダウンする機能）の修正で導入されました。 Cisco IOSまたはIOS XEソフトウェアリリースがSmart Installクライアント機能をサポートしていても、no vstackコマンドが存在しない場合、そのリリースにはシスコ不具合CSCtj75729に対する修正が含まれていません。
Capability: Client
Oper Mode: Enabled
Role: Client
.
.
.
no vstackコマンドを使用できないネットワークについては、「ゼロタッチ導入以上でSmart Install機能を活用するお客様」のセクションを参照してください。
注：Cisco IOSおよびIOS XEの次のリリースでは、Cisco不具合CSCvd99197ードが原因でno vstackコマンドがリロード後は保持されません（この問題はプラットフォームに依存しませんが、下記のリリースのいくつかはディレクタとして機能するハードウェアプラットフォームのみをサポートしています）。
- 12.2(60)EZ11
- 15.1(2)SY11
- 15.2(1)SY5
- 15.2(2)SY3
- 15.2(5)E2、15.2(5)E2a、15.2(5)E2b
- 15.4(1)SY3
- 3.9.2E、3.9.2aE、3.9.2bE
ゼロタッチ導入のためだけにSmart Install機能を活用しているお客様
ゼロタッチ導入のためだけにSmart Install機能を使用しているお客様は、スイッチの導入後に設定コマンドno vstackを使用してSmart Install機能を無効にする必要があります。no vstackコマンドの詳細については、「Smart Install機能を使用していないユーザ」セクションを参照してください。Smart Install機能を活用してゼロタッチ導入以上を実現しているお客様
ゼロタッチ導入以上でCisco Smart Install機能を使用しており、no vstackコマンドを使用できない場合は、IBDのみが、ポート4786ですべてのIBCへのTCP接続があることを確認します。管理者は、影響を受けるデバイスへのCisco Smart Installの導入に関して、次のセキュリティ上のベストプラクティスを使用できます。- インターフェイスアクセスコントロールリスト(ACL)
- コントロールプレーンポリシング(CoPP)は、すべてのCisco IOSソフトウェアリリースで使用できるわけではありません
ip access-list extended SMI_HARDENING_LISTこのACLは、すべてのIBC上のすべてのIPインターフェイスに展開する必要があります。スイッチを最初に導入するときに、IBDを介してプッシュできます。
permit tcp host 10.10.10.1 host 10.10.10.200 eq 4786
deny tcp any any eq 4786
permit ip any any
インフラストラクチャ内のすべてのIBCへのアクセスをさらに制限するために、管理者はネットワーク内の他のデバイスで次のセキュリティベストプラクティスを使用できます。
- Infrastructure Access Control List（iACL; インフラストラクチャ アクセス コントロール リスト）
- VLANアクセスコントロールリスト(VACL)
https://sec.cloudapps.cisco.com/security/center/content/CiscoAppliedMitigationBulletin/cisco-amb-20120328-smartinstall
セキュリティ侵害の指標
攻撃者がTFTPサーバアドレスを変更したり、Smart Install機能を使用してデバイスからファイルをコピーしたりする兆候はありません。シスコでは、お客様が外部IPアドレスからのアクセスを検索することを推奨します。Smart Install機能によって書き込み操作が実行され、ログレベルが6（情報）以上に設定されている場合、ログにメッセージが表示されます。
startup-configを置き換えると、通常、影響を受けるデバイスのログに次のメッセージが記録されます。
コンフィギュレーションモードでSmart Install機能を使用して高特権コマンドを実行すると、通常、影響を受けるデバイスのログに次のメッセージが作成されます。%SMI-6-UPGRD_STARTED: Device (IP address: 0.0.0.0) startup-config upgrade has started
%SYS-5-CONFIG_NV_I: Nonvolatile storage configured from tftp://<ip-address>/my.conf by <username> on console
%SMI-6-UPGRD_SUCCESS: Device (IP address: 0.0.0.0) startup-config has upgraded successfully
Smart Install機能によってリロードが誘導され、ログレベルが5（通知）以上に設定されている場合は、次のメッセージのいずれかがログに表示されます。%SMI-6-DWNLD_STARTED: Device (IP address: 0.0.0.0) post install file download has started
%SMI-6-DWNLD_SUCCESS: Device (IP address: 0.0.0.0) post install file has downloaded successfully
.
.
.
%SMI-6-UPGRD_STARTED: Device (IP address: 0.0.0.0) startup-config upgrade has started
クライアントスイッチ上のローカルログとクライアントスイッチがsyslogサーバに送信するログに加え、ファイアウォールログとNetFlowデータも確認する必要があります。%SYS-5-RELOAD: Reload requested by SMI IBC Download Process. Reload reason: Switch upgraded through Smart Install
%SYS-5-RELOAD: Reload requested by Delayed Reload. Reload reason: HULC SMI Scheduled Reload after Config Download
%SYS-5-RELOAD: Reload requested by Delayed Reload. Reload reason: HULC SMI Scheduled Reload
シスコは、侵入防御システム(IPS)シグニチャID 7856-0とSnortルール 41722-41725を公開し、お客様のネットワークでのSmart Installプロトコルメッセージの使用を検出できるようにしています。Snortルールの詳細については、Talosのブログ記事を参照してください。
誤検出を避けるために、このシグニチャおよびSnortルールは、Smart Install機能を使用していないネットワーク、またはネットワーク内でSmart Installプロトコルメッセージが表示されないと予想される場所でのみ有効にする必要があります。
環境内で起こりうる異常をより詳細に把握するためには、以下のベストプラクティスも使用することが推奨されます。
- 付加価値の高いネットワークセグメント、デバイス、および個人に焦点を当てた補助的な機器を実装し、ネットワークデバイスを監視してトラフィックのモニタリングを可能にする（テレメトリベースのインフラストラクチャデバイス整合性モニタリング）
- Cisco IOS NetFlowを実装して、ネットワークの各部分から発生するトラフィックフローを可視化し、予測されるトラフィックに対する評価を行う
- ネットワークデバイスイベントのロギングを監視して、予期しないネットワークデバイスレベルのアクティビティを特定する
シスコのセキュリティ手順
シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、http://www.cisco.com/go/psirt から入手できます。
URL
改訂履歴
| バージョン | 説明 | セクション | Status | 日付 |
|---|---|---|---|---|
| 4.2 | CSCvd99197の該当する製品およびバージョンを更新：「no vstack」はリロード後も保持されません。 | 推奨事項 | Final | 2018年5月23日 |
| 4.1 | show vstack config出力を更新し、Catalyst 6500がSMIディレクタ機能のみをサポートすることを明記。ME 3400およびME 3400EはSMIをサポートしていないため、これらの情報を削除。 | 推奨事項 | 2018年4月16日 | |
| 4.0 | 露出の増加に関する更新、CSCvd99197に関するメモを追加。 | シスコの回答、推奨事項 | 2017年10月30日 | |
| 3.0 | 任意のファイルとログメッセージをコピーする可能性に関する更新。 | プロトコルの悪用の機会と侵害の痕跡 | 2017年3月3日 | |
| 2.1 | 影響を受けるデバイスの出力を明確化 | 推奨事項 | 2017年3月1日 | |
| 2.0 | 人権侵害に関する最新情報 | — | 2017年2月27日 | |
| 1.0 | 初版リリース. | — | 2017年2月14日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。このドキュメントの情報は、シスコ製品のエンドユーザーを対象としています。