Cisco Video Surveillance Manager의 여러 취약점 악용 식별 및 완화

업데이트:2016년 8월 6일 (토)
문서 ID:1470489856505118

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

Cisco Applied Mitigation 게시판

Cisco Video Surveillance Manager의 여러 취약점 악용 식별 및 완화

문서 ID:
30093
최초 게시일:
2013년 7월 24일 16:01(GMT)
버전: 
1
CVE-2013-3429
CVE-2013-3430
CVE-2013-3431
CVE-2013-3429
CVE-2013-3430
CVE-2013-3431

Cisco의 대응

  • 이 Applied Mitigation Bulletin은 Cisco Video Surveillance Manager의 PSIRT Security Advisory Multiple Vulnerabilities에 대한 보조 문서이며 관리자가 Cisco 네트워크 장치에 구축할 수 있는 식별 및 완화 기술을 제공합니다.

    이 문서에서는 관리자가 Cisco 네트워크 장치에 구축할 수 있는 식별 및 완화 기술을 제공합니다.

취약성 특성

  • Cisco VSM(Video Surveillance Manager)에는 특별히 제작된 IP 버전 4(IPv4) 및 IP 버전 6(IPv6) 패킷을 처리할 때 취약성이 포함되어 있습니다. 이 취약성은 인증 없이, 그리고 최종 사용자 상호 작용 없이 원격으로 악용될 수 있습니다. 이 취약성을 성공적으로 악용하면 임의의 코드 실행이 가능하며, 정보 공개가 가능하므로 공격자가 영향을 받는 장치와 네트워크에 대한 정보를 알 수 있습니다. 익스플로잇을 위한 공격 벡터는 다음 프로토콜과 포트를 사용하는 IPv4 및 IPv6 패킷을 통해 이루어집니다.
    • TCP 포트 22를 사용하는 SSH(Secure Shell)
    • TCP 포트 80 및 554를 사용하는 Cisco VSMS(Video Surveillance Media Server)
    • TCP 포트 443을 사용하는 Cisco VSOM(Video Surveillance Operations Manager)
    • TCP 포트 1066 및 8086을 사용하는 Cisco VSVM(Video Surveillance Virtual Matrix)
    • UDP 포트 123을 사용하는 NTP(Network Time Protocol)
    • UDP 포트 1024-1999
    • UDP 포트 6000-6999
    • UDP 포트 16100-16999
    • UDP 포트 18000-18999
    • UDP 포트 20000-20999
    • UDP 포트 55000-55999
    공격자는 스푸핑된 패킷을 사용하여 이 취약성을 악용할 수 있습니다.

    이 취약성에는 CVE(Common Vulnerabilities and Exposures) 식별자 CVE-2013-3429, CVE-2013-3431 및 CVE-2013-3430이 할당되었습니다.

취약성 개요

완화 기법 개요

  • Cisco 디바이스는 이러한 취약성에 대한 몇 가지 대응책을 제공합니다. 관리자는 이러한 보호 방법을 인프라 디바이스 및 네트워크를 이동하는 트래픽에 대한 일반적인 보안 모범 사례로 고려하는 것이 좋습니다. 이 문서에서는 이러한 기술에 대한 개요를 제공합니다.

    Cisco IOS Software는 다음 방법을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다.
    • 트랜짓 액세스 제어 목록(tACL)
    • uRPF(유니캐스트 역방향 경로 전달)
    • IP 소스 가드(IPSG)
    이러한 보호 메커니즘은 이러한 취약성을 악용하려는 패킷의 소스 IP 주소를 확인하고 필터링하고 삭제합니다.

    uRPF의 올바른 배포 및 구성은 스푸핑된 소스 IP 주소를 사용하는 패킷을 사용하는 공격에 대한 효과적인 보호 방법을 제공합니다. uRPF는 가능한 모든 트래픽 소스에 가깝게 배포해야 합니다.

    Cisco ASA 5500 Series Adaptive Security Appliance, Cisco Catalyst 6500 Series ASASM(ASA Services Module), Cisco Catalyst 6500 Series Switches 및 Cisco 7600 Series Routers용 FWSM(Firewall Services Module)에서도 다음을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다.
    • tACL
    • uRPF
    이러한 보호 메커니즘은 이러한 취약성을 악용하려는 패킷의 소스 IP 주소를 확인하고 필터링하고 삭제합니다.

    Cisco IOS NetFlow 레코드는 네트워크 기반 익스플로잇 시도에 대한 가시성을 제공할 수 있습니다.

    Cisco IOS Software, Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽은 show 명령의 출력에 표시된 syslog 메시지 및 카운터 값을 통해 가시성을 제공할 수 있습니다.

    또한 Cisco Security Manager는 인시던트, 쿼리 및 이벤트 보고를 통해 가시성을 제공할 수 있습니다.

위험 관리

  • 조직은 이러한 취약성의 잠재적 영향을 판단하기 위해 표준 위험 평가 및 완화 프로세스를 따르는 것이 좋습니다. 분류(Triage)란 성공 가능성이 가장 높은 프로젝트를 분류하고 노력을 우선 순위를 정하는 것을 말한다. Cisco는 조직이 정보 보안 팀을 위해 위험 기반 분류 기능을 개발하는 데 도움이 될 문서를 제공했습니다. 보안 취약성 알림에 대한 위험 분류 및 위험 분류 및 프로토타이핑은 조직이 반복 가능한 보안 평가 및 대응 프로세스를 개발하는 데 도움이 될 수 있습니다.

디바이스별 완화 및 식별

  • 주의: 모든 완화 기법의 효과는 제품 혼합, 네트워크 토폴로지, 트래픽 동작, 조직 임무 등 특정 고객 상황에 따라 달라집니다. 모든 컨피그레이션 변경과 마찬가지로, 변경 사항을 적용하기 전에 이 컨피그레이션의 영향을 평가합니다.

    완화 및 식별에 대한 구체적인 정보를 다음 장치에 사용할 수 있습니다.

    Cisco IOS 라우터 및 스위치

    완화: 통과 액세스 제어 목록

    인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL(transit access control list)을 구축하여 정책 시행을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이러한 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

    tACL 정책은 영향을 받는 디바이스로 전송되는 무단 ssh IPv4 및 IPv6 패킷을 거부합니다.
    • TCP 포트 22의 SSH IPv4 및 IPv6 패킷
    • TCP 포트 80 및 554의 VSMS IPv4 및 IPv6 패킷
    • TCP 포트 443의 VSOM IPv4 및 IPv6 패킷
    • TCP 포트 1066 및 8086의 VSVM IPv4 및 IPv6 패킷
    • UDP 포트 123의 NTP IPv4 및 IPv6 패킷
    • UDP 포트의 패킷 1024-1999
    • UDP 포트 6000-6999의 패킷
    • UDP 포트의 패킷 16100-16999
    • UDP 포트의 패킷 18000-18999
    • UDP 포트의 패킷 20000-20999
    • UDP 포트의 패킷 55000-55999
    다음 예에서 192.168.60.0/24 및 2001:DB8:1:60::/64는 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다.

    tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다. 
     ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP | UDP ports | protocols !
  access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 22
      access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 80
      access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 44
      access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 554
      access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 1066
      access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 8086
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq ntp
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 1024 1999
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 6000 6999
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 16100 16999
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 18000 18999
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 20000 20999
      access-list 150 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 55000 55999 
 ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !   access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 22
      access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 80
      access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 443
      access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 554
      access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 1066
      access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 8086
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 eq ntp
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 1024 1999
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 6000 6999
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 16100 16999
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 18000 18999
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 20000 20999
      access-list 150 deny udp any 192.168.60.0 0.0.0.255 range 55000 55999 
 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
  access-list 150 deny ip any any
!
!-- Create the corresponding IPv6 tACL !
  ipv6  access-list IPv6-Transit-ACL-Policy ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP | UDP ports | protocols !  
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 22
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 80
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 443
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 554
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 1066
      permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 8086
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq ntp
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 1024 1999
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 6000 6999
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 16100 16999
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 18000 18999
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 20000 20999
      permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 55000 55999   ! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks to global and !-- link-local addresses !  
  deny tcp any 2001:DB8:1:60::/64 eq 22
      deny tcp any 2001:DB8:1:60::/64 eq 80
      deny tcp any 2001:DB8:1:60::/64 eq 443
      deny tcp any 2001:DB8:1:60::/64 eq 554
      deny tcp any 2001:DB8:1:60::/64 eq 1066
      deny tcp any 2001:DB8:1:60::/64 eq 8086
      deny udp any 2001:DB8:1:60::/64 eq ntp
      deny udp any 2001:DB8:1:60::/64 range 1024 1999
      deny udp any 2001:DB8:1:60::/64 range 6000 6999
      deny udp any 2001:DB8:1:60::/64 range 16100 16999
      deny udp any 2001:DB8:1:60::/64 range 18000 18999
      deny udp any 2001:DB8:1:60::/64 range 20000 20999
      deny udp any 2001:DB8:1:60::/64 range 55000 55999  ! !-- Permit other required traffic to the infrastructure address !-- range and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets !
  permit icmp any any nd-ns
  permit icmp any any nd-na
  ! 
     ! !-- Explicit deny for all other IPv6 traffic to the global !-- infrastructure address range !
      deny ipv6 any any
 !
 ! !-- Apply tACLs to interfaces in the ingress direction !
interface GigabitEthernet0/0
 ip access-group 150 in
 ipv6 traffic-filter IPv6-Transit-ACL-Policy in
    인터페이스 액세스 목록으로 필터링하면 ICMP 도달 불가 메시지를 필터링된 트래픽의 소스로 다시 전송합니다. 이러한 메시지를 생성하면 디바이스에서 CPU 사용률이 증가하는 원치 않는 영향을 미칠 수 있습니다. Cisco IOS Software에서 ICMP 연결 불가능 생성은 기본적으로 500밀리초마다 하나의 패킷으로 제한됩니다. ICMP 연결 불가 메시지 생성은 인터페이스 컨피그레이션 명령 no ip unreachable 및 no ipv6 unreachable을 사용하여 비활성화할 수 있습니다. ICMP 연결 불가능 속도 제한은 ip icmp rate-limit unreachable interval-in-ms 및 ipv 6 icmp error-interval interval-in-ms 전역 컨피그레이션 명령을 사용하여 기본값에서 변경할 수 있습니다.

    식별: 통과 액세스 제어 목록

    관리자가 인터페이스에 tACL을 적용한 후 show ip access-lists 및 show ipv6 access-list 명령은 다음 수를 식별합니다.
    • TCP 포트 22의 SSH IPv4 및 IPv6 패킷
    • TCP 포트 80 및 554의 VSMS IPv4 및 IPv6 패킷
    • TCP 포트 443의 VSOM IPv4 및 IPv6 패킷
    • TCP 포트 1066 및 8086의 VSVM IPv4 및 IPv6 패킷
    • UDP 포트 123의 NTP IPv4 및 IPv6 패킷
    • UDP 포트 1024-1999에서 필터링된 패킷
    • UDP 포트 6000-6999에서 필터링된 패킷
    • UDP 포트의 패킷 16100-16999
    • UDP 포트에서 필터링된 패킷 18000-18999
    • UDP 포트에서 필터링된 패킷 20000-20999
    • UDP 포트에서 필터링된 패킷 55000-55999
    관리자는 필터링된 패킷을 조사하여 이러한 취약성을 악용하려는 시도인지 확인하는 것이 좋습니다. show ip access-lists 150 및 show ipv6 access-list IPv6-Transit-ACL-Policy의 출력 예: 
    router#show ip access-lists 150
Extended IP access list 150
        10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 22 (21 matches)
        20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq www (232 matches)
        30 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 443 (322 matches)
        40 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 554 (12 matches)
        50 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 1066 (32 matches)
        60 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 8086 (49 matches)
        70 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 eq ntp (71 matches)
        80 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 1024 1999 (255 matches)
        90 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 6000 6999 (33 matches)
        100 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 16100 16999 (159 matches)
        110 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 18000 18999 (55 matches)
        120 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 20000 20999 (63 matches)
        130 permit udp host 192.168.100.1 192.168.60.0 0.0.0.255 range 55000 55999 (20 matches)
        140 deny tcp any 192.168.60.0 0.0.0.255 eq 22 (12 matches)
        150 deny tcp any 192.168.60.0 0.0.0.255 eq www (14 matches)
        160 deny tcp any 192.168.60.0 0.0.0.255 eq 443 (9 matches)
        170 deny tcp any 192.168.60.0 0.0.0.255 eq 554 (22 matches)
        180 deny tcp any 192.168.60.0 0.0.0.255 eq 1066 (121 matches)
        190 deny tcp any 192.168.60.0 0.0.0.255 eq 8086 (33 matches)
        200 deny udp any 192.168.60.0 0.0.0.255 eq ntp (58 matches)
        210 deny udp any 192.168.60.0 0.0.0.255 range 1024 1999 (93 matches)
        220 deny udp any 192.168.60.0 0.0.0.255 range 6000 6999 (211 matches)
        230 deny udp any 192.168.60.0 0.0.0.255 range 16100 16999 (8 matches)
        240 deny udp any 192.168.60.0 0.0.0.255 range 18000 18999 (49 matches)
        250 deny udp any 192.168.60.0 0.0.0.255 range 20000 20999 (10 matches)
        260 deny udp any 192.168.60.0 0.0.0.255 range 55000 55999 (91 matches)
    270 deny ip any any (533 matches)
router#
    앞의 예에서 액세스 목록 150은 신뢰할 수 없는 호스트 또는 네트워크로부터 수신한 다음 패킷을 삭제했습니다.
    • ACE 라인 14에 대한 TCP 포트 22의 12개 SSH 패킷
    • ACE 라인 15에 대한 TCP 포트 80의 14개 VSMS 패킷
    • ACE 라인 16에 대한 TCP 포트 443의 9개 VSOM 패킷
    • ACE 라인 17에 대한 TCP 포트 554의 22개 VSMS 패킷
    • ACE 라인 18에 대한 TCP 포트 1066의 121개 VSVM 패킷
    • ACE 라인 19용 TCP 포트 8086의 33개 VSVM 패킷
    • ACE 라인 20에 대한 UDP 포트 123의 58개 NTP 패킷
    • ACE 라인 21에 대한 UDP 포트 범위 1024-1099의 93개 패킷
    • ACE 라인 22에 대한 UDP 포트 범위 6000-6999의 211개 패킷
    • ACE 라인 23에 대한 UDP 포트 범위 16100-16999의 8개 패킷
    • ACE 라인 24의 UDP 포트 범위 18000-18999의 49개 패킷
    • ACE 라인 25의 UDP 포트 범위 20000-20999에서 10개 패킷
    • ACE 라인 26의 UDP 포트 범위 55000-55999의 91개 패킷
    router#show ipv6 access-list IPv6-Transit-ACL-Policy 
IPv6 access list IPv6-Transit-ACL-Policy
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 22 sequence 10
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq www sequence 20
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 443 sequence 30
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 554 sequence 40
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 1066 sequence 50
        permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 8086 sequence 60
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq ntp sequence 70
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 1024 1999 sequence 80
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 6000 6999 sequence 90
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 16100 16999 sequence 100
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 18000 18999 sequence 110
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 20000 20999 sequence 120
        permit udp host 2001:DB8::100:1 2001:DB8:1:60::/64 range 55000 55999 sequence 130
        deny tcp any 2001:DB8:1:60::/64 eq 22 (12 matches) sequence 140
        deny tcp any 2001:DB8:1:60::/64 eq www (38 matches) sequence 150
        deny tcp any 2001:DB8:1:60::/64 eq 443 (15 matches) sequence 160
        deny tcp any 2001:DB8:1:60::/64 eq 554 (97 matches) sequence 170
        deny tcp any 2001:DB8:1:60::/64 eq 1066 (33 matches) sequence 180
        deny tcp any 2001:DB8:1:60::/64 eq 8086 (25 matches) sequence 190
        deny udp any 2001:DB8:1:60::/64 eq ntp (23 matches) sequence 200
        deny udp any 2001:DB8:1:60::/64 range 1024 1999 (88 matches) sequence 210
        deny udp any 2001:DB8:1:60::/64 range 6000 6999 (94 matches) sequence 220
        deny udp any 2001:DB8:1:60::/64 range 16100 16999 (29 matches) sequence 230
        deny udp any 2001:DB8:1:60::/64 range 18000 18999 (76 matches) sequence 240
        deny udp any 2001:DB8:1:60::/64 range 20000 20999 (10 matches) sequence 250
        deny udp any 2001:DB8:1:60::/64 range 55000 55999 (15 matches) sequence 260
    permit icmp any any nd-ns (80 matches) sequence 270
    permit icmp any any nd-na (80 matches) sequence 280
    deny ipv6 any any (21 matches) sequence 290
    앞의 예에서 액세스 목록 IPv 6-Transit-ACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.
    • ACE 라인 14에 대한 TCP 포트 22의 12개 SSH 패킷
    • ACE 라인 15에 대한 TCP 포트 80의 38개 VSMS 패킷
    • ACE 라인 16에 대한 TCP 포트 443의 15개 VSOM 패킷
    • ACE 라인 17에 대한 TCP 포트 554의 97개 VSMS 패킷
    • ACE 라인 18에 대한 TCP 포트 1066의 33개 VSVM 패킷
    • ACE 라인 19에 대한 TCP 포트 8086의 25개 VSVM 패킷
    • ACE 라인 20에 대한 UDP 포트 123의 23개 NTP 패킷
    • ACE 라인 21의 UDP 포트 범위 1024-1099에서 88개의 UDP 패킷
    • ACE 라인 22의 UDP 포트 범위 6000-6999에서 94개의 UDP 패킷
    • ACE 라인 23의 UDP 포트 범위 16100-16999에서 29개의 UDP 패킷
    • ACE 라인 24의 UDP 포트 범위 18000-18999에서 76개의 UDP 패킷
    • ACE 라인 25의 UDP 포트 범위 20000-20999에서 10개의 UDP 패킷
    • ACE 라인 26의 UDP 포트 범위 55000-55999에서 15개의 UDP 패킷
    ACE 카운터 및 syslog 이벤트를 사용한 인시던트 조사에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security 백서를 참조하십시오.

    관리자는 ACE 카운터 적중과 같은 특정 조건이 충족될 때 Embedded Event Manager를 사용하여 계측을 제공할 수 있습니다. Cisco Security White Paper Embedded Event Manager in a Security Context에서는 이 기능을 사용하는 방법에 대한 추가 세부 정보를 제공합니다.

    ID: 액세스 목록 로깅

    log and log-input ACL(access control list) 옵션을 사용하면 특정 ACE와 일치하는 패킷이 로깅됩니다. log-input 옵션은 패킷 소스 및 목적지 IP 주소와 포트 외에 인그레스 인터페이스의 로깅을 활성화합니다.

    주의: 액세스 제어 목록 로깅은 CPU를 많이 사용할 수 있으므로 각별한 주의를 기울여 사용해야 합니다. ACL 로깅의 CPU 영향을 제어하는 요소는 로그 생성, 로그 전송, 로그 지원 ACE와 일치하는 패킷을 전달하는 프로세스 스위칭입니다.

    Cisco IOS Software의 경우 ip access-list logging interval in-ms 명령은 IPv4 ACL 로깅에 의해 유발되는 프로세스 전환의 효과를 제한할 수 있습니다. logging rate-limit rate-per-second [ except loglevel] 명령은 로그 생성 및 전송의 영향을 제한합니다.

    ACL 로깅의 CPU 영향은 Supervisor Engine 720 또는 Supervisor Engine 32를 사용하는 Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터의 하드웨어에서 최적화된 ACL 로깅을 사용하여 해결할 수 있습니다.

    ACL 로깅의 컨피그레이션 및 사용에 대한 자세한 내용은 액세스 제어 목록 로깅 이해 Cisco Security 백서를 참조하십시오.

    완화: 스푸핑 보호

    유니캐스트 역방향 경로 전달

    이 문서에 설명된 취약성은 스푸핑된 IP 패킷으로 악용될 수 있습니다. 관리자는 스푸핑에 대한 보호 메커니즘으로 uRPF(Unicast Reverse Path Forwarding)를 구축하고 구성할 수 있습니다.

    uRPF는 인터페이스 레벨에서 구성되며 확인 가능한 소스 IP 주소가 없는 패킷을 탐지하고 삭제할 수 있습니다. 소스 IP 주소에 대한 적절한 반환 경로가 있는 경우 스푸핑된 패킷이 uRPF 지원 인터페이스를 통해 네트워크에 들어갈 수 있으므로 관리자는 uRPF를 사용하여 완벽한 스푸핑 보호를 제공해서는 안 됩니다. 네트워크를 통과하는 합법적인 트래픽을 삭제할 수 있으므로 관리자는 이 기능을 구축하는 동안 적절한 uRPF 모드(느슨하거나 엄격함)가 구성되었는지 확인하는 것이 좋습니다. 엔터프라이즈 환경에서는 사용자 지원 레이어 3 인터페이스의 인터넷 에지 및 내부 액세스 레이어에서 uRPF를 활성화할 수 있습니다.

    uRPF 컨피그레이션 및 사용에 대한 자세한 내용은 Understanding Unicast Reverse Path Forwarding Cisco Security 백서를 참조하십시오.

    IP Source Guard

    IPSG(IP source guard)는 DHCP 스누핑 바인딩 데이터베이스 및 수동으로 구성된 IP 소스 바인딩을 기반으로 패킷을 필터링하여 라우팅되지 않은 레이어 2 인터페이스의 IP 트래픽을 제한하는 보안 기능입니다. 관리자는 IPSG를 사용하여 소스 IP 주소 및/또는 MAC 주소를 위조하여 패킷을 스푸핑하려고 시도하는 공격자의 공격을 방지할 수 있습니다. IPSG를 적절하게 구축하고 구성하면 엄격한 모드 uRPF와 결합하여 이 문서에 설명된 취약성에 대한 가장 효과적인 스푸핑 보호 수단을 제공합니다.

    IPSG 구축 및 컨피그레이션에 대한 추가 정보는 DHCP 기능 및 IP 소스 가드 구성에 있습니다.

    식별: 유니캐스트 역방향 경로 전달을 사용하는 스푸핑 보호

    네트워크 인프라 전반에 걸쳐 uRPF가 올바르게 구축 및 구성된 경우 관리자는 show cef interface type slot/port internal, show ip interface, show cef drop, show ip cef switching statistics feature 및 show ip traffic 명령을 사용하여 uRPF가 삭제한 패킷 수를 식별할 수 있습니다 .

    참고: Cisco IOS Software Release 12.4(20)T부터 show ip cef switching 명령이 show ip cef switching statistics 기능으로 대체되었습니다.

    참고: show 명령 은 | regex 시작 및 show 명령 | include regex 명령 수정자는 다음 예에서 사용되므로 원하는 정보를 보기 위해 관리자가 구문 분석해야 하는 출력의 양을 최소화합니다. 명령 수정자에 대한 자세한 내용은 Cisco IOS Configuration Fundamentals 명령 참조의 show 명령 섹션에 있습니다. 
    router#show cef interface GigabitEthernet 0/0 internal | include drop
  ip verify: via=rx (allow default), acl=0, drop=18, sdrop=0
  IPv6 unicast RPF: via=rx acl=None, drop=10, sdrop=0 
router#
    참고: show cef interface type slot/port internal은 CLI에서 완전히 입력해야 하는 숨겨진 명령입니다. 명령 완료를 사용할 수 없습니다. 
    router#show cef drop
CEF Drop Statistics
Slot  Encap_fail  Unresolved Unsupported    No_route      No_adj  ChkSum_Err
RP            27           0           0          18           0           0
router#

router#show ip interface GigabitEthernet 0/0 | begin verify

  IP verify source reachable-via RX, allow default, allow self-ping
  18 verification drops
  0 suppressed verification drops
router#
router#show ipv6 interface GigabitEthernet 0/0 | section IPv6 verify

  IPv6 verify source reachable-via rx 
  0 verification drop(s) (process), 10 (CEF)
  0 suppressed verification drop(s) (process), 0 (CEF)
  --      CLI Output Truncated       --  
router#

router#show ip cef switching statistics feature

IPv4 CEF input features:
    Path   Feature                Drop    Consume       Punt  Punt2Host Gave route
    RP PAS uRPF                     18          0          0          0          0
Total                           18          0          0          0          0
    --      CLI Output Truncated       --  
router#
router#show ipv6 cef switching statistics feature

IPv6 CEF input features:
Feature                       Drop   Consume   Punt   Punt2Host   Gave route
RP LES Verify Unicast R         10         0      0           0            0
Total                           10         0      0           0            0
    --      CLI Output Truncated       --  
router#

router#show ip traffic | include RPF
         18 no route, 18 unicast RPF, 0 forced drop
router#
router#show ipv6 traffic | include RPF
         10 RPF drops, 0 RPF suppressed, 0 forced drop
router#
    앞의 show cef interface type slot/port internal, show cef drop, show ip interface type slot/port and show ipv6 interface type slot/port, show ip cef switching statistics feature and show ipv6 cef switching statistics feature, show ip traffic and show ipv6 traffic example에서 uRPF는 Cisco Express Forwarding의 포워딩 정보 베이스 내에서 IP 패킷의 소스 주소를 확인할 수 없어 uRPF가 구성된 모든 인터페이스에서 전역으로 수신된 다음 패킷을 삭제했습니다.
    • IPv4 패킷 18개
    • IPv6 패킷 10개

    Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow

    식별: Cisco IOS NetFlow를 사용한 IPv4 트래픽 흐름 식별

    관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이러한 취약성을 악용하려는 시도일 수 있는 IPv4 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이러한 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다. 
    router#show ip cache flow
IP packet size distribution (90784136 total packets):
   1-32   64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000

    512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 4456704 bytes
  1885 active, 63651 inactive, 59960004 added
  129803821 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 402056 bytes
  0 active, 16384 inactive, 0 added, 0 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added
  last clearing of statistics never
Protocol         Total    Flows   Packets Bytes  Packets Active(Sec) Idle(Sec)
--------         Flows     /Sec     /Flow  /Pkt     /Sec     /Flow     /Flow
TCP-Telnet    11393421      2.8         1    48      3.1       0.0       1.4
TCP-FTP            236      0.0        12    66      0.0       1.8       4.8
TCP-FTPD            21      0.0     13726  1294      0.0      18.4       4.1
TCP-WWW          22282      0.0        21  1020      0.1       4.1       7.3
TCP-X              719      0.0         1    40      0.0       0.0       1.3
TCP-BGP              1      0.0         1    40      0.0       0.0      15.0
TCP-Frag         70399      0.0         1   688      0.0       0.0      22.7
TCP-other     47861004     11.8         1   211     18.9       0.0       1.3
UDP-DNS            582      0.0         4    73      0.0       3.4      15.4
UDP-NTP         287252      0.0         1    76      0.0       0.0      15.5
UDP-other       310347      0.0         2   230      0.1       0.6      15.9
ICMP             11674      0.0         3    61      0.0      19.8      15.5
IPv6INIP            15      0.0         1  1132      0.0       0.0      15.4
GRE                  4      0.0         1    48      0.0       0.0      15.3 
Total:        59957957     14.8         1   196     22.5       0.0       1.5

SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.10.201  Gi0/1         192.168.60.102  11 0984 007B     1
Gi0/0         192.168.11.54   Gi0/1         192.168.60.158  11 0911 0400     3
Gi0/1         192.168.150.60  Gi0/0         10.89.16.226    06 0016 12CA     1
Gi0/0         192.168.13.97   Gi0/1         192.168.60.28   11 0B3E 1770     5
Gi0/0         192.168.10.17   Gi0/1         192.168.60.97   11 0B89 3EE4     1
Gi0/0         10.88.226.1     Gi0/1         192.168.60.22   11 007B 4650     1
Gi0/0         192.168.12.185  Gi0/1         192.168.60.239  11 0BD7 12CA     1
Gi0/0         10.89.16.226    Gi0/1         192.168.150.60  11 12CA 001A     1
router#
    앞의 예에서는 UDP 포트 123(16진수 값 007B), UDP 포트 1024(16진수 값 0400), UDP 포트 6000(16진수 값 1770), UDP 포트 16100, (16진수 값 3EE4), UDP 포트 18000(16진수 값 4650)의 NTP에 대한 여러 플로우가 있습니다.

    이 트래픽은 영향을 받는 디바이스에서 사용하는 192.168.60.0/24 주소 블록 내의 주소에서 소싱되어 해당 주소로 전송됩니다. 이러한 흐름의 패킷은 스푸핑될 수 있으며, 이러한 취약성을 악용하려는 시도를 나타낼 수 있습니다. 관리자는 이러한 플로우를 UDP 포트 123, 1024, 6000, 16100 및 18000에서 전송된 NTP 트래픽의 기준 사용률과 비교하고, 이러한 플로우가 신뢰할 수 없는 호스트 또는 네트워크에서 소싱되는지 여부를 조사해야 합니다.

    다음 예에 표시된 것처럼 TCP 포트 22(16진수 값 0016), TCP 포트 80(16진수 값 0050) 및 TCP 포트(16진수 값 01BB)의 SSH 패킷만 보려면 show ip cache flow를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_06_.*(0016|0050|01BB)_ 명령을 포함합니다.

    TCP 흐름 
    router#show ip cache flow | include SrcIf|_06_.*(0016|0050|01BB)_
SrcIf         SrcIPaddress     DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.12.110   Gi0/1         192.168.60.163  06 092A 0016     6
Gi0/0         192.168.11.230   Gi0/1         192.168.60.20   06 0C09 0016     1
Gi0/0         192.168.11.131   Gi0/1         192.168.60.245  06 0B66 0050    18
Gi0/0         192.168.13.7     Gi0/1         192.168.60.162  06 0914 0050     1
Gi0/0         192.168.41.86    Gi0/1         192.168.60.27   06 0B7B 01BB     2
router#
    다음 예에 표시된 것처럼 UDP 포트 123(16진수 값 007B), UDP 포트 1024(16진수 값 0400) 및 UDP 포트 6000(16진수 값 1770)의 패킷만 보려면 show ip cache flow를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_11_.*(007B|0400|1770)_ 명령을 포함합니다.

    UDP 플로우 
    router#show ip cache flow | include SrcIf|_11_.*(007B|0400|1770)_
SrcIf         SrcIPaddress     DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.12.110   Gi0/1         192.168.60.163  11 092A 007B     6
Gi0/0         192.168.11.230   Gi0/1         192.168.60.20   11 0C09 007B     1
Gi0/0         192.168.11.131   Gi0/1         192.168.60.245  11 0B66 0400    18
Gi0/0         192.168.13.7     Gi0/1         192.168.60.162  11 0914 1770     1
Gi0/0         192.168.41.86    Gi0/1         192.168.60.27   11 0B7B 1770     2
router#

    식별: Cisco IOS NetFlow를 사용한 IPv6 트래픽 흐름 식별

    관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이 문서에 설명된 취약성을 악용하려는 시도가 될 수 있는 IPv6 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이러한 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다.

    다음은 Cisco IOS Software 12.4 메인라인 트레인을 실행하는 Cisco IOS 디바이스의 출력입니다. 명령 구문은 Cisco IOS 소프트웨어 트레인마다 다릅니다. 
    router#show ipv6 flow cache

IP packet size distribution (50078919 total packets):
   1-32  64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
    512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000
IP Flow Switching Cache, 475168 bytes
  8 active, 4088 inactive, 6160 added
  1092984 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 33928 bytes
  16 active, 1008 inactive, 12320 added, 6160 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added
SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...06::201 Gi0/0    2001:DB...28::20 Local    0x11 0x16C4 0x007B 1464
2001:DB...6A:5BA6 Gi0/0    2001:DB...28::21 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...134::3 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::4 Gi0/1    0x3A 0x0000 0x8000 1192    
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x0016 1522
2001:DB...06::201 Gi0/0    2001:DB...128::3 Gi0/1    0x11 0x1610 0x1770 1001  
2001:DB...06::201 Gi0/0    2001:DB...128::4 Gi0/1    0x11 0x1634 0x1770 1292  
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::3 Gi0/1    0x06 0x0000 0x0016 1155
2001:DB...6A:5BA6 Gi0/0    2001:DB...146::3 Gi0/1    0x3A 0x0000 0x8000 1092
2001:DB...6A:5BA6 Gi0/0    2001:DB...144::4 Gi0/1    0x3A 0x0000 0x8000 1193
    전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.

    앞의 예에서는 UDP 포트 123의 NTP(16진수 값 007B), TCP 포트 22의 SSH(16진수 값 0016) 및 UDP 포트 6000(16진수 값 1770)에 대한 여러 IPv6 플로우가 있습니다 .

    UDP 포트 123 및 UDP 포트 6000의 패킷은 영향을 받는 디바이스에서 사용하는 2001:DB8:1:60::/64 주소 블록 내의 주소에서 소싱되고 해당 주소로 전송됩니다. UDP 플로우의 패킷은 스푸핑될 수 있으며, 이러한 취약성을 악용하려는 시도를 나타낼 수 있습니다. 관리자는 이러한 플로우를 UDP 포트 123 및 UDP 포트 6000의 트래픽에 대한 기준 사용률과 비교하고, 이러한 플로우가 신뢰할 수 없는 호스트 또는 네트워크에서 소싱되는지 여부를 확인하는 것이 좋습니다.

    다음 예에 표시된 것처럼 TCP 포트 22(16진수 값 0016), TCP 포트 80(16진수 값 0050) 및 TCP 포트(16진수 값 01BB)의 SSH 패킷만 보려면 show ipv6 flow cache를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_06_.*(0016|0050|01BB)_ 명령을 포함합니다.

    TCP 흐름 
    router#show ipv6 flow cache | include SrcIf|_06_.*(0016|0050|01BB)_
SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x0016 1597
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x0050 1597
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x01BB 1597
router#
    다음 예에 표시된 것처럼 UDP 포트 123(16진수 값 007B), UDP 포트 1024(16진수 값 0400) 및 UDP 포트 6000(16진수 값 1770)에서 NTP 패킷만 보려면 show ipv 6 flow cache를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_11_.*(007B|0400|1770)_ 명령을 포함합니다.

    UDP 플로우 
    router#show ip cache flow | include SrcIf|_11_.*(007B|0400|1770)_
SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...06::201 Gi0/0    2001:DB...28::20 Local    0x11 0x16C4 0x007B 1464 
2001:DB...06::201 Gi0/0    2001:DB...128::3 Gi0/1    0x11 0x1610 0x0400 1001 
2001:DB...06::201 Gi0/0    2001:DB...128::4 Gi0/1    0x11 0x1634 0x1770 1292 
router#

    식별: Cisco Flexible NetFlow를 사용한 IPv4 트래픽 흐름 식별

    Cisco IOS Software 릴리스 12.2(31)SB2 및 12.4(9)T에 도입된 Cisco IOS Flexible NetFlow는 관리자의 특정 요구 사항에 맞게 트래픽 분석 매개변수를 맞춤화하는 기능을 추가하여 원래의 Cisco NetFlow를 개선합니다. 원래의 Cisco NetFlow는 IP 정보의 고정된 7튜플을 사용하여 플로우를 식별하는 반면, Cisco IOS Flexible NetFlow는 플로우를 사용자 정의할 수 있게 해줍니다. 재사용 가능한 구성 구성 요소를 사용하여 트래픽 분석 및 데이터 내보내기를 위한 더 복잡한 구성을 쉽게 생성할 수 있습니다.

    다음 출력은 15.1T 트레인의 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 출력입니다. 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 match ipv4 source address key(ipv4 소스 주소 키) 필드 명령문에 정의된 대로 소스 IPv4 주소를 기반으로 수신 IPv4 흐름에 대한 인터페이스 GigabitEthernet0/0 에 대한 정보를 수집합니다. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv4 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다. 
    ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv4
 match ipv4 source address
 collect ipv4 protocol
 collect ipv4 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv4
 record FLOW-RECORD-ipv4
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
 ip flow monitor FLOW-MONITOR-ipv4 input

    Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.

    router#show flow monitor FLOW-MONITOR-ipv4 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                1

  Flows added:                                   9181
  Flows aged:                                    9175
    - Active timeout      (  1800 secs)          9000
    - Inactive timeout    (    15 secs)           175
    - Event aged                                    0
    - Watermark aged                                0
    - Emergency aged                                0

IPV4 SRC ADDR   ipv4 dst addr   trns src port trns dst port intf input intf output pkts   ip prot
=============== =============== ============= ============= ========== =========== ====== =======
 192.168.10.201  192.168.60.102          1456            22      Gi0/0       Gi0/1   1128      6
 192.168.11.54   192.168.60.158           123           123      Gi0/0       Gi0/1   2212     17
 192.168.150.60    10.89.16.226          2567           443      Gi0/0       Gi0/1     13      6
 192.168.13.97    192.168.60.28          3451            22      Gi0/0       Gi0/1      1      6
 192.168.10.17    192.168.60.97          4231          1770      Gi0/0       Gi0/1    146     17
   10.88.226.1   192.168.202.22          2678           443      Gi0/0       Gi0/1  10567      6
  10.89.16.226   192.168.150.60          3562            80      Gi0/0       Gi0/1  30012      6
    TCP 포트 22의 SSH 패킷만 보려면 show flow monitor FLOW-MONITOR-ipv4 cache format 테이블을 사용합니다 | IPV4 DST 주소 포함 |_(22)_.*_6_ 명령을 입력하여 관련 NetFlow 레코드를 표시합니다.

    Cisco IOS Flexible NetFlow에 대한 자세한 내용은 Flexible Netflow Configuration Guide, Cisco IOS Release 15M&T 및 Cisco IOS Flexible NetFlow Configuration Guide, Release 12.4T를 참조하십시오.

    식별: Cisco IOS Flexible NetFlow를 사용한 IPv6 트래픽 흐름 식별

    다음 출력은 15.1T 트레인의 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 출력입니다. 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 match ipv6 source address key 필드 명령문에 정의된 대로 소스 IPv6 주소를 기반으로 수신 IPv6 흐름에 대한 인터페이스 GigabitEthernet0/0에 대한 정보를 수집합니다. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv6 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다. 
    ! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv6
 match ipv6 source address
 collect ipv6 protocol
 collect ipv6 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv6
 record FLOW-RECORD-ipv6
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
  ipv6 flow monitor FLOW-MONITOR-ipv6 input

    Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.

     

    router#show flow monitor FLOW-MONITOR-ipv6 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                2

  Flows added:                                   539
  Flows aged:                                    532
    - Active timeout      (  1800 secs)          350
    - Inactive timeout    (    15 secs)          182
    - Event aged                                   0
    - Watermark aged                               0
    - Emergency aged                               0

IPV6 SRC ADDR     ipv6 dst addr     trns src port trns dst port intf input intf output pkts ip prot
================= ================= ============= ============= ========== =========== ==== =======
2001:DB...06::201  2001:DB...28::20           123           123      Gi0/0       Gi0/0   17      17
2001:DB...06::201 2001:DB...28::20           1265            22      Gi0/0       Gi0/0 1237       6
2001:DB...06::201  2001:DB...28::20          1441           443      Gi0/0       Gi0/0 2346       6
2001:DB...06::201  2001:DB...28::20          1890            22      Gi0/0       Gi0/0 5009       6
2001:DB...06::201  2001:DB...28::20          2856          5060      Gi0/0       Gi0/0  486      17
2001:DB...06::201  2001:DB...28::20          3012            53      Gi0/0       Gi0/0 1016      17
2001:DB...06::201  2001:DB...28::20          2477            53      Gi0/0       Gi0/0 1563      17
    전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.

    TCP 포트 22의 SSH만 보려면 show flow monitor FLOW-MONITOR-ipv6 cache format 테이블을 사용합니다 관련 Cisco IOS Flexible NetFlow 레코드를 표시하려면 IPV6 DST ADDR|_(22)_.*_6_ 명령을 포함합니다.

    Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽

    완화: 통과 액세스 제어 목록

    인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL을 구축하여 정책 적용을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이러한 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

    tACL 정책은 영향을 받는 디바이스에 전송되는 무단 패킷을 거부합니다.
    • TCP 포트 22의 SSH IPv4 및 IPv6 패킷
    • TCP 포트 80 및 554의 VSMS IPv4 및 IPv6 패킷
    • TCP 포트 443의 VSOM IPv4 및 IPv6 패킷
    • TCP 포트 1066 및 8086의 VSVM IPv4 및 IPv6 패킷
    • UDP 포트 123의 NTP IPv4 및 IPv6 패킷
    • UDP 포트의 패킷 1024-1999
    • UDP 포트 6000-6999의 패킷
    • UDP 포트의 패킷 16100-16999
    • UDP 포트의 패킷 18000-18999
    • UDP 포트의 패킷 20000-20999
    • UDP 포트의 패킷 55000-55999
    다음 예에서 192.168.60.0/24 및 2001:DB8:1:60::/64는 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다.

    tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다. 
    ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable  TCP | UDP ports | protocols !
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 22
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 80
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 443
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 554
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 1066
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 8086
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 123
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 1024 1999
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 6000 6999
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 16100 16999
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 18000 18999
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 20000 20999
access-list tACL-Policy extended permit udp host 192.168.100.1 
     192.168.60.0 255.255.255.0 range 55000 55999
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 22
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 80
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 443
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 554
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 1066
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 8086
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 eq 123
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 1024 1999
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 6000 6999
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 16100 16999
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 18000 18999
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 20000 20999
access-list tACL-Policy extended deny udp any 192.168.60.0 255.255.255.0 range 55000 55999
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
access-list tACL-Policy extended deny ip any any
! !-- Create the corresponding IPv6 tACL ! !-- Include explicit permit statements for trusted sources that !-- require access on the vulnerable TCP | UDP ports | protocols !
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 22
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 80
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 443
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 554
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 1066
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 8086
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 123
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 1024 1999
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 6000 6999
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 16100 16999
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 18000 18999
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 20000 20999
ipv6 access-list IPv6-tACL-Policy permit udp host 2001:DB8::100:1
          2001:db8:1:60::/64 range 55000 55999
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 22
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 80
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 443
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 554
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 1066
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 8086
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 eq 123
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 1024 1999
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 6000 6999
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 16100 16999
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 18000 18999
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 20000 20999
ipv6 access-list IPv6-tACL-Policy deny udp any 2001:db8:1:60::/64 range 55000 55999
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
ipv6 access-list IPv6-tACL-Policy deny ip any any
! !-- Apply tACLs to interfaces in the ingress direction !
access-group tACL-Policy in interface outside
access-group IPv6-tACL-Policy in interface outside

    식별: 통과 액세스 제어 목록

    인터페이스에 tACL을 적용한 후 관리자는 show access-list 명령을 사용하여 필터링된 패킷 수를 식별할 수 있습니다. 관리자는 필터링된 패킷을 조사하여 이러한 취약성을 악용하려는 시도인지 확인하는 것이 좋습니다. show access-list tACL-Policy 및 show access-list IPv6-tACL-Policy의 출력 예: 
    firewall#show access-list tACL-Policy
access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq ssh (hitcnt=0) 0xed1065dd 
access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq www (hitcnt=0) 0x22aaee1d 
access-list tACL-Policy line 3 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq https (hitcnt=0) 0x31d6aea3 
access-list tACL-Policy line 4 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq rtsp (hitcnt=0) 0x63da74df 
access-list tACL-Policy line 5 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq 1066 (hitcnt=0) 0x26c96c34 
access-list tACL-Policy line 6 extended permit tcp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq 8086 (hitcnt=0) 0x090719ee 
access-list tACL-Policy line 7 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 eq ntp (hitcnt=0) 0x78708a59 
access-list tACL-Policy line 8 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 1024 1999 (hitcnt=0) 0x37587597 
access-list tACL-Policy line 9 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 6000 6999 (hitcnt=0) 0x81c8fdda 
access-list tACL-Policy line 10 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 16100 16999 (hitcnt=0) 0xd49298bb 
access-list tACL-Policy line 11 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 18000 18999 (hitcnt=0) 0x3634dbeb 
access-list tACL-Policy line 12 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 20000 20999 (hitcnt=0) 0xdb4a4026 
access-list tACL-Policy line 13 extended permit udp host 192.168.100.1 
          192.168.60.0 255.255.255.0 range 55000 55999 (hitcnt=0) 0xa267094e 
access-list tACL-Policy line 14 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq ssh (hitcnt=12) 0x641e0b4e 
access-list tACL-Policy line 15 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq www (hitcnt=43) 0x1c132dc0 
access-list tACL-Policy line 16 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq https (hitcnt=54) 0x992592c4 
access-list tACL-Policy line 17 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq rtsp (hitcnt=32) 0x6fef18d4 
access-list tACL-Policy line 18 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq 1066 (hitcnt=76) 0xf6d3da61 
access-list tACL-Policy line 19 extended deny tcp any 192.168.60.0  
          255.255.255.0 eq 8086 (hitcnt=87) 0x300f96d0 
access-list tACL-Policy line 20 extended deny udp any 192.168.60.0  
          255.255.255.0 eq ntp (hitcnt=54) 0x92a29788 
access-list tACL-Policy line 21 extended deny udp any 192.168.60.0  
          255.255.255.0 range 1024 1999 (hitcnt=21) 0x0bbd3439 
access-list tACL-Policy line 22 extended deny udp any 192.168.60.0  
          255.255.255.0 range 6000 6999 (hitcnt=89) 0xc71dc0d5 
access-list tACL-Policy line 23 extended deny udp any 192.168.60.0  
          255.255.255.0 range 16100 16999 (hitcnt=22) 0x50a3f5bd 
access-list tACL-Policy line 24 extended deny udp any 192.168.60.0  
          255.255.255.0 range 18000 18999 (hitcnt=12) 0x36abaa23 
access-list tACL-Policy line 25 extended deny udp any 192.168.60.0  
          255.255.255.0 range 20000 20999 (hitcnt=12) 0xec77d990 
access-list tACL-Policy line 26 extended deny udp any 192.168.60.0  
          255.255.255.0 range 55000 55999 (hitcnt=53) 0xd3041ba6 
access-list tACL-Policy line 27 extended deny ip any any (hitcnt=639) 0xfb7b3a57
    앞의 예에서 액세스 목록 tACL -Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.
    • ACE 라인 14에 대한 TCP 포트 22의 12개 SSH 패킷
    • ACE 라인 15에 대한 TCP 포트 80의 43개 VSMS 패킷
    • ACE 라인 16에 대한 TCP 포트 443의 54개 VSOM 패킷
    • ACE 라인 17에 대한 TCP 포트 554의 32개 VSMS 패킷
    • ACE 라인 18에 대한 TCP 포트 1066의 76개 VSVM 패킷
    • ACE 라인 19용 TCP 포트 8086의 87개 VSVM 패킷
    • ACE 라인 20에 대한 UDP 포트 123의 54개 NTP 패킷
    • ACE 라인 21에 대한 UDP 포트 범위 1024-1099의 211개 패킷
    • ACE 라인 22에 대한 UDP 포트 범위 6000-6009의 89개 패킷
    • ACE 라인 23에 대한 UDP 포트 범위 161000-16999의 22개 패킷
    • ACE 라인 24에 대한 UDP 포트 범위 18000-18999의 12개 패킷
    • ACE 라인 25에 대한 UDP 포트 범위 20000-20999의 12개 패킷
    • ACE 라인 26의 UDP 포트 범위 55000-55999의 53개 패킷
    firewall#show access-list IPv6-tACL-Policy                 
ipv6 access-list IPv6-tACL-Policy; 27 elements; name hash: 0x566a4229
ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq ssh (hitcnt=0) 0xcd5dc697 
ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq www (hitcnt=0) 0xefd0a39e 
ipv6 access-list IPv6-tACL-Policy line 3 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq https (hitcnt=0) 0x7e70f8fc 
ipv6 access-list IPv6-tACL-Policy line 4 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq rtsp (hitcnt=0) 0x0dddc752 
ipv6 access-list IPv6-tACL-Policy line 5 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq 1066 (hitcnt=0) 0xdff50a3e 
ipv6 access-list IPv6-tACL-Policy line 6 permit tcp host 2001:db8::100:1
      2001:db8:1:60::/64 eq 8086 (hitcnt=0) 0xa8fb3866 
ipv6 access-list IPv6-tACL-Policy line 7 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 eq ntp (hitcnt=0) 0xa280450c 
ipv6 access-list IPv6-tACL-Policy line 8 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 1024 1999 (hitcnt=0) 0x1885ac1c 
ipv6 access-list IPv6-tACL-Policy line 9 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 6000 6999 (hitcnt=0) 0xac3af30f 
ipv6 access-list IPv6-tACL-Policy line 10 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 16100 16999 (hitcnt=0) 0xc0f8a01a 
ipv6 access-list IPv6-tACL-Policy line 11 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 18000 18999 (hitcnt=0) 0x191d4ecc 
ipv6 access-list IPv6-tACL-Policy line 12 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 20000 20999 (hitcnt=0) 0xf872ee86 
ipv6 access-list IPv6-tACL-Policy line 13 permit udp host 2001:db8::100:1
      2001:db8:1:60::/64 range 55000 55999 (hitcnt=0) 0xf3b02511 
ipv6 access-list IPv6-tACL-Policy line 14 deny tcp any 2001:db8:1:60::/64
       eq ssh (hitcnt=12) 0x4e953dfe 
ipv6 access-list IPv6-tACL-Policy line 15 deny tcp any 2001:db8:1:60::/64
      eq www (hitcnt=43) 0x68a1721d 
ipv6 access-list IPv6-tACL-Policy line 16 deny tcp any 2001:db8:1:60::/64
      eq https (hitcnt=54) 0x3bd72116 
ipv6 access-list IPv6-tACL-Policy line 17 deny tcp any 2001:db8:1:60::/64
      eq rtsp (hitcnt=32) 0x65f7c96f 
ipv6 access-list IPv6-tACL-Policy line 18 deny tcp any 2001:db8:1:60::/64
      eq 1066 (hitcnt=76) 0xbad3a01e 
ipv6 access-list IPv6-tACL-Policy line 19 deny tcp any 2001:db8:1:60::/64
      eq 8086 (hitcnt=87) 0x42ad6174 
ipv6 access-list IPv6-tACL-Policy line 20 deny udp any 2001:db8:1:60::/64
      eq ntp (hitcnt=54) 0xec42313f 
ipv6 access-list IPv6-tACL-Policy line 21 deny udp any 2001:db8:1:60::/64
      range 1024 1999 (hitcnt=211) 0xece1bbe6 
ipv6 access-list IPv6-tACL-Policy line 22 deny udp any 2001:db8:1:60::/64
      range 6000 6999 (hitcnt=89) 0xeb692e71 
ipv6 access-list IPv6-tACL-Policy line 23 deny udp any 2001:db8:1:60::/64
      range 16100 16999 (hitcnt=22) 0xc634e4bc 
ipv6 access-list IPv6-tACL-Policy line 24 deny udp any 2001:db8:1:60::/64
      range 18000 18999 (hitcnt=12) 0x6746462b 
ipv6 access-list IPv6-tACL-Policy line 25 deny udp any 2001:db8:1:60::/64
      range 20000 20999 (hitcnt=12) 0x8f5b5954 
ipv6 access-list IPv6-tACL-Policy line 26 deny udp any 2001:db8:1:60::/64
      range 55000 55999 (hitcnt=53) 0xa678e66e 
ipv6 access-list IPv6-tACL-Policy line 27 deny ip any any (hitcnt=889) 0xa6445d5d
    앞의 예에서 액세스 목록 IPv 6-tACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.
    • ACE 라인 14에 대한 TCP 포트 22의 12개 SSH 패킷
    • ACE 라인 15에 대한 TCP 포트 80의 43개 VSMS 패킷
    • ACE 라인 16에 대한 TCP 포트 443의 54개 VSOM 패킷
    • ACE 라인 17에 대한 TCP 포트 554의 32개 VSMS 패킷
    • ACE 라인 18에 대한 TCP 포트 1066의 76개 VSVM 패킷
    • ACE 라인 19용 TCP 포트 8086의 87개 VSVM 패킷
    • ACE 라인 20에 대한 UDP 포트 123의 54개 NTP 패킷
    • ACE 라인 21에 대한 UDP 포트 범위 1024-1099의 211개 패킷
    • ACE 라인 22에 대한 UDP 포트 범위 6000-6009의 89개 패킷
    • ACE 라인 23에 대한 UDP 포트 범위 161000-16999의 22개 패킷
    • ACE 라인 24에 대한 UDP 포트 범위 18000-18999의 12개 패킷
    • ACE 라인 25에 대한 UDP 포트 범위 20000-20999의 12개 패킷
    • ACE 라인 26의 UDP 포트 범위 55000-55999의 53개 패킷
    또한 syslog 메시지 106023은 소스 및 목적지 IP 주소, 소스 및 목적지 포트 번호, 거부된 패킷에 대한 IP 프로토콜을 포함하는 중요한 정보를 제공할 수 있습니다.

    식별: 방화벽 액세스 목록 Syslog 메시지

    log 키워드가 없는 ACE(Access Control Entry)에서 거부된 패킷에 대해 방화벽 syslog 메시지 106023이 생성됩니다. 이 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Message, 8.2 - 106023에 있습니다.

    Cisco ASA 5500 Series Adaptive Security Appliance용 syslog 구성에 대한 정보는 Monitoring - Configuring Logging에 있습니다. Cisco Catalyst 6500 Series ASA Services Module에서 syslog 구성에 대한 정보는 로깅 구성 에 있습니다. Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터에 대한 FWSM의 syslog 구성에 대한 정보는 Monitoring the Firewall Services Module에 있습니다.

    다음 예에서는 show logging | grep regex 명령은 방화벽의 로깅 버퍼에서 syslog 메시지를 추출합니다. 이러한 메시지는 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 거부된 패킷에 대한 추가 정보를 제공합니다. 로깅된 메시지에서 특정 데이터를 검색하기 위해 grep 키워드와 다른 정규식을 사용할 수 있습니다.

    정규식 구문에 대한 추가 정보는 정규식 만들기에 있습니다. 
    firewall#show logging | grep 106023
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.18/2944 
         dst inside:192.168.60.191/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.200/2945 
         dst inside:192.168.60.33/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.99/2946 
         dst inside:192.168.60.240/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.100/2947 
         dst inside:192.168.60.115/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.88/2949 
         dst inside:192.168.60.38/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:192.0.2.175/2950 
         dst inside:192.168.60.250/6000 by access-group "tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:2001:db8:2::2:172/2951
         dst inside:2001:db8:1:60::23/6000 by access-group "IPv6-tACL-Policy"
  Jul 22 2013 00:15:13: %ASA-4-106023: Deny udp src outside:2001:db8:d::a85e:172/2952
         dst inside:2001:db8:1:60::134/6000 by access-group "IPv6-tACL-Policy"
firewall#
    앞의 예에서 tACL tACL tACL-Policy 및 IPv6-tACL-Policy에 대해 로깅된 메시지는 영향을 받는 디바이스에 할당된 주소 블록에 전송된 UDP 포트 6000에 대해 스푸핑된 패킷을 보여줍니다.

    Cisco ASA Series Adaptive Security Appliance용 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Messages, 8.2에 있습니다. Cisco Catalyst 6500 Series ASA Services Module의 syslog 메시지에 대한 추가 정보는 Cisco ASASM CLI 컨피그레이션 가이드의 Analyzing Syslog Messages 섹션에 있습니다. Cisco FWSM용 syslog 메시지에 대한 추가 정보는 Catalyst 6500 Series Switch 및 Cisco 7600 Series Router Firewall Services Module Logging System Log Messages에 있습니다.

    syslog 이벤트를 사용한 인시던트 조사에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security 백서를 참조하십시오.

    완화: 유니캐스트 역방향 경로 전달을 사용한 스푸핑 보호

    이 문서에 설명된 취약성은 스푸핑된 IP 패킷으로 악용될 수 있습니다. 관리자는 스푸핑에 대한 보호 메커니즘으로 uRPF를 구축하고 구성할 수 있습니다.

    uRPF는 인터페이스 레벨에서 구성되며 확인 가능한 소스 IP 주소가 없는 패킷을 탐지하고 삭제할 수 있습니다. 소스 IP 주소에 대한 적절한 반환 경로가 있는 경우 스푸핑된 패킷이 uRPF 지원 인터페이스를 통해 네트워크에 들어갈 수 있으므로 관리자는 uRPF를 사용하여 완벽한 스푸핑 보호를 제공해서는 안 됩니다. 엔터프라이즈 환경에서는 인터넷 에지와 사용자 지원 레이어 3 인터페이스의 내부 액세스 레이어에서 uRPF를 활성화할 수 있습니다.

    uRPF의 컨피그레이션 및 사용에 대한 자세한 내용은 ip verify reverse-path에 대한 Cisco Security Appliance Command Reference 및 Understanding Unicast Reverse Path Forwarding Cisco Security 백서를 참조하십시오.

    식별: 유니캐스트 역방향 경로 전달을 사용하는 스푸핑 보호

    uRPF에서 거부된 패킷에 대해 방화벽 syslog 메시지 106021이 생성됩니다. 이 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Message, 8.2 - 106021에 있습니다.

    Cisco ASA 5500 Series Adaptive Security Appliance용 syslog 구성에 대한 정보는 Monitoring - Configuring Logging에 있습니다. Cisco Catalyst 6500 Series ASA Services Module에 대한 syslog 구성 정보는 로깅 구성에 있습니다. Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터에 대한 FWSM의 syslog 구성에 대한 정보는 Monitoring the Firewall Services Module에 있습니다.

    다음 예에서는 show logging | grep regex 명령은 방화벽의 로깅 버퍼에서 syslog 메시지를 추출합니다. 이러한 메시지는 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 거부된 패킷에 대한 추가 정보를 제공합니다. 로깅된 메시지에서 특정 데이터를 검색하기 위해 grep 키워드와 다른 정규식을 사용할 수 있습니다.

    정규식 구문에 대한 추가 정보는 정규식 만들기에 있습니다. 
    firewall#show logging | grep 106021
  Jul 22 2013 00:15:13: %ASA-1-106021: Deny UDP reverse path check from
         192.168.60.1 to 192.168.60.100 on interface outside
  Jul 22 2013 00:15:13: %ASA-1-106021: Deny UDP reverse path check from
         192.168.60.1 to 192.168.60.100 on interface outside
  Jul 22 2013 00:15:13: %ASA-1-106021: Deny TCP reverse path check from
         192.168.60.1 to 192.168.60.100 on interface outside
    다음 예와 같이 show asp drop 명령은 uRPF 기능이 삭제한 패킷의 수를 식별할 수도 있습니다. 
    firewall#show asp drop frame rpf-violated
  Reverse-path verify failed                          11
firewall#
    앞의 예에서 uRPF는 uRPF가 구성된 인터페이스에서 수신된 11개의 IP 패킷을 삭제했습니다. 출력이 없으면 방화벽의 uRPF 기능에서 패킷이 삭제되지 않았음을 나타냅니다.

    가속화된 보안 경로 삭제 패킷 또는 연결 디버깅에 대한 자세한 내용은 Cisco Security Appliance Command Reference for show asp drop을 참조하십시오.

    Cisco 보안 관리자

    식별: Cisco Security Manager

    Cisco Security Manager, 이벤트 뷰어
    소프트웨어 버전 4.0부터 Cisco Security Manager는 Cisco 방화벽 및 Cisco IPS 디바이스에서 syslog를 수집하고 이 문서에 설명된 취약성과 관련된 이벤트를 쿼리할 수 있는 이벤트 뷰어를 제공합니다.

    이벤트 뷰어의 미리 정의된 Firewall Denied Events(방화벽 거부 이벤트) 보기에서 다음 필터를 사용하면 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 모든 캡처된 Cisco 방화벽 액세스 목록 거부 syslog 메시지를 제공합니다.
    • 영향을 받는 디바이스에서 사용하는 IP 주소 공간이 포함된 네트워크 객체를 필터링하려면 Destination 이벤트 필터를 사용합니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60::/64).
    • TCP 포트 22, 80, 443, 1066, 8086 및 UDP 포트 123, 1024-1099, 6000-6999, 16100-16999, 18000-18999, 20000-20999, 55000-55999이 포함된 Destination Service 이벤트 필터 대 필터 개체를 사용합니다
    이벤트 유형 ID 필터는 이벤트 뷰어의 Firewall Denied Events 미리 정의된 보기와 함께 다음 목록에 표시된 syslog ID를 필터링하여 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 모든 캡처된 Cisco 방화벽 거부 syslog 메시지를 제공할 수 있습니다.
    • ASA-4-106023(ACL 거부)
    Cisco Security Manager 이벤트에 대한 자세한 내용은 Cisco Security Manager 사용 설명서의 이벤트 필터링 및 쿼리 섹션을 참조하십시오.
    Cisco Security Manager 보고서 관리자
    또한 보고서 관리자에서 상위 서비스 보고서를 다음 구성과 함께 사용하여 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타내는 이벤트 보고서를 생성할 수 있습니다.
    • Destination IP 네트워크 필터를 사용하여 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 포함하는 네트워크 객체를 필터링할 수 있습니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60::/64)
    • 기준 설정 페이지에서 거부 작업을 설정합니다.
    Cisco Security Manager IPS 이벤트 보고에 대한 자세한 내용은 Cisco Security Manager User Guide의 Understanding IPS Top Reports 섹션을 참조하십시오.

    ID: Event Management System 파트너 이벤트

    Cisco는 Cisco Developer Network를 통해 업계 최고의 SIEM(Security Information and Event Management) 기업과 협력하고 있습니다. 이러한 파트너십을 통해 Cisco는 장기 로그 아카이빙 및 포렌식, 이기종 이벤트 상관관계, 고급 규정 준수 보고 등 비즈니스 문제를 해결하는 검증된 SIEM 시스템을 제공할 수 있습니다. Security Information and Event Management 파트너 제품을 활용하여 Cisco 디바이스에서 이벤트를 수집한 다음 수집된 이벤트에서 Cisco IPS 시그니처로 생성된 사고를 쿼리하거나, 이 문서에 설명된 취약성을 악용하려는 잠재적인 시도를 나타낼 수 있는 방화벽의 syslog 메시지를 거부할 수 있습니다. 쿼리는 다음 목록에 표시된 것처럼 Syslog ID로 수행할 수 있습니다.
    • ASA-4-106023(ACL 거부)
    SIEM 파트너에 대한 자세한 내용은 Security Management System 웹 사이트를 참조하십시오.

추가 정보

  • 이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO RESERVES THE RIGHT TO CHANGE OR UPDATE THIS DOCUMENT AT ANY TIME.

이 게시판 관련

개정 이력

  • 버전 설명 섹션 날짜
    1 최초 릴리스 2013년 7월 24일 16:01(GMT)
    간단히 표시

Cisco 보안 절차

  • Cisco 제품의 보안 취약성 보고, 보안 사고에 대한 지원 요청, Cisco의 보안 정보 수신을 위한 등록 등에 대한 자세한 내용은 Cisco의 전 세계 웹 사이트(https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html)에서 확인할 수 있습니다. 여기에는 Cisco 보안 알림과 관련된 언론 문의에 대한 지침이 포함됩니다. 모든 Cisco 보안 권고 사항은 http://www.cisco.com/go/psirt에서 확인할 수 있습니다.

관련 정보

영향을 받는 제품

  • 보안 취약성은 다음과 같은 제품 조합에 적용됩니다.

    기본 제품
    Cisco Cisco Video Surveillance Operations Manager 소프트웨어 3.0(.0) | 3.1 (.0, .1) | 4.0(.0) | 4.1 (.0, .1) | 4.2 (.0)


    관련 제품

이 게시판 관련