Cisco Applied Mitigation 게시판-
Cisco IOS XR Software for ASR 9000 Series Aggregation Services Router는 잘못된 형식의 IP 버전 6(IPv6) 패킷을 처리할 때 취약성을 나타냅니다. 이 취약성은 인증 없이, 그리고 최종 사용자 상호 작용 없이 원격으로 악용될 수 있습니다. 이 취약성을 성공적으로 악용하면 영향을 받는 디바이스가 충돌할 수 있습니다. 이 취약성을 악용하려는 시도가 반복되면 DoS 상태가 지속될 수 있습니다. 익스플로잇을 위한 공격 벡터는 잘못된 형식의 IPv6 패킷을 통해 이루어집니다. 공격자는 스푸핑된 패킷을 사용하여 이 취약성을 악용할 수 있습니다.
-
취약한 소프트웨어, 영향을 받지 않는 소프트웨어, 그리고 고정된 소프트웨어에 대한 정보는 Cisco Security Advisory에서 확인할 수 있습니다. Cisco Security Advisory는 다음 링크에서 확인할 수 있습니다. https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140611-ipv6
-
Cisco 디바이스는 이러한 취약성에 대한 몇 가지 대응책을 제공합니다. 관리자는 이러한 보호 방법을 인프라 디바이스 및 네트워크를 이동하는 트래픽에 대한 일반적인 보안 모범 사례로 고려하는 것이 좋습니다. 이 문서에서는 이러한 기술에 대한 개요를 제공합니다.
Cisco IOS Software는 다음 방법을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다.
- IOS Zone-Based Firewall
- uRPF(유니캐스트 역방향 경로 전달)
- IP 소스 가드(IPSG)
이러한 보호 메커니즘은 이 취약성을 악용하려는 패킷의 소스 IP 주소를 확인하고 필터링하고 삭제합니다.
uRPF의 올바른 배포 및 구성은 스푸핑된 소스 IP 주소를 사용하는 패킷을 사용하는 공격에 대한 효과적인 보호 방법을 제공합니다. uRPF는 가능한 모든 트래픽 소스에 가깝게 배포해야 합니다.
IPSG의 적절한 구축 및 구성은 액세스 레이어에서 스푸핑 공격을 효과적으로 방어합니다.
Cisco ASA 5500 Series Adaptive Security Appliance, Cisco Catalyst 6500 Series ASASM(ASA Services Module), Cisco Catalyst 6500 Series Switches 및 Cisco 7600 Series Routers에서 전송 네트워크 트래픽을 능동적으로 검사하는 FWSM(Firewall Services Module)을 통해 효과적인 익스플로잇 방지 기능도 기본적으로 제공될 수 있습니다.
Cisco IPS(Intrusion Prevention System) 이벤트 작업을 효과적으로 사용하면 이 취약성을 악용하려는 공격에 대한 가시성 및 차단 기능을 제공할 수 있습니다.sour
-
조직은 이 취약성의 잠재적인 영향을 판단하기 위해 표준 위험 평가 및 완화 프로세스를 따르는 것이 좋습니다. 분류(Triage)란 성공 가능성이 가장 높은 프로젝트를 분류하고 노력을 우선 순위를 정하는 것을 말한다. Cisco는 조직이 정보 보안 팀을 위해 위험 기반 분류 기능을 개발하는 데 도움이 될 문서를 제공했습니다. 보안 취약성 알림에 대한 위험 분류 및 위험 분류 및 프로토타이핑은 조직이 반복 가능한 보안 평가 및 대응 프로세스를 개발하는 데 도움이 될 수 있습니다.
-
주의: 모든 완화 기법의 효과는 제품 혼합, 네트워크 토폴로지, 트래픽 동작, 조직 임무 등 특정 고객 상황에 따라 달라집니다. 모든 컨피그레이션 변경과 마찬가지로, 변경 사항을 적용하기 전에 이 컨피그레이션의 영향을 평가합니다.
완화 및 식별에 대한 구체적인 정보를 다음 장치에 사용할 수 있습니다.
Cisco IOS 라우터 및 스위치
완화: IOS 영역 기반 및 사용자 기반 방화벽
Cisco IOS Software Release 12.4(6)T부터 ZFW(Zone-Based Policy Firewall)가 Cisco IOS CBAC(Context-Based Access Control)를 대체했습니다. 방화벽 정책 애플리케이션을 세분화하고, 원하는 트래픽을 허용하기 위해 명시적 정책이 적용될 때까지 방화벽 보안 영역 간의 트래픽을 금지하는 기본 거부 정책을 제공합니다.
Cisco IOS ZFW에서 영역은 네트워크의 보안 경계를 설정합니다. 영역은 트래픽이 네트워크의 다른 영역으로 이동할 때 정책 제한이 적용되는 경계를 정의합니다. 영역 간의 ZFW 기본 정책은 모든 트래픽을 거부하는 것입니다. 명시적으로 구성된 정책이 없으면 영역 간에 이동하려는 모든 트래픽이 차단됩니다. ZFW는 CPL(Cisco Policy Language)이라고 하는 컨피그레이션 정책 언어를 사용합니다. Cisco IOS Software Modular QoS(Quality-of-Service) CLI(MQC)에 익숙한 사용자는 형식이 QoS 컨피그레이션에서 클래스 맵이 사용되는 방식과 비슷하다는 것을 인식하여 정책 맵에 적용된 작업의 영향을 받을 트래픽을 지정할 수 있습니다. Cisco IOS ZFW는 스테이트풀 레이어 4 IPv4 및 IPv6 검사를 지원하며, 애플리케이션별 검사, 스테이트풀 방화벽 장애 조치, 인증 프록시, DoS(Denial of Service) 마이그레이션, URL 필터링 등을 제공할 수 있습니다.
Cisco IOS ZFW IPv6 Layer 4 검사는 이 취약성을 악용하려는 잘못된 형식의 패킷을 차단하는 데에도 사용할 수 있습니다. 다음 예에서 ZFW는 레이어 4에서 z1 영역(인터페이스 GigabitEthernet0/0)으로 들어오고 취약한 디바이스가 있는 z2 영역(인터페이스 GigabitEthernet0/1)에서 나가는 모든 IPv6 트래픽을 검사합니다.
! !-- Configure MQC inspection policy to match !-- and inspect all IPv6 traffic ! ipv6 access-list ipv6-acl permit ipv6 any any class-map type inspect match-all z1_2_cm match access-group name ipv6-acl policy-map type inspect z1_2_pm class type inspect z1_2_cm inspect class class-default drop ! !-- Apply the policy to the zone-pair !-- between zones z1 and z2 ! zone security z1 zone security z2 zone-pair security z1_2-zp source z1 destination z2 service-policy type inspect z1_2_pm interface GigabitEthernet0/0 zone-member security z1 interface GigabitEthernet0/1 zone-member security z2
컨피그레이션 예는 Cisco Support Community 및 Cisco Configuration Professional: Zone-Based Firewall Blocking Peer to Peer Traffic 컨피그레이션 예의 IOS Zone Based Firewall Step-by-Step Basic Configuration 및 IPv6 ZFW(Zone Based Firewall) 컨피그레이션 문서를 참조하십시오. Cisco IOS ZFW에 대한 자세한 내용은 Zone-Based Policy Firewall Design and Application Guide를 참조하십시오.
완화: 스푸핑 보호
유니캐스트 역방향 경로 전달
이 문서에 설명된 취약성은 스푸핑된 IP 패킷으로 악용될 수 있습니다. 관리자는 스푸핑에 대한 보호 메커니즘으로 uRPF(Unicast Reverse Path Forwarding)를 구축하고 구성할 수 있습니다.
uRPF는 인터페이스 레벨에서 구성되며 확인 가능한 소스 IP 주소가 없는 패킷을 탐지하고 삭제할 수 있습니다. 소스 IP 주소에 대한 적절한 반환 경로가 있는 경우 스푸핑된 패킷이 uRPF 지원 인터페이스를 통해 네트워크에 들어갈 수 있으므로 관리자는 uRPF를 사용하여 완벽한 스푸핑 보호를 제공해서는 안 됩니다. 네트워크를 통과하는 합법적인 트래픽을 삭제할 수 있으므로 관리자는 이 기능을 구축하는 동안 적절한 uRPF 모드(느슨하거나 엄격함)가 구성되었는지 확인하는 것이 좋습니다. 엔터프라이즈 환경에서는 사용자 지원 레이어 3 인터페이스의 인터넷 에지 및 내부 액세스 레이어에서 uRPF를 활성화할 수 있습니다.
uRPF 컨피그레이션 및 사용에 대한 자세한 내용은 Understanding Unicast Reverse Path Forwarding Cisco Security 백서를 참조하십시오.
IP Source Guard
IPSG(IP source guard)는 DHCP 스누핑 바인딩 데이터베이스 및 수동으로 구성된 IP 소스 바인딩을 기반으로 패킷을 필터링하여 라우팅되지 않은 레이어 2 인터페이스의 IP 트래픽을 제한하는 보안 기능입니다. 관리자는 IPSG를 사용하여 소스 IP 주소 및/또는 MAC 주소를 위조하여 패킷을 스푸핑하려고 시도하는 공격자의 공격을 방지할 수 있습니다. IPSG를 적절하게 구축하고 구성하면 엄격한 모드 uRPF와 결합하여 이 문서에 설명된 취약성에 대한 가장 효과적인 스푸핑 보호 방법을 제공합니다.
IPSG 구축 및 컨피그레이션에 대한 추가 정보는 DHCP 기능 및 IP 소스 가드 구성에 있습니다.
IOS 명령줄 인터페이스를 사용하여 스푸핑 보호의 효과를 평가하는 방법에 대한 자세한 내용은 Cisco Security 백서 Identifying the Effectiveness of Security Mitigating of Security Mitigating Using Cisco IOS Software를 참조하십시오.
Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽
Cisco ASA 소프트웨어는 기본적으로 통과 트래픽에 대해 다양한 패킷 검사를 수행합니다. 예를 들어, 패킷의 IP 헤더 정확성을 확인합니다. IPv6 트래픽을 능동적으로 검사하는 Cisco ASA는 기본적으로 이 문서에 설명된 취약성을 악용하려는 잘못된 형식의 IPv6 패킷을 식별하고 삭제합니다. 이 취약성을 악용할 수 있는 패킷에 대한 보호는 구성할 수 없는 작업입니다. 이 기능을 활성화하는 데 컨피그레이션 변경이 필요하지 않습니다.
ASA IPv6 검사에 대한 자세한 내용은 Getting Started with Application Layer Protocol Inspection 가이드를 참조하십시오.
Cisco 침입 방지 시스템
완화: Cisco IPS
관리자는 Cisco IPS 어플라이언스 및 서비스 모듈을 사용하여 위협 탐지를 제공하고 이 문서에 설명된 취약성을 악용하려는 시도를 방지할 수 있습니다. Normalizer Engine의 시그니처가 편집되지 않은 경우 인라인으로 구축된 Cisco IPS 디바이스는 기본적으로 이 취약성을 완화합니다. 네트워크 관리자가 Normalizer Engine 서명을 수정한 경우 Cisco TAC에 문의하여 Cisco IPS 디바이스가 이 취약성을 완화하는지 확인할 수 있습니다.
Cisco IPS 센서는 이벤트 동작의 사용과 결합된 인라인 보호 모드에서 구축될 때 가장 효과적입니다. 인라인 보호 모드에서 구축되는 Automatic Threat Prevention for Cisco IPS 7.x 및 6.x Sensor는 이 문서에 설명된 취약성을 악용하려는 공격에 대한 위협 방지 기능을 제공합니다. 위협 방지는 riskRatingValue가 90보다 큰 트리거된 서명에 대해 이벤트 작업을 수행하는 기본 재정의를 통해 구현됩니다.
위험 등급 및 위협 등급 계산에 대한 자세한 내용은 위험 등급 및 위협 등급: IPS 정책 관리 간소화를 참조하십시오.
Cisco Security Manager를 사용하여 Cisco IPS 센서의 활동을 보는 방법에 대한 자세한 내용은 Identification of Malicious Traffic Using Cisco Security Manager 백서를 참조하십시오.
-
간단히 표시버전 설명 섹션 날짜 1 최초 릴리스 2014년 6월 11일 16:01(GMT)
-
Cisco 제품의 보안 취약성 보고, 보안 사고에 대한 지원 요청, Cisco의 보안 정보 수신을 위한 등록 등에 대한 자세한 내용은 Cisco의 전 세계 웹 사이트(https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html)에서 확인할 수 있습니다. 여기에는 Cisco 보안 알림과 관련된 언론 문의에 대한 지침이 포함됩니다. 모든 Cisco 보안 권고 사항은 http://www.cisco.com/go/psirt에서 확인할 수 있습니다.
-
보안 취약성은 다음과 같은 제품 조합에 적용됩니다.
기본 제품 Cisco Cisco IOS XR 소프트웨어 3.7(기본, .1, .2, .3) | 3.8(.0, .1, .2, .3, .4) | 3.9(.0, .1, .2, .3) | 4.0(기본, .0, .1, .2, .3, .4, .11) | 4.1(기본, .0, .1, .2) | 4.2 (.0, .1, .2, .3, .4) | 4.3(.0, .1, .2) | 5.1 (.0)
관련 제품
-
이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO는 언제든지 알림을 변경하거나 업데이트할 수 있는 권리를 보유합니다.
배포 URL을 생략하는 이 문서의 텍스트를 독립 실행형으로 복사하거나 패러프레이즈는 관리되지 않는 복사본이며 중요한 정보가 없거나 사실 오류가 있을 수 있습니다. 이 문서의 정보는 Cisco 제품의 최종 사용자를 대상으로 합니다