Wachtwoordspray-aanvallen op Remote VPN Secure Firewall beperken

Inleiding

Dit document beschrijft aanbevelingen om te overwegen tegen aanvallen met wachtwoordspray gericht op VPN-services voor externe toegang in Secure Firewall.

Achtergrondinformatie

Wachtwoordspray-aanvallen zijn een soort brute-force-aanval waarbij een aanvaller probeert ongeautoriseerde toegang te krijgen tot meerdere gebruikersaccounts door systematisch een paar veelgebruikte wachtwoorden voor veel accounts te gebruiken. Succesvolle wachtwoordspuitaanvallen kunnen leiden tot ongeoorloofde toegang tot gevoelige informatie, datalekken en potentiële compromissen van netwerkintegriteit

Bovendien kunnen deze aanvallen, zelfs wanneer ze geen succes hebben bij hun poging om toegang te krijgen, computerbronnen van de Secure Firewall verbruiken en voorkomen dat geldige gebruikers verbinding maken met de VPN-services voor externe toegang.

 

Waargenomen gedrag

Wanneer uw Secure Firewall het doelwit is van aanvallen met wachtwoordspray in VPN-services voor externe toegang, kunt u deze aanvallen identificeren door syslogs te bewaken en specifieke showopdrachten uit te voeren. De meest voorkomende gedragingen om naar te zoeken zijn:

Ongebruikelijk aantal geweigerde authenticatieverzoeken

De VPN-headend Cisco Secure Firewall ASA of FTD vertoont symptomen van wachtwoordspray-aanvallen met een ongebruikelijk aantal geweigerde authenticatiepogingen. 

Opmerking: Deze ongebruikelijke pogingen tot verificatie kunnen worden gericht op de LOKALE database of externe verificatieservers.

 

De beste manier om dit te detecteren is door naar de syslog te kijken. Zoek naar een ongebruikelijk aantal van de volgende ASA syslog ID's:

 

• %ASA-6-113015

%ASA-6-113015: AAA user authentication Rejected : reason = User was not found : local database : user = admin : user IP = x.x.x.x

 

• %ASA-6-113005

%ASA-6-113005: AAA user authentication Rejected : reason = Unspecified : server = x.x.x.x : user = ***** : user IP = x.x.x.x

 

• %ASA-6-716039

%ASA-6-716039: Group <DfltGrpPolicy> User <admin> IP <x.x.x.x> Authentication: rejected, Session Type: WebVPN.

 

De gebruikersnaam wordt altijd verborgen totdat de opdracht geen gebruikersnaam verbergen is geconfigureerd op de ASA.

Opmerking: Dit geeft inzicht in het controleren of geldige gebruikers worden gegenereerd of bekend zijn door inbreukmakende IP's. Wees echter voorzichtig, want gebruikersnamen zijn zichtbaar in logs.

Meld u aan bij de ASA- of FTD-opdrachtregelinterface (CLI) en voer de opdracht show aaa-server uit. Onderzoek naar een ongebruikelijk aantal pogingen tot en afwijzing van authenticatieverzoeken voor een van de geconfigureerde AAA-servers:

ciscoasa# show aaa-server

Server Group: LDAP-SERVER - - - - - >>>> Sprays against external server
Server Protocol: ldap
Server Hostname: ldap-server.example.com
Server Address: 10.10.10.10
Server port: 636
Server status: ACTIVE, Last transaction at unknown
Number of pending requests 0
Average round trip time 0ms
Number of authentication requests 2228536 - - - - - >>>> Unusual increments
Number of authorization requests 0
Number of accounting requests 0
Number of retransmissions 0
Number of accepts 1312
Number of rejects 2225363 - - - - - >>>> Unusual increments / Unusual rejection rate
Number of challenges 0
Number of malformed responses 0
Number of bad authenticators 0
Number of timeouts 1
Number of unrecognized responses 0 

Aanbevelingen

Overweeg en pas de beschreven aanbevelingen toe:

1. Logboekregistratie inschakelen

Logging is een cruciaal onderdeel van cybersecurity waarbij gebeurtenissen binnen een systeem worden geregistreerd. Het ontbreken van gedetailleerde logboeken laat hiaten in het begrip en belemmert een duidelijke analyse van de aanvalsmethode. Het wordt aanbevolen om logboekregistratie op een externe syslog-server in te schakelen voor een betere correlatie en controle van netwerk- en beveiligingsincidenten op verschillende netwerkapparaten.

Raadpleeg deze platformspecifieke handleidingen voor informatie over het configureren van logboekregistratie:

 

Cisco ASA Software:

• Handleiding Beveiligde ASA-firewall
• Cisco Secure Firewall ASA Series General Operations CLI Configuratie CLI Logboekhandleiding

 

Cisco FTD-software:

• Inloggen bij FTD configureren via Firewall Management Center (FMC)
• Syslog configureren in het hoofdstuk Platforminstellingen van de apparaatconfiguratiehandleiding van het Cisco Secure Firewall Management Center
• Syslog configureren en verifiëren in Apparaatbeheer van Firepower
• Instellingen voor systeemlogboekregistratie configureren in het hoofdstuk Systeeminstellingen van de configuratiehandleiding van Cisco Firepower Threat Defense voor Firepower Device Manager

Opmerking: de syslog-berichtidentificatie is nodig om het gedrag te controleren dat in dit document wordt beschreven (113015, 113005 & 716039). Ze moeten op informatieniveau worden ingeschakeld (6) aangezien deze ID's binnen de 'auth'- en 'webvpn'-logboekklassen vallen.

 

2. Configureer de functies voor bedreigingsdetectie of verhardingsmaatregelen voor VPN voor externe toegang

Om de impact te helpen beperken en de kans op deze brute-force aanvallen op uw RAVPN-verbindingen te verminderen, kunt u de volgende configuratieopties bekijken en toepassen:

 

Optie 1 (aanbevolen): Dreigingsdetectie configureren voor VPN-services voor externe toegang

De functies voor bedreigingsdetectie voor VPN-services voor externe toegang helpen DoS-aanvallen (Denial of Service) van IPv4-adressen te voorkomen door de host (IP-adres) die de geconfigureerde drempelwaarden overschrijdt automatisch te blokkeren om verdere pogingen te voorkomen totdat u handmatig de schijn van het IP-adres verwijdert. Er zijn verschillende diensten beschikbaar voor dit soort aanvallen:

• Herhaalde mislukte verificatiepogingen om op afstand toegang te krijgen tot VPN-services (brute-force-aanvallen met het scannen van gebruikersnaam/wachtwoord).
• Client initiatie aanvallen waarbij de aanvaller start, maar niet de verbinding pogingen om een externe toegang VPN-headend herhaalde keren van een enkele host te voltooien.
• Verbinding probeert ongeldige VPN-services voor externe toegang wanneer aanvallers proberen verbinding te maken met specifieke ingebouwde tunnelgroepen die uitsluitend bedoeld zijn voor de interne werking van het apparaat. Legitieme eindpunten mogen nooit proberen verbinding te maken met deze tunnelgroepen.

 

Deze functies voor bedreigingsdetectie worden momenteel ondersteund in de versies van Cisco Secure Firewall die hieronder worden vermeld:

 

ASA Software:

• 9.16 versie trein -> ondersteund vanaf 9.16(4)67 en nieuwere versies binnen deze specifieke trein.
• 9.17 versie trein -> ondersteund vanaf 9.17(1)45 en nieuwere versies binnen deze specifieke trein.
• 9.18 versie trein -> ondersteund vanaf 9.18(4)40 en nieuwere versies binnen deze specifieke trein.
• 9.19 versie trein -> ondersteund vanaf 9.19(1).37 en nieuwere versies binnen deze specifieke trein.
• 9.20 versie trein -> ondersteund vanaf 9.20(3) en nieuwere versies binnen deze specifieke trein.
• 9.22 Version Train -> wordt ondersteund vanaf 9.22(1.1) en eventuele nieuwere versies.

 

FTD-software:

• 7.0 versie trein -> ondersteund vanaf 7.0.6.3 en nieuwere versies binnen deze specifieke trein.
• 7.2 versie trein -> ondersteund vanaf 7.2.9 en nieuwere versie binnen deze specifieke trein.
• 7.4 versie trein -> ondersteund vanaf 7.4.2.1 en nieuwere versie binnen deze specifieke trein.
• 7.6 Version Train -> wordt ondersteund vanaf 7.6.0 en eventuele nieuwere versies.

Opmerking: Deze functies worden momenteel niet ondersteund in versie 7.1 of 7.3.

 

Voor volledige details en hulp bij de configuratie raadpleegt u de documentatie-handleidingen:

• Configuratie op Secure Firewall ASA: Dreigingsdetectie configureren voor Remote Access VPN op Secure Firewall ASA
• Configuratie op Secure Firewall FTD beheerd door FMC: Dreigingsdetectie configureren voor VPN-services voor externe toegang op Secure Firewall Management Center
• Configuratie op Secure Firewall FTD beheerd door FDM: Dreigingsdetectie configureren voor VPN-services voor externe toegang op Secure Firewall Device Manager

 

Optie 2: Hardingsmaatregelen toepassen voor Remote Access VPN

Opmerking: Deze maatregelen helpen alleen om het risico te verminderen, maar ze zijn geen preventieve maatregel tegen DoS-aanvallen gericht op RAVPN-services.

 

Als de bedreigingsdetectiefuncties voor VPN-services voor externe toegang niet worden ondersteund in uw versie van Secure Firewall, implementeert u hardingsmaatregelen om het risico op impact van deze aanvallen te verlagen:

1. Schakel AAA-verificatie uit in de profielen DefaultWEBVPN en DefaultRAGroup Connection (stap voor stap: ASA|FTD Beheerd door FMC).
2. Schakel Secure Firewall Posture (Hostscan) uit vanuit de DefaultWEBVPNGroup en DefaultRAGroup (stap voor stap: ASA|FTD Beheerd door FMC).
3. Groepsaliassen uitschakelen en Groeps-URL's inschakelen in de overige verbindingsprofielen (stap voor stap: ASA|FTD Beheerd door FMC).

Opmerking: als u extra ondersteuning nodig hebt met FTD die wordt beheerd via lokaal Firewall Device Management (FDM), neemt u contact op met Cisco TAC voor deskundige begeleiding.

 

Raadpleeg voor meer informatie de handleiding Implementeren van hardingsmaatregelen voor beveiligde AnyConnect VPN-clients.

 

Verwante gedragingen

Gebruikers kunnen ervaren dat het niet mogelijk is om VPN-verbindingen met Cisco Secure Client (AnyConnect) tot stand te brengen wanneer Firewall Posture (HostScan) is ingeschakeld op Secure Firewall. Er kan af en toe een foutbericht verschijnen met de tekst: "Verbinding kan niet worden voltooid. Cisco Secure Desktop is niet op de client geïnstalleerd."

Dit gedrag is een gevolg van de succesvolle exploitatie van de kwetsbaarheid CVE-2024-20481 die hierna wordt beschreven.

Cisco bug ID CSCwj45822: Cisco ASA en FTD Software Remote Access VPN Brute Force Denial of Service Vulnerability (CVE-2024-20481)

Deze kwetsbaarheid komt voort uit uitputting van bronnen als gevolg van aanvallen met wachtwoordspray waarbij aanvallers tal van VPN-verificatieverzoeken naar het doelapparaat sturen. Succesvolle exploitatie kan leiden tot een Denial of Service voor de RAVPN-service. Een belangrijk symptoom van deze exploit is wanneer gebruikers met tussenpozen de "Kan de verbinding niet voltooien. Cisco Secure Desktop is niet geïnstalleerd op de client." foutbericht wanneer ze proberen een RAVPN-verbinding tot stand te brengen met behulp van Cisco Secure Client.

Om dit beveiligingslek te verhelpen, is het noodzakelijk om te upgraden naar de softwareversies die worden vermeld in de beveiligingsadviezen. Bovendien wordt aanbevolen om functies voor bedreigingsdetectie in te schakelen voor Remote Access VPN nadat uw Secure Firewall is bijgewerkt naar deze versies om te beschermen tegen DoS-aanvallen gericht op RAVPN-services.

Raadpleeg het beveiligingsadvies van Cisco ASA en FTD Software Remote Access VPN Brute Force Denial of Service Vulnerability voor meer informatie.

 

Aanvullende informatie

• Cisco ASA Forensic Investigation Procedures for First Responders

• Cisco Firepower Threat Defense Forensic Investigation Procedures voor First Responders
• Cisco Talos Threat Advisory

Neem voor aanvullende hulp contact op met Cisco TAC. Een geldig supportcontract is vereist: Cisco’s wereldwijde contactgegevens voor ondersteuning.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
8.0	01-Jul-2026	Bijgewerkte artikeltitel, inleiding, spelling, spatiëring, alt-tekst, CCW-waarschuwingen en URL's.
7.0	26-Oct-2024	Bijgewerkt de sectie "Gerelateerd gedrag" om een recente kwetsbaarheid met betrekking tot dit document toe te voegen.
6.0	20-Sep-2024	Bijgewerkt de ondersteunde versies van Threat Detection functies voor Remote Access VPN.
5.0	06-Sep-2024	De aanbeveling "Configure Threat Detection for Remote Access VPN" is toegevoegd.
4.0	22-Apr-2024	Bijgewerkt de secties "Achtergrondinformatie" en "Aanbevelingen".
3.0	15-Apr-2024	Gekoppelde Cisco bug ID CSCwj45822, voegde de subsectie "Hostscan Token Exhaustion" toe, voegde de sectie "Aanvullende Hardening Implementaties voor RAVPN" toe
2.0	01-Apr-2024	Bijgewerkt de titel van het document, omgedoopt tot de sectie "IoC's" naar "Ongebruikelijke patronen waargenomen" en meer details toegevoegd onder de sectie "aanbevelingen".
1.0	26-Mar-2024	Eerste vrijgave