Verificar a funcionalidade e a configura��o da detec��o de amea�as do ASA
Author: Cisco Systems, Inc.
Date: 2026-09-16T05:00:00+00:00
Description: Este documento descreve a funcionalidade e a configura��o da detec��o de amea�as no Cisco Secure Firewall ASA.

Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Informações de Apoio

Funcionalidade de detecção de ameaças

Detecção Básica de Ameaças (Taxas no Nível do Sistema)

Detecção Avançada de Ameaças (Estatísticas em Nível de Objeto e Principais N)

Verificando a detecção de ameaças

Detecção de ameaças para serviços VPN (9.20(3)+ / trens listados)

Limitações

Configuração

Detecção básica de ameaças

Detecção avançada de ameaças

Verificando a detecção de ameaças

Detecção de ameaças para serviços VPN

Desempenho

Ações recomendadas

Quando uma taxa de queda básica é excedida e o %ASA-4-733100 é gerado

Quando uma ameaça de verificação é detectada e o %ASA-4-733101 é registrado

Quando um invasor é removido e o %ASA-4-733102 é registrado

Quando %ASA-4-733104 e/ou %ASA-4-733105 estiver registrado

Quando um Host VPN é Removido e o %ASA-4-733201 é Registrado

Como disparar manualmente uma ameaça

Ameaça básica — queda de ACL, firewall e varredura

Ameaça avançada — Interceptação de TCP

Varredura de ameaças

Informações Relacionadas

Introdução

Este documento descreve a funcionalidade e a configuração da detecção de ameaças no Cisco Secure Firewall ASA.

Pré-requisitos

Requisitos

A Cisco recomenda o conhecimento da CLI do ASA, controle de acesso e (para detecção de ameaças de VPN) VPN de acesso remoto.

Componentes Utilizados

- Detecção clássica de ameaças (básica, avançada, varredura): Software ASA 8.0(2) e posterior. As estatísticas de interceptação de TCP exigem 8.0(4) / 8.1(2) ou posterior. A duração do shun é configurável a partir da versão 8.0(4) / 8.1(2).

- Detecção de ameaças para serviços VPN: Introduzido no trem 9.20 às 9.20(3). A Cisco também documenta esses mínimos em outros trens sob as versões 9.16(4)67, 9.17(1)45, 9.18(4)40, 9.19(1).37 e 9.22(1.1) (9.22(1) não foi lançado.)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

A detecção de ameaças no ASA oferece uma defesa de linha de frente nas camadas 3/4. Ele cria uma linha de base a partir de estatísticas de descarte de pacotes e relatórios opcionais de "topo" no nível do objeto. Ele não substitui um módulo IPS dedicado ou IPS de próxima geração, que inspeciona o tráfego permitido até a camada 7; os dois podem trabalhar juntos.

Note: Este artigo aborda o conjunto de recursos do ASA CLI. O Cisco Secure Firewall Threat Defense (FTD) expõe um recurso de Detecção de Ameaças relacionado, mas não idêntico, nas Configurações Avançadas da Política de Controle de Acesso. Não trate a Detecção de Ameaças de FTD como um mapeamento 1:1 desses comandos. Consulte o artigo ASA to Threat Defense Feature Mapping para obter mais informações.

A detecção de ameaças fornece aos administradores de firewall ferramentas para identificar, entender e (para serviços de varredura e VPN) interromper ataques. Ele conta com acionadores de taxa, estatísticas em nível de objeto e shuns automáticos opcionais.

Há quatro componentes neste recurso:

1. Detecção básica de ameaças (taxas de queda no nível do sistema) — Ativada por padrão

2. Detecção avançada de ameaças (estatísticas em nível de objeto e N principais) — estatísticas de ACL ativadas por padrão

3. Detecção de ameaças de varredura (banco de dados de invasor/destino, cancelamento opcional) — Desativada por padrão

4. Detecção de ameaças para serviços VPN (proteção de DoS de VPN RA, shun automático) — Desabilitada por padrão; 9.20(3)+ / trens listados

Funcionalidade de detecção de ameaças

Detecção Básica de Ameaças (Taxas no Nível do Sistema)

A detecção básica de ameaças é ativada por padrão em ASAs que executam a versão 8.0(2) e posterior.

Ele monitora as taxas em que os pacotes são descartados por vários motivos pelo ASA como um todo. As estatísticas se aplicam a todo o dispositivo e geralmente não são granulares o suficiente para identificar o host de origem. O ASA monitora pacotes descartados para estes eventos:

- Descarte ACL (acl-drop): Pacotes negados pelas listas de acesso.

- Pacotes inválidos (queda de pacote inválida): Formatos de pacote inválidos, incluindo cabeçalhos L3 e L4 que não estão em conformidade com os padrões RFC (por exemplo, invalid-ip-header ou invalid-tcp-hdr-length.)

- Limite Conn (conn-limit-drop): Pacotes que excedem um limite de conexão configurado ou global.

- Ataque de DoS (dos-drop): Ataques de negação de serviço (por exemplo, falha de verificação inválida de SPI ou de firewall stateful.)

- Firewall (fw-drop): Taxa combinada de quedas relacionadas ao firewall nesta lista. Não inclui quedas sem firewall, como sobrecarga de interface, falhas de inspeção ou ataque de varredura detectado.

- Ataque ICMP (icmp-drop): Pacotes ICMP suspeitos.

- Inspecionar (inspect-drop): Negação por inspeção de aplicativo.

- Interface (queda de interface): Pacotes descartados por verificações de interface (sobrecarga).

- Varredura (varredura-ameaça): Ataques de verificação de rede/host (por exemplo, o primeiro pacote TCP não é SYN ou o handshake triplo falhou). A detecção completa de ameaças de varredura utiliza essa taxa para classificar hosts e, opcionalmente, evitá-los.

- Ataque SYN (ataque SYN): Ataques de sessão incompletos, incluindo ataques TCP SYN e sessões UDP unidirecionais que não têm dados de retorno.

A maioria dos acionadores mapeia para motivos específicos de queda de ASP; são igualmente contabilizados determinados syslogs e ações de inspeção. Alguns disparadores aparecem em mais de uma categoria de ameaça. Mapeamentos comuns (não exaustivos):

Ameaça básica

Gatilho(s) / Motivo(s) de queda ASP

acl-drop

acl-drop

bad-packet-drop

invalid-tcp-hdr-length
invalid-ip-header
inspect-dns-pak-too-long
inspect-dns-id-not-matched

conn-limit-drop

conn-limit

dos-drop

sp-security-failed

fw-drop

inspect-icmp-seq-num-not-matched
inspect-dns-pak-too-long
inspect-dns-id-not-matched
sp-security-failed
acl-drop

icmp-drop

inspect-icmp-seq-num-not-matched

inspect-drop

Quedas de quadros disparadas por um mecanismo de inspeção

queda de interface

sp-security-failed
no-route

ameaça de varredura

tcp-3whs-failed
tcp-not-syn
sp-security-failed
acl-drop
inspect-icmp-seq-num-not-matched
inspect-dns-pak-too-long
inspect-dns-id-not-matched

ataque SYN

Syslog %ASA-6-302014 com motivo de encerramento de "SYN Timeout"

Para cada evento, a detecção básica de ameaças mede as taxas de queda em um intervalo de taxa média (ARI) configurado, de 600 segundos a 30 dias. Se os eventos no ARI excederem os limites configurados, o ASA os tratará como uma ameaça.

Há dois limites: taxa média e taxa de burst. A taxa média é de quedas por segundo sobre o ARI. A taxa de intermitência usa um intervalo de taxa de intermitência (BRI) mais curto. Desde a versão 8.2(1), a BRI representa 1/30 do ARI, ou 10 segundos, o que for maior. Antes do 8.2(1), a BRI era 1/60 do ARI. O mínimo de 10 segundos se aplica a todas as versões de software.

Exemplo: A taxa média de queda de ACL 400 com ARI 600 segundos significa que o ASA calcula a média de quedas de ACL nos últimos 600 segundos e registra uma ameaça se essa média exceder 400 por segundo. A taxa de intermitência 800 com o mesmo ARI usa uma BRI de 20 segundos (600 / 30). Se a ACL cair nessa janela de 20 segundos exceder 800 por segundo, uma ameaça será registrada.

Quando uma ameaça básica é detectada, o ASA gera o syslog %ASA-4-733100. Se as taxas média e de intermitência forem excedidas, o ASA poderá enviar duas mensagens 733100 (uma por tipo de taxa), com um máximo de uma mensagem por tipo de taxa por período de intermitência.

Execute o comando show threat-detection rate para ver a média, a atual, a contagem de disparadores e o total de eventos. O ASA armazena contagens no final de cada período de intermitência para 30 BRIs concluídas. A BRI atual não terminada é normalmente excluída da média. A contagem total de eventos é a soma de eventos nessas 30 amostras BRI (com uma exceção em tempo real se a BRI inacabada já exceder a amostra mais antiga.)

A taxa de intermitência no syslog é calculada a partir de quedas até o momento na BRI atual, amostradas periodicamente, para que uma violação possa ser relatada antes que a BRI seja concluída (um syslog por tipo de taxa por BRI). A taxa de intermitência/corrente em show threat-detection rate usa a última BRI concluída.

A detecção básica de ameaças não elimina nem evita o tráfego. É informativo (monitoramento e emissão de relatórios). O impacto no desempenho é insignificante e ocorre principalmente quando há quedas ou possíveis ameaças.

Detecção Avançada de Ameaças (Estatísticas em Nível de Objeto e Principais N)

A detecção avançada de ameaças rastreia estatísticas para objetos mais granulares: IPs de host, portas, protocolos, ACLs e servidores protegidos pelo TCP Intercept. Por padrão, somente as estatísticas da ACL são ativadas. As estatísticas de host têm um impacto significativo no desempenho sob alto tráfego; ative-os temporariamente quando precisar deles. As estatísticas de porta têm um impacto mais modesto.

Para objetos de host, porta e protocolo, o ASA rastreia pacotes, bytes e descartes enviados e recebidos em janelas fixas. Para ACLs, ele rastreia as 10 principais ACEs (permitir e negar) nessas janelas. As ocorrências de ACE permitidas e negadas não são diferenciadas na exibição da ACL superior.

As janelas fixas são de 20 minutos, 1 hora, 8 horas e 24 horas. As próprias janelas não são configuráveis. O número da taxa {1 | 2 A palavra-chave | 3} (somente host, porta e protocolo) controla quantos dos intervalos mais longos são mantidos:

- 1 (padrão) — somente o menor intervalo de taxa, para manter baixo o uso de memória

- 2 — os dois intervalos mais curtos

- 3 — 1 hora, 8 horas e 24 horas

As estatísticas de host são acumuladas enquanto o host está ativo no banco de dados de host de ameaça de varredura e são apagadas após 10 minutos de inatividade.

Quando a interceptação TCP está habilitada, a detecção de ameaças pode rastrear os 10 principais servidores sob ataque. As estatísticas de Interceptação de TCP usam uma janela de monitoramento configurável mais os limites de média e intermitência (disponíveis na versão 8.0(4) e posterior). Defaults:

- Intervalo de taxa (janela de histórico): 30 minutos (intervalo de 1 a 1440). O ASA faz amostragem 30 vezes durante a janela (a cada 60 segundos no padrão).

- Taxa de intermitência: 400 ataques/s — syslog %ASA-4-733104

- Taxa média: 200 ataques/s — syslog %ASA-4-733105

Exiba as estatísticas executando o comando show threat-detection statistics e show threat-detection statistics top. Esse também é o recurso que preencheu os gráficos "principais" no painel de controle do firewall ASDM clássico.

A detecção avançada de ameaças é informativa, exceto pelo fato de que o TCP Intercept já protege o servidor. Nenhum bloco adicional é aplicado apenas a partir dessas estatísticas.

Verificando a detecção de ameaças

A varredura da detecção de ameaças rastreia hosts que criam conexões em muitos hosts em uma sub-rede ou em muitas portas em um host ou sub-rede. Por padrão, ela está desativada. Ao contrário da detecção de varredura baseada em assinatura IPS, a detecção de ameaça de varredura ASA mantém um banco de dados de host (conexões sem atividade de retorno, acesso de porta fechada, certos comportamentos TCP e muito mais).

Ele compartilha intervalo de taxa, taxa média (ARI) e taxa de intermitência (BRI) com a categoria básica de ameaça de varredura. Não é possível configurar taxas separadas para varredura básica versus varredura. A diferença é que a detecção de ameaças de varredura mantém um invasor e um banco de dados de IP de destino. Somente o tráfego permitido pelo ASA e que cria um fluxo é contado. A detecção básica de ameaças ainda pode disparar uma 733100 de varredura de ameaças para o tráfego negado pela ACL; a detecção de ameaças de varredura não.

Se a taxa de varredura for excedida para o tráfego de um host, esse host será um invasor. Se for excedido para o tráfego para um host, esse host é um destino. O Syslog %ASA-4-733101 está registrado. Você pode opcionalmente evitar o invasor (%ASA-4-733102 quando o shun é adicionado, %ASA-4-733103 quando ele é removido.) A duração de shun padrão é de 3600 segundos (1 hora), configurável de 10 a 2592000 segundos.

A varredura da detecção de ameaças com shun é um dos dois recursos que podem ativamente descartar o tráfego permitido (o outro é a detecção de ameaças de VPN).

Execute o comando show threat-detection scanning-threat para o banco de dados do invasor/destino e show threat-detection shun somente para shuns de ameaça de verificação.

Note: Hosts isentos que enviam alto tráfego legítimo de plano de controle ou multicast (por exemplo, roteadores PIM) com verificação de detecção de ameaça-bloqueio de ameaça exceto, ou esses pacotes podem ser descartados quando um shun é instalado.

Detecção de ameaças para serviços VPN (9.20(3)+ / trens listados)

A detecção de ameaças de VPN protege o headend de VPN de acesso remoto do ASA contra ataques do estilo DoS IPv4. Por padrão, todos os três serviços ficam desativados. Quando um serviço é habilitado e um host excede seu limite, o ASA encaminha automaticamente esse endereço IPv4 até que você remova o shun.

Serviços:

- remote-access-authentication: Falhas consecutivas de login de VPN RA (spray de senha / força bruta). Manter pressionado 1-1440 minutos; limite 1-100. Falhas de autenticação SAML não são contadas.

- remote-access-client-initiations: A conexão SSL/IKEv2 repetida é iniciada e não é concluída a partir de um host. Manter pressionado 1-1440 minutos; limiar 5-100.

- invalid-vpn-access: Tenta acessar grupos de túnel internos que existem somente para a operação do dispositivo interno. Um endereço IPv4 correspondente é eliminado imediatamente (hold-down/threshold efetivamente 1/1).

Esses ataques podem consumir recursos de autenticação e de sessão mesmo quando falham. Ao definir a retenção e o limite, leve em conta o PAT (hotéis, CGNAT): muitos usuários válidos podem compartilhar um IP público. Use valores mais altos para que os usuários legítimos possam concluir a conexão.

A detecção de ameaças de VPN monitora apenas o IPv4 pronto para uso. Os shuns aparecem em show shun, não em show threat-detection shun. Syslogs relacionados: %ASA-6-733200 (info) e %ASA-4-733201 (limite excedido; shun instalado.)

Limitações

- A detecção clássica de ameaças requer o ASA 8.0(2) ou posterior. A antiga plataforma ASA 1000V não suportava o recurso (essa plataforma está no fim da vida útil).

- Contexto de segurança: Exceto para estatísticas avançadas de ameaças e serviços VPN, a detecção de ameaças é suportada apenas no modo de contexto único. No modo de contexto múltiplo, as estatísticas de Interceptação TCP são as estatísticas avançadas suportadas. A detecção de ameaças de VPN também é suportada no modo múltiplo.

- Modo de firewall: Suportado no modo roteado e transparente.

- Para estatísticas básicas, avançadas e de varredura, somente o tráfego de passagem é monitorado. O tráfego enviado ao próprio ASA não é contado.

- Para serviços VPN, somente o IPv4 pronto para uso é monitorado.

- O tráfego negado por uma ACL não dispara a detecção de ameaças de varredura (rastreamento de invasor/destino). As taxas básicas de ameaça de varredura podem ser incrementadas em quedas de ACL.

- As tentativas de conexão TCP que são redefinidas pelo servidor de destino não são contadas como um ataque SYN ou uma ameaça de verificação.

- A detecção de falha de autenticação de VPN não inclui falhas de SAML.

Configuração

Detecção básica de ameaças

A detecção básica de ameaças é ativada por padrão. Você pode reativá-la com:

ciscoasa(config)# threat-detection basic-threat

Desabilitar sem ameaça básica de detecção de ameaça. Exibição de taxas padrão com show run all threat-detection:

ciscoasa(config)# show run all threat-detection

threat-detection rate dos-drop rate-interval 600 average-rate 100 burst-rate 400

threat-detection rate dos-drop rate-interval 3600 average-rate 80 burst-rate 320

threat-detection rate bad-packet-drop rate-interval 600 average-rate 100 burst-rate 400

threat-detection rate bad-packet-drop rate-interval 3600 average-rate 80 burst-rate 320

threat-detection rate acl-drop rate-interval 600 average-rate 400 burst-rate 800

threat-detection rate acl-drop rate-interval 3600 average-rate 320 burst-rate 640

threat-detection rate conn-limit-drop rate-interval 600 average-rate 100 burst-rate 400

threat-detection rate conn-limit-drop rate-interval 3600 average-rate 80 burst-rate 320

threat-detection rate icmp-drop rate-interval 600 average-rate 100 burst-rate 400

threat-detection rate icmp-drop rate-interval 3600 average-rate 80 burst-rate 320

threat-detection rate scanning-threat rate-interval 600 average-rate 5 burst-rate 10

threat-detection rate scanning-threat rate-interval 3600 average-rate 4 burst-rate 8

threat-detection rate syn-attack rate-interval 600 average-rate 100 burst-rate 200

threat-detection rate syn-attack rate-interval 3600 average-rate 80 burst-rate 160

threat-detection rate fw-drop rate-interval 600 average-rate 400 burst-rate 1600

threat-detection rate fw-drop rate-interval 3600 average-rate 320 burst-rate 1280

threat-detection rate inspect-drop rate-interval 600 average-rate 400 burst-rate 1600

threat-detection rate inspect-drop rate-interval 3600 average-rate 320 burst-rate 1280

threat-detection rate interface-drop rate-interval 600 average-rate 2000 burst-rate 8000

threat-detection rate interface-drop rate-interval 3600 average-rate 1600 burst-rate 6400

Ajuste uma categoria executando o comando threat-detection rate. Cada categoria pode ter até três taxas (taxa 1, 2 e 3). A ID da taxa que foi excedida é referenciada na 733100:

ciscoasa(config)# threat-detection rate acl-drop rate-interval 1200 average-rate 250 burst-rate 550

Neste exemplo, o 733100 é gerado quando as quedas de ACL excedem 250/seg em 1200 segundos ou 550/seg em 40 segundos (1200 / 30.)

A palavra-chave scanning-threat neste comando é compartilhada com a detecção de ameaça de varredura. Você pode definir as taxas de varredura mesmo que a detecção básica de ameaças esteja desativada.

Detecção avançada de ameaças

Execute o comando threat-detection statistics para habilitar estatísticas avançadas. Sem palavra-chave, todos os tipos de estatísticas são ativados:

ciscoasa(config)# threat-detection statistics ?

configure mode commands/options:

access-list      Keyword to specify access-list statistics

host             Keyword to specify IP statistics

port             Keyword to specify port statistics

protocol         Keyword to specify protocol statistics

tcp-intercept    Trace tcp intercept statistics

<cr>

no threat-detection statistics (sem opções) remove todos os comandos de estatística, incluindo a lista de acesso de estatísticas de detecção de ameaças.

Estatísticas da ACL (padrão ativado):

ciscoasa(config)# threat-detection statistics access-list

Host, porta ou protocolo, com número opcional de intervalos de taxa:

ciscoasa(config)# threat-detection statistics host number-of-rate 2

ciscoasa(config)# threat-detection statistics port number-of-rate 2

ciscoasa(config)# threat-detection statistics protocol number-of-rate 3

Estatísticas de Interceptação TCP (também disponíveis no modo de contexto múltiplo):

ciscoasa(config)# threat-detection statistics tcp-intercept

ciscoasa(config)# threat-detection statistics tcp-intercept rate-interval 60 burst-rate 800 average-rate 600

Verificando a detecção de ameaças
ciscoasa(config)# threat-detection scanning-threat

ciscoasa(config)# threat-detection rate scanning-threat rate-interval 1200 average-rate 10 burst-rate 20

ciscoasa(config)# threat-detection scanning-threat shun

ciscoasa(config)# threat-detection scanning-threat shun duration 1000

ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.1 255.255.255.255

ciscoasa(config)# threat-detection scanning-threat shun except object-group no-shun

Você pode combinar shun e except em uma linha e inserir o comando várias vezes para isentar mais endereços ou grupos de objetos.

ciscoasa(config)# threat-detection scanning-threat shun except ip-address 10.1.1.0 255.255.255.0

Detecção de ameaças para serviços VPN
ciscoasa(config)# threat-detection service invalid-vpn-access

ciscoasa(config)# threat-detection service remote-access-client-initiations hold-down 10 threshold 20

ciscoasa(config)# threat-detection service remote-access-authentication hold-down 10 threshold 20

Desative um serviço com a forma no do mesmo comando. Redefina os contadores com o serviço de detecção de ameaças.

Para obter informações detalhadas, consulte Configurar detecção de ameaças para serviços VPN de acesso remoto no Secure Firewall ASA (ID do documento 222315)

Desempenho

A detecção básica de ameaças tem pouco impacto no desempenho. As estatísticas avançadas de host e a detecção de ameaças de varredura consomem mais recursos, pois armazenam dados por host e por objeto. Ative temporariamente as estatísticas do host enquanto soluciona um problema específico.

Recursos que podem descartar tráfego permitido de outra forma:

- Verificando a detecção de ameaças com o shun

- Serviços de detecção de ameaças de VPN (desativação automática)

Monitore a memória antes e depois de ativar recursos avançados ou de varredura:

ciscoasa# show threat-detection memory

ciscoasa# show memory app-cache threat-detection detail

show threat-detection memory (8.3(1)+) é o comando documentado para memória de estatísticas avançadas. show memory app-cache threat-detection [detalhe] mostra o cache de partes do aplicativo.

Ações recomendadas

Quando uma taxa de queda básica é excedida e o %ASA-4-733100 é gerado

Observe a categoria de ameaça em 733100 e correlacione-a com show threat-detection rate. Em seguida, verifique show asp drop pelos motivos de queda.

Por um motivo específico, use a captura ASP-drop:

ciscoasa# capture drop type asp-drop acl-drop

ciscoasa# show capture drop

1 packet captured

1: 18:03:00.205189 10.10.10.10.60670 > 192.168.1.100.53:  udp 34 Drop-reason:

(acl-drop) Flow is denied by configured rule

Este exemplo é um pacote UDP/53 de 10.10.10.10 a 192.168.1.100.

Se o 733100 reportar a Varredura, habilite temporariamente a detecção de ameaças de varredura para que o ASA possa gravar os IPs do invasor e do alvo.

A detecção básica de ameaças conta principalmente o tráfego que o ASP já descartou, portanto, nenhuma ação extra de descarte é necessária. As exceções são ataques SYN e ameaças de varredura que envolvem tráfego que passa pelo ASA.

Se as quedas forem legítimas para o ambiente, aumente os intervalos de taxa básica. Se forem tráfego de ataque, bloqueie ou limite de taxa upstream (ACLs, QoS) antes do ASA.

Para ataques SYN, negue a origem em uma ACL ou ative a interceptação TCP para proteger o destino (que pode produzir uma ameaça de limite de conexão). Para a varredura, você pode negar em uma ACL ou ativar a detecção de ameaças de varredura com shun.

Quando uma ameaça de verificação é detectada e o %ASA-4-733101 é registrado

733101 lista o host/sub-rede de destino ou o invasor. Para obter as listas completas, execute o comando show threat-detection scanning-threat.

As capturas nas interfaces do invasor e do alvo ajudam a confirmar a verificação.

Se a varredura for inesperada, bloqueie ou limite de taxa upstream. Adicionar shun permite que o ASA descarte todos os pacotes do invasor pela duração configurada. Como último recurso, bloqueie o ASA com uma ACL ou interceptação TCP.

Se for um falso positivo, aumente os intervalos de taxa de ameaça de varredura.

Quando um invasor é removido e o %ASA-4-733102 é registrado

733102 lista o destino de verificação de ameaça. Execute o comando show threat-detection shun somente para shuns de ameaça de verificação. Execute show shun para cada shun ativo no ASA (verificação, detecção de ameaças de VPN e shun manual).

Para um ataque real, bloqueie também o máximo possível de upstream, de modo que os dispositivos intermediários não processem o tráfego. Para falsos positivos, remova o shun de digitalização:

ciscoasa# clear threat-detection shun

ciscoasa# clear threat-detection shun 10.1.1.6

Quando %ASA-4-733104 e/ou %ASA-4-733105 estiver registrado

Esses syslogs nomeiam um host já protegido pelo TCP Intercept. 733104 é a taxa de rajada; 733105 é a taxa média. Verificar:

ciscoasa# show threat-detection statistics top tcp-intercept

Top 10 protected servers under attack (sorted by average rate)

Monitoring window size: 30 mins    Sampling interval: 30 secs

----------------------------------------------------------------------------------

1    192.168.1.2:5000 inside 1249 9503 2249245  Last: 10.0.0.3 (0 secs ago)

2    192.168.1.3:5000 inside 10 10 6080 10.0.0.200 (0 secs ago)

Verifique se os limites de conexão são adequados. Bloqueie o invasor upstream, se possível. Para um falso positivo, ajuste as taxas de estatísticas de detecção de ameaças tcp-intercept.

Quando um Host VPN é Removido e o %ASA-4-733201 é Registrado

733201 nomeia o serviço e o peer que excedeu o limite. Confirmar com:

ciscoasa# show threat-detection service

ciscoasa# show threat-detection service remote-access-authentication details

ciscoasa# show shun

Os IPs que foram evitados são retirados da lista de entradas de serviço; o contador de bloqueio é incrementado. Se o host for legítimo (PAT compartilhado, cliente configurado incorretamente), remova o shun:

ciscoasa# no shun 192.168.100.101

ciscoasa# no shun 192.168.100.101 interface outside

Se o endereço for rejeitado em mais de uma interface e você omitir a interface, no shun removerá o shun de apenas uma interface (route-lookup.) Especifique a interface para limpar interfaces adicionais; clear shun remove todos os shuns em todas as interfaces.

Não execute clear threat-detection shun para shuns de VPN; esse comando aplica-se apenas à varredura de detecções de ameaças.

Se usuários válidos estiverem sendo rejeitados, aumente a retenção/limite (especialmente atrás do PAT) ou desative o serviço até ajustá-lo.

Como disparar manualmente uma ameaça

Use estes métodos de laboratório para testar e solucionar problemas. Executá-los apenas em um ambiente isolado.

Ameaça básica — queda de ACL, firewall e varredura

As categorias básicas de queda de ACL, firewall e verificação são consideradas como queda de ACL. Para ativá-los juntos:

1. Crie uma ACL na interface externa que negue o TCP a um destino interno (10.11.11.11):

access-list outside_in extended line 1 deny tcp any host 10.11.11.11

access-list outside_in extended permit ip any any

access-group outside_in in interface outside

2. A partir de um invasor externo (10.10.10.10), execute uma verificação TCP SYN:

nmap -sS -T5 -p1-65535 -Pn 10.11.11.11

Note: O T5 executa o nmap o mais rápido possível. O PC do invasor ainda pode ser muito lento para taxas padrão. Reduza as taxas configuradas para a categoria que você deseja ver. Definir ARI e BRI como 0 faz com que a detecção básica de ameaças seja acionada independentemente da taxa.

3. As ameaças básicas são registradas, por exemplo:

%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 19 per second,

max configured rate is 10; Current average rate is 9 per second,

max configured rate is 5; Cumulative total count is 5538

%ASA-4-733100: [ ACL drop] drop rate-1 exceeded. Current burst rate is 19 per second,

max configured rate is 0; Current average rate is 2 per second,

max configured rate is 0; Cumulative total count is 1472

%ASA-4-733100: [ Firewall] drop rate-1 exceeded. Current burst rate is 18 per second,

max configured rate is 0; Current average rate is 2 per second,

max configured rate is 0; Cumulative total count is 1483

Note: Neste exemplo, a queda de ACL e o Firewall ARI/BRI foram definidos como 0, portanto eles sempre disparam (as taxas máximas configuradas são mostradas como 0).

Ameaça avançada — Interceptação de TCP

1. Permitir TCP para o destino interno:

access-list outside_in extended line 1 permit tcp any host 10.11.11.11

access-group outside_in in interface outside

2. Se o alvo não existir ou redefinir conexões, um blackhole com uma entrada ARP estática:

arp inside 10.11.11.11 dead.dead.dead

3. Crie uma política de Interceptação TCP simples (limite embrionário/conn):

access-list tcp extended permit tcp any any

class-map tcp

match access-list tcp

policy-map global_policy

class tcp

set connection conn-max 2

service-policy global_policy global

A partir do invasor, faça a varredura:

nmap -sS -T5 -p1-65535 -Pn 10.11.11.11
ciscoasa(config)# show threat-detection statistics top tcp-intercept

Top 10 protected servers under attack (sorted by average rate)

Monitoring window size: 30 mins    Sampling interval: 30 secs

--------------------------------------------------------------------------------

1    10.11.11.11:18589 outside 0 0 1 10.10.10.10 (36 secs ago)

2    10.11.11.11:47724 outside 0 0 1 10.10.10.10 (36 secs ago)

Varredura de ameaças

1. Permitir TCP para o destino (a detecção de ameaça de varredura rastreia apenas os fluxos criados e permitidos):

access-list outside_in extended line 1 permit tcp any host 10.11.11.11

access-group outside_in in interface outside

2. Se necessário, um buraco negro com ARP estático. As conexões redefinidas por um servidor real não são contadas.

arp inside 10.11.11.11 dead.dead.dead

3. Examine o invasor. Reduza as taxas ou defina ARI/BRI como 0 se o nmap não for rápido o suficiente.

nmap -sS -T5 -p1-65535 -Pn 10.11.11.11

4. Logs esperados quando o shun está habilitado:

%ASA-4-733100: [ Scanning] drop rate-1 exceeded. Current burst rate is 17 per second,

max configured rate is 10; Current average rate is 0 per second,

max configured rate is 5; Cumulative total count is 404

%ASA-4-733101: Host 10.10.10.10 is attacking. Current burst rate is 17 per second,

max configured rate is 10; Current average rate is 0 per second,

max configured rate is 5; Cumulative total count is 700

%ASA-4-733102: Threat-detection adds host 10.10.10.10 to shun list

Informações Relacionadas

- Cisco Secure Firewall ASA Firewall CLI Configuration Guide, 9.20 — Detecção de ameaças (também publicado para 9.23/9.24)

- Configurar a detecção de ameaças para serviços VPN de acesso remoto no Secure Firewall ASA (ID do documento 222315)

- Referência de comandos do ASA — comandos de detecção de ameaças

- Referência de comandos do ASA — comandos show threat-detection

- Mensagens de Syslog do Cisco Secure Firewall ASA Series (733100-733105, 733200-733201)

- Mapeamento de recursos do ASA para defesa contra ameaças — Detecção de ameaças

- Suporte técnico e downloads da Cisco