ASA: Exemplo de Configuração para Envio de Tráfego de Rede do ASA para o AIP-SSM

Introdução

Este documento fornece uma configuração de exemplo de como enviar tráfego de rede que passa pelo Cisco ASA 5500 Series Adaptive Security Appliance (ASA) até o módulo Advanced Inspection and Prevention Security Services Module (AIP-SSM) (IPS). Exemplos de configuração com a Command Line Interface (CLI) são fornecidos.

Refira o ASA: Exemplo de Configuração para Envio de Tráfego de Rede do ASA para o CSC-SSM para enviar tráfego do Cisco ASA 5500 Series Adaptive Security Appliance (ASA) para o Content Security and Control Security Services Module (CSC-SSM).

Refira a atribuição de sensores virtuais a um contexto de segurança (AIP SS somente) para obter mais informações sobre de como enviar o tráfego de rede que passa através da ferramenta de segurança adaptável do 5500 Series de Cisco ASA (ASA) no modo de contexto múltiplo ao módulo de Serviços de segurança avançado da inspeção e da prevenção (AIP-SSM) (IPS) módulo.

Nota: O tráfego de rede que atravessa o ASA inclui os usuários internos que alcançam o Internet ou os usuários do Internet que alcançam os recursos protegidos pelo ASA em uma zona desmilitarizada (DMZ) ou na rede interna. O tráfego de rede enviado a e do ASA não é enviado ao módulo ips para a inspeção. Um exemplo do tráfego não enviado ao módulo ips inclui sibilar (ICMP) as relações ou Telnetting ASA ao ASA.

Nota: A estrutura de política modular usada pelo ASA a fim classificar o tráfego para a inspeção não apoia o IPv6. Assim, não é possível desviar o tráfego IPv6 para o AIP SSM pelo ASA.

Nota: Para obter mais informações sobre da configuração inicial de AIP-SSM, refira a configuração inicial do sensor AIP-SSM.

Pré-requisitos

Requisitos

Este documento supõe que a audiência tem uma compreensão básica de como configurar a versão de software 8.x de Cisco ASA e a versão de software 6.x IPS.

• Os componentes da configuração necessária para ASA 8.x incluem relações, listas de acesso, Network Address Translation (NAT), e roteamento.

• Os componentes da configuração necessária para AIP-SSM (software 6.x IPS) incluem a instalação de rede, permitida anfitriões, configuração da interface, definições da assinatura, e regras da ação do evento.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• ASA 5510 com versão de software 8.0.2

• AIP-SSM-10 com versão de software 6.1.2 IPS

Nota: Este exemplo de configuração é compatível com todo o Firewall do 5500 Series de Cisco ASA com OS 7.x e mais tarde e o módulo AIP-SSM com IPS 5.x e mais tarde.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Convenções

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Configurar

Nesta seção, você encontrará informações para configurar os recursos descritos neste documento.

Nota: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Os esquemas de endereçamento IP usados nesta configuração não são legalmente roteáveis na Internet. São os endereços da RFC1918 que foram usados em um ambiente de laboratório.

Diagrama de Rede

Este documento utiliza a seguinte configuração de rede:

Configurações iniciais

Este documento utiliza estas configurações. O começo ASA e AIP-SSM com uma configuração padrão mas tem as mudanças específicas feitas para propósitos testando. As adições são notadas na configuração.

• ASA 5510

• AIP-SSM (IPS)

ciscoasa#show running-config
: Saved
:
ASA Version 8.0(2) 
!
hostname ciscoasa
enable password 2KFQnbNIdI.2KYOU encrypted
names
!

!--- IP addressing is added to the default configuration.

interface Ethernet0/0
 nameif outside
 security-level 0
 ip address 172.16.1.254 255.255.255.0 
!
interface Ethernet0/1
 nameif inside
 security-level 100
 ip address 10.2.2.254 255.255.255.0 
!
interface Ethernet0/2
 nameif dmz
 security-level 50
 ip address 192.168.1.254 255.255.255.0 
!
interface Management0/0
 nameif management
 security-level 0
 ip address 172.22.1.160 255.255.255.0 
 management-only
!
passwd 9jNfZuG3TC5tCVH0 encrypted
ftp mode passive

!--- Access lists are added in order to allow test !--- traffic (ICMP and Telnet).

access-list acl_outside_in extended permit icmp any host 172.16.1.50 
access-list acl_inside_in extended permit ip 10.2.2.0 255.255.255.0 any 
access-list acl_dmz_in extended permit icmp 192.168.1.0 255.255.255.0 any
pager lines 24

!--- Logging is enabled.

logging enable
logging buffered debugging
mtu outside 1500
mtu inside 1500
mtu dmz 1500
mtu management 1500
asdm image disk0:/asdm-613.bin
no asdm history enable
arp timeout 14400

!--- Translation rules are added.

global (outside) 1 172.16.1.100
global (dmz) 1 192.168.1.100
nat (inside) 1 10.2.2.0 255.255.255.0
static (dmz,outside) 172.16.1.50 192.168.1.50 netmask 255.255.255.255 
static (inside,dmz) 10.2.2.200 10.2.2.200 netmask 255.255.255.255 

!--- Access lists are applied to the interfaces.

access-group acl_outside_in in interface outside
access-group acl_inside_in in interface inside
access-group acl_dmz_in in interface dmz
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 0.0.0.0 0.0.0.0 dmz
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet timeout 5
ssh timeout 5
console timeout 0
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum 512
policy-map global_policy

!--- Out-of-the-box default configuration includes !--- policy-map global_policy.

 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect netbios 
  inspect rsh 
  inspect rtsp 
  inspect skinny 
  inspect esmtp 
  inspect sqlnet 
  inspect sunrpc 
  inspect tftp 
  inspect sip 
  inspect xdmcp 
!
service-policy global_policy global

!--- Out-of-the-box default configuration includes !--- the service-policy global_policy applied globally.

prompt hostname context 
.
: end

AIP-SSM#show configuration
! ------------------------------       
! Version 6.1(2)
! Current configuration last modified Mon Mar 23 21:46:47 2009
! ------------------------------
service interface
exit
! ------------------------------
service analysis-engine
virtual-sensor vs0 
physical-interface GigabitEthernet0/1 
exit
exit
! ------------------------------
service authentication
exit
! ------------------------------
service event-action-rules rules0

!--- The variables are defined.

variables DMZ address 192.168.1.0-192.168.1.255
variables IN address 10.2.2.0-10.2.2.255
exit
! ------------------------------
service host
network-settings

!--- The management IP address is set.

host-ip 172.22.1.169/24,172.22.1.1
host-name AIP-SSM
telnet-option disabled
access-list x.x.0.0/16

!--- The access list IP address is removed from the configuration !--- because the specific IP address is not relevant to this document.

exit
time-zone-settings
offset -360
standard-time-zone-name GMT-06:00
exit
summertime-option recurring
offset 60
summertime-zone-name UTC
start-summertime
month april
week-of-month first
day-of-week sunday
time-of-day 02:00:00
exit
end-summertime
month october
week-of-month last
day-of-week sunday
time-of-day 02:00:00
exit
exit
exit    
! ------------------------------
service logger
exit
! ------------------------------
service network-access
exit
! ------------------------------
service notification
exit
! ------------------------------
service signature-definition sig0

 !--- The signature is modified from the default setting for testing purposes.

signatures 2000 0 
alert-severity high
engine atomic-ip
event-action produce-alert|produce-verbose-alert
exit
alert-frequency
summary-mode fire-all
summary-key AxBx
exit
exit
status
enabled true
exit    
exit

 !--- The signature is modified from the default setting for testing purposes.

signatures 2004 0 
alert-severity high
engine atomic-ip
event-action produce-alert|produce-verbose-alert
exit
alert-frequency
summary-mode fire-all
summary-key AxBx
exit
exit
status
enabled true
exit
exit

!--- The custom signature is added for testing purposes.

signatures 60000 0 
alert-severity high
sig-fidelity-rating 75
sig-description
sig-name Telnet Command Authorization Failure
sig-string-info Command authorization failed
sig-comment signature triggers string command authorization failed
exit
engine atomic-ip
specify-l4-protocol yes
l4-protocol tcp
no tcp-flags
no tcp-mask
exit
specify-payload-inspection yes
regex-string Command authorization failed
exit
exit
exit
exit
exit
! ------------------------------
service ssh-known-hosts
exit
! ------------------------------
service trusted-certificates
exit
! ------------------------------
service web-server
enable-tls true
exit
AIP-SSM#

Nota: Se você é acesso incapaz o módulo AIP-SSM com https, termine então estas etapas:

• Configurar um endereço IP de gerenciamento para o módulo. E você pode configurar a lista de acesso de rede, em que você especifica as redes IPs/IP que são permitidas conectar ao IP de gerenciamento.

• Certifique-se de que você conectou a interface Ethernet externo do módulo de AIP. O acesso de gerenciamento ao módulo de AIP é possível através desta relação somente.

Refira a inicialização de AIP-SSM para mais informação.

Inspecione todo o tráfego com o AIP-SSM dentro inline ou modo misturado

Os administradores de rede e o gerenciamento sênior da empresa indicam frequentemente que tudo precisa de ser monitorado. Esta configuração cumpre a exigência monitorar tudo. Além do que a monitoração de tudo, duas decisões precisam de ser feitas sobre como o ASA e os AIP-SSM interagem.

• Reage o módulo AIP-SSM a funcionar ou ser distribuído do modo promíscuo ou inline?

  • O modo misturado significa que uma cópia dos dados estiver enviada ao AIP-SSM quando o ASA para a frente os dados originais sobre ao destino. O AIP-SSM no modo misturado pode ser considerado para ser um sistema de detecção de intrusões (IDS). Neste modo, o pacote do disparador (o pacote que causa o alarme) pode ainda alcançar o destino. Evitar pode ocorrer e parar pacotes adicionais de alcançar o destino, porém o pacote do disparador não é parado.

  • O modo Inline significa que o ASA para a frente os dados ao AIP-SSM para a inspeção. Se os dados passam a inspeção AIP-SSM, os dados retornam ao ASA a fim continuar a ser processado e a enviaa ao destino. O AIP-SSM no modo inline pode ser considerado para ser um Intrusion Prevention System (IPS). Ao contrário do modo misturado, o modo inline (IPS) pode realmente parar o pacote do disparador de alcançar o destino.

• Caso o ASA não puder se comunicar com o AIP-SSM, como deve o punho ASA à-estar-inspecionado traficar? Os exemplos dos exemplos quando o ASA não pode se comunicar com o AIP-SSM incluem reloads AIP-SSM ou se o módulo falha e precisa a substituição. Neste caso o ASA pode falha-aberto ou falha-fechado.

  • Falha-aberto permite que o ASA continue a passar o tráfego à-estar-inspecionado ao destino final se o AIP-SSM não pode ser alcançado.

  • os blocos Falha-fechados à-estar-inspecionaram o tráfego quando o ASA não pode se comunicar com o AIP-SSM.

  Nota: O tráfego à-estar-inspecionado é definido com o uso de uma lista de acesso. Nestas saídas de exemplo, a lista de acesso permite todo o tráfego IP de toda a fonte a qualquer destino. Consequentemente, o tráfego à-estar-inspecionado pode ser qualquer coisa que passa com o ASA.

ciscoasa(config)#access-list traffic_for_ips permit ip any any
ciscoasa(config)#class-map ips_class_map 
ciscoasa(config-cmap)#match access-list traffic_for_ips

!--- The match any command can be used in place of !--- the match access-list [access-list name] command. !--- In this example, access-list traffic_for_ips permits !--- all traffic. The match any command also !--- permits all traffic. You can use either configuration. !--- When you define an access-list, it can ease troubleshooting.

ciscoasa(config)#policy-map global_policy

!--- Note that policy-map global_policy is a part of the !--- default configuration. In addition, policy-map global_policy !--- is applied globally with the service-policy command.

ciscoasa(config-pmap)#class ips_class_map 
ciscoasa(config-pmap-c)#ips inline fail-open 

!--- Two decisions need to be made. !--- First, does the AIP-SSM function !--- in inline or promiscuous mode? !--- Second, does the ASA fail-open or fail-closed?

ciscoasa(config-pmap-c)#ips promiscous fail-open

!--- If AIP-SSM is in promiscous mode, issue !--- the no ips promiscous fail-open command !--- in order to negate the command and then use !--- the ips inline fail-open command.

Inspecione todo o tráfego com o AIP-SSM usando o ASDM

Termine estas etapas a fim inspecionar todo o tráfego com AIP-SSM que usa o ASDM:.

1. Escolha a configuração > o IPS > o sensor Setup > assistente Startup no Home Page ASDM para começar a configuração, como mostrado:

   

2. Clique o assistente da partida do lançamento.

   

3. Clique em seguida na nova janela que vem acima depois que você lança o assistente startup.

   

4. Na nova janela, forneça o nome de host, o endereço IP de Um ou Mais Servidores Cisco ICM NT, a máscara de sub-rede e o endereço de gateway padrão para o módulo AIP-SSM no espaço respectivo fornecido sob a seção das configurações de rede. Clique então adicionam a fim adicionar as listas de acesso para permitir todo o tráfego com AIP-SSM.

   

5. No indicador da entrada ACL adicionar forneça o endereço IP de Um ou Mais Servidores Cisco ICM NT e os detalhes da máscara de rede dos anfitriões/redes a ser reservados alcançar o sensor. Clique em OK.

   Nota: O endereço IP de Um ou Mais Servidores Cisco ICM NT do /Network do host deve pertencer à escala de endereço da rede de gerenciamento.

   

6. Clique em seguida depois que você fornece os detalhes nos espaços respectivos fornecidos.

   

7. O clique adiciona a fim configurar os detalhes da atribuição do tráfego.

   

8. Forneça a fonte e o endereço de rede de destino e igualmente o tipo de serviço, por exemplo, IP são usados aqui. Neste exemplo, algum está usado para a fonte e o destino enquanto você inspeciona todo o tráfego com AIP-SSM. Em seguida, clique em “OK”.

   

9. As regras configuradas da atribuição do tráfego são mostradas neste indicador e você pode adicionar tantas como regras como necessárias se você termina o mesmo procedimento como explicado em etapas 7 e 8. Clique então o revestimento e isto termina o procedimento de configuração ASDM.

   Nota: Você pode ver a animação do fluxo de pacote de informação se você clica sobre o começo.

   

Inspecione o tráfego específico com o AIP-SSM

Caso o administrador de rede quiser ter o monitor AIP-SSM como um subconjunto de todo o tráfego, o ASA tem duas variáveis independentes que podem ser alteradas. Primeiro, a lista de acesso pode ser preenchida para incluir ou excluir o tráfego necessário. Além da modificação de listas de acesso, uma opção service-policy pode ser aplicada a uma interface ou globalmente para alterar o tráfego inspecionado pelo AIP-SSM.

No que diz respeito ao diagrama de rede deste documento, o administrador de rede deseja que o AIP-SSM inspecione todo o tráfego entre a rede externa e a rede DMZ.

ciscoasa#configure terminal
ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0 
ciscoasa(config)#access-list traffic_for_ips permit ip any 192.168.1.0 255.255.255.0 
ciscoasa(config)#access-list traffic_for_ips deny ip 192.168.1.0 255.255.255.0 10.2.2.0 255.255.255.0 
ciscoasa(config)#access-list traffic_for_ips permit ip 192.168.1.0 255.255.255.0 any 
ciscoasa(config)#class-map ips_class_map 
ciscoasa(config-cmap)#match access-list traffic_for_ips
ciscoasa(config)#policy-map interface_policy
ciscoasa(config-pmap)#class ips_class_map
ciscoasa(config-pmap-c)#ips inline fail-open 
ciscoasa(config)#service-policy interface_policy interface dmz

!--- The access-list denies traffic from the inside network to the DMZ network !--- and traffic to the inside network from the DMZ network. !--- In addition, the service-policy command is applied to the DMZ interface.

Em seguida, o administrador de rede deseja que o AIP-SSM monitore o tráfego iniciado pela rede interna para a rede externa. A rede interna à rede do DMZ não é monitorada.

Nota: Esta seção particular exige uma compreensão intermediária do statefulness, do TCP, do UDP, do ICMP, da conexão, e das comunicações sem conexão.

ciscoasa#configure terminal
ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0
ciscoasa(config)#access-list traffic_for_ips permit ip 10.2.2.0 255.255.255.0 any
ciscoasa(config)#class-map ips_class_map 
ciscoasa(config-cmap)#match access-list traffic_for_ips
ciscoasa(config)#policy-map interface_policy
ciscoasa(config-pmap)#class ips_class_map
ciscoasa(config-pmap-c)#ips inline fail-open 
ciscoasa(config)#service-policy interface_policy interface inside

A lista de acesso nega o tráfego iniciado na rede interna destinada para a rede do DMZ. A segunda linha da lista de acesso permite ou envia o tráfego iniciado na rede interna destinada para a rede externa ao AIP-SSM. Neste momento o statefulness do ASA entra o jogo. Por exemplo, um usuário interno inicia uma conexão de TCP (telnet) a um dispositivo na rede externa (roteador). O usuário conecta com sucesso ao roteador e entra. O usuário emite então um comando router que não seja autorizado. O roteador responde com Command authorizaton failed. O pacote de dados que contém a string Command authorization failed tem como origem o roteador externo e o usuário interno como o destino. A fonte (fora) e o destino (para dentro) não combinam as listas de acesso definidas previamente neste documento. O ASA faz o acompanhamento das conexões stateful. Por isso, o pacote de dados que retorna (exterior para interior) é enviado para inspeção no AIP-SSM. A assinatura personalizada 60000 0, a qual foi configurada no AIP-SSM, aciona o alarme.

Nota: À revelia, o ASA não mantém o estado para o tráfego ICMP. Na configuração de exemplo precedente, o usuário interno sibila (requisição de eco ICMP) o roteador exterior. O roteador responde com resposta de eco ICMP. O AIP-SSM inspeciona o pacote de requisição de eco mas não o pacote de resposta de eco. Se a inspeção de ICMP é permitida no ASA, a requisição de eco e os pacotes de resposta de eco estão inspecionados pelo AIP-SSM.

Exclua o tráfego de rede específico da exploração AIP-SSM

O exemplo generalizado dado fornece uma vista em isentar o tráfego específico a ser feito a varredura por AIP-SSM. A fim executar isto, você precisa de criar uma lista de acesso que contenha o fluxo de tráfego que deve ser excluída da exploração AIP-SSM na instrução de negação. Neste exemplo, o IPS é o nome da lista de acesso que define o fluxo de tráfego a ser feito a varredura por AIP-SSM. O tráfego entre o <source> e o <destination> é excluído da exploração; todo tráfego restante é inspecionado.

access-list IPS deny IP <source> <destination>
access-list IPS permit ip any any
!
class-map my_ips_class
  match access-list IPS
!
!
policy-map my-ids-policy
  class my-ips-class
   ips inline fail-open

Verificar

Verifique que os eventos alertas estão gravados no AIP-SSM.

Log no AIP-SSM com a conta de usuário do administrador. O comando show events alert gera esta saída.

Nota: A saída varia baseado em ajustes, em tipo de tráfego enviado ao AIP-SSM, e em carga de rede da assinatura.

A Output Interpreter Tool (apenas para clientes registrados) (OIT) suporta determinados comandos show. Use o OIT a fim ver uma análise do emissor de comando de execução.

show events alert

evIdsAlert: eventId=1156198930427770356 severity=high vendor=Cisco 
  originator: 
    hostId: AIP-SSM
    appName: sensorApp
    appInstanceId: 345
  time: 2009/03/23 22:52:57 2006/08/24 17:52:57 UTC
  signature: description=Telnet Command Authorization Failure id=60000 version=custom 
    subsigId: 0
    sigDetails: Command authorization failed
  interfaceGroup: 
  vlan: 0
  participants: 
    attacker: 
      addr: locality=OUT 172.16.1.200
      port: 23
    target: 
      addr: locality=IN 10.2.2.200
      port: 33189
  riskRatingValue: 75
  interface: ge0_1
  protocol: tcp
        

evIdsAlert: eventId=1156205750427770078 severity=high vendor=Cisco 
  originator: 
    hostId: AIP-SSM
    appName: sensorApp
    appInstanceId: 345
  time: 2009/03/23 23:46:08 2009/03/23 18:46:08 UTC
  signature: description=ICMP Echo Request id=2004 version=S1 
    subsigId: 0
  interfaceGroup: 
  vlan: 0
  participants: 
    attacker: 
      addr: locality=OUT 172.16.1.200
    target: 
      addr: locality=DMZ 192.168.1.50
  triggerPacket: 
000000  00 16 C7 9F 74 8C 00 15  2B 95 F9 5E 08 00 45 00  ....t...+..^..E.
000010  00 3C 2A 57 00 00 FF 01  21 B7 AC 10 01 C8 C0 A8  .<*W....!.......
000020  01 32 08 00 F5 DA 11 24  00 00 00 01 02 03 04 05  .2.....$........
000030  06 07 08 09 0A 0B 0C 0D  0E 0F 10 11 12 13 14 15  ................
000040  16 17 18 19 1A 1B 1C 1D  1E 1F                    ..........
  riskRatingValue: 100
  interface: ge0_1
  protocol: icmp


evIdsAlert: eventId=1156205750427770079 severity=high vendor=Cisco 
  originator: 
    hostId: AIP-SSM
    appName: sensorApp
    appInstanceId: 345
  time: 2009/03/23 23:46:08 2009/03/23 18:46:08 UTC
  signature: description=ICMP Echo Reply id=2000 version=S1 
    subsigId: 0
  interfaceGroup: 
  vlan: 0
  participants: 
    attacker: 
      addr: locality=DMZ 192.168.1.50
    target: 
      addr: locality=OUT 172.16.1.200
  triggerPacket: 
000000  00 16 C7 9F 74 8E 00 03  E3 02 6A 21 08 00 45 00  ....t.....j!..E.
000010  00 3C 2A 57 00 00 FF 01  36 4F AC 10 01 32 AC 10  .<*W....6O...2..
000020  01 C8 00 00 FD DA 11 24  00 00 00 01 02 03 04 05  .......$........
000030  06 07 08 09 0A 0B 0C 0D  0E 0F 10 11 12 13 14 15  ................
000040  16 17 18 19 1A 1B 1C 1D  1E 1F                    ..........
  riskRatingValue: 100
  interface: ge0_1
  protocol: icmp

Nas configurações de amostra, diversas assinaturas IPS são ajustadas para alarmar-se no tráfego de teste. A assinatura 2000 e 2004 é alterada. A assinatura feita sob encomenda 60000 é adicionada. Em um ambiente de laboratório ou em uma rede em que poucos dados passam pelo ASA, talvez seja necessário modificar assinaturas para acionar eventos. Se o ASA e os AIP-SSM são distribuídos em um ambiente que passe uma grande quantidade de tráfego, os ajustes da assinatura do padrão são prováveis gerar um evento.

Troubleshooting

Esta seção fornece informações que você pode usar na solução de problemas de sua configuração.

A Output Interpreter Tool (apenas para clientes registrados) (OIT) suporta determinados comandos show. Use o OIT a fim ver uma análise do emissor de comando de execução.

Emita estes comandos show do ASA.

• módulo show — Informação das mostras sobre o SS no ASA assim como na informação de sistema.

  ciscoasa#show module
  Mod Card Type                                    Model              Serial No. 
  --- -------------------------------------------- ------------------ -----------
    0 ASA 5510 Adaptive Security Appliance         ASA5510            JMX0935K040
    1 ASA 5500 Series Security Services Module-10  ASA-SSM-10         JAB09440271
  
  Mod MAC Address Range                 Hw Version   Fw Version   Sw Version     
  --- --------------------------------- ------------ ------------ ---------------
    0 0012.d948.e912 to 0012.d948.e916  1.0          1.0(10)0     8.0(2)
    1 0013.c480.cc18 to 0013.c480.cc18  1.0          1.0(10)0     6.1(2)E3
  
  Mod SSM Application Name           Status           SSM Application Version
  --- ------------------------------ ---------------- --------------------------
    1 IPS                            Up               6.1(2)E3
  
  Mod Status             Data Plane Status     Compatibility
  --- ------------------ --------------------- -------------
    0 Up Sys             Not Applicable         
    1 Up                 Up                     
  
  !--- Each of the areas highlighted indicate that !--- the ASA recognizes the AIP-SSM and the AIP-SSM status is up.
  
  

• show run

  ciscoasa#show run
  
  !--- Output is suppressed.
  
  access-list traffic_for_ips extended permit ip any any 
  ...
  class-map ips_class_map
   match access-list traffic_for_ips
  ...
  policy-map global_policy
  ... 
  class ips_class_map
    ips inline fail-open
  ...
  service-policy global_policy global
  
  !--- Each of these lines are needed !--- in order to send data to the AIP-SSM.
  
  

• lista de acesso da mostra — Mostra os contadores para uma lista de acesso.

  ciscoasa#show access-list traffic_for_ips
  access-list traffic_for_ips; 1 elements
  access-list traffic_for_ips line 1 extended permit ip any any (hitcnt=2) 0x9bea7286
  
  !--- Confirms the access-list displays a hit count greater than zero.
  
  

Antes que você instale e use o AIP-SSM, o tráfego de rede passa com o ASA como esperado? Caso contrário, poderá ser necessário fazer o troubleshooting da rede e das regras das políticas de acesso ao ASA.

Problemas com Failover

• Se você tem dois ASA em uma configuração de failover e cada um tem um AIP-SSM, você deve manualmente replicate a configuração dos AIP-SS. Somente a configuração do ASA replicated pelo mecanismo do Failover. O AIP-SSM não é incluído no Failover. Refira PIX/ASA exemplo ativo/à espera 7.x da configuração de failover para obter mais informações sobre dos problemas do Failover.

• O AIP-SSM não participa na comutação classificada se a comutação classificada é configurada no par de failover ASA.

Mensagens de erro

O módulo IPS (AIP-SSM) produz mensagens de erro conforme mostrado, e não eventos de acionamento.

07Aug2007 18:59:50.468 0.757 interface[367] Cid/W errWarning Inline
data bypass has started.

  07Aug2007 18:59:59.619 9.151 mainApp[418] cplane/E Error during socket
read

  07Aug2007 19:03:13.219 193.600 nac[373] Cid/W errWarning New host ip
[192.168.101.76]

  07Aug2007 19:06:13.979 180.760 sensorApp[417] Cid/W errWarning
unspecifiedWarning:There are no interfaces assigned to any virtual
sensors. This can result in some packets not being monitored.

  07Aug2007 19:08:42.713 148.734 mainApp[394] cplane/E Error - accept()
call returned -1

  07Aug2007 19:08:42.740 0.027 interface[367] Cid/W errWarning Inline
data bypass has started.

A causa dessa mensagem de erro é que o sensor virtual do IPS não foi atribuído à interface traseira do ASA. O ASA está configurado da forma correta para enviar tráfego para o módulo SSM, mas você deve atribuir o sensor virtual à interface traseira criada pelo ASA para que o SSM possa examinar o tráfego.

errorMessage: IpLogProcessor::addIpLog: Ran out of file descriptors  name=errWarn

errorMessage: IpLog 1701858066 terminated early due to lack of file handles. 
name=ErrLimitExceeded  

Essas mensagens são indicativas do IP LOGGING estar habilitado, o qual, por sua vez, se apropriou de todos os recursos do sistema. A Cisco recomenda desabilitar o IP LOGGING já que ele só deve ser usado para fins de troubleshooting/investigação.

Nota: O desvio Inline errWarning dos dados começou o Mensagem de Erro é comportamento esperado enquanto o sensor reinicia momentaneamente o motor da análise após a atualização de assinatura, que é uma necessária parte do processo da atualização de assinatura.

suporte de syslog

O AIP-SSM não apoia o Syslog como um formato alerta.

O método padrão para receber a informação alerta do AIP-SSM é com a troca do evento do dispositivo de segurança (SDEE). Uma outra opção é configurar assinaturas individuais a fim gerar uma armadilha de SNMP como uma ação para tomar quando são provocadas.

Repartição AIP-SSM

O módulo AIP-SSM não responde corretamente.

Se o módulo AIP-SSM não responde corretamente, a seguir recarregue o módulo AIP-SSM sem recarregar o ASA. Use o comando reload do módulo 1 do módulo HW a fim recarregar o módulo AIP-SSM e não recarregue o ASA.

Alerta do email AIP-SSM

Pode AIP-SSM enviar alertas do email aos usuários?

Não, não é apoiado.

Informações Relacionadas

• Referência de comandos do dispositivo do Cisco Security, versão 7.2
• Mensagens de Log de sistema do dispositivo do Cisco Security, versão 7.2
• Referência de comandos para o Sistema de prevenção de intrusões da Cisco 5.1
• Suporte Técnico e Documentação - Cisco Systems