Ative o pré-processador de normalização em linha e entenda a inspeção pré-ACK e pós-ACK

Introduction

Este documento descreve como habilitar o pré-processador de normalização em linha e ajuda a entender a diferença e o impacto de duas opções avançadas de normalização em linha. 

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento do sistema Cisco Firepower e do Snort.

Componentes Utilizados

As informações neste documento são baseadas nos dispositivos Cisco FireSIGHT Management Center e Firepower.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

Um pré-processador de normalização em linha normaliza o tráfego para minimizar a chance de um invasor escapar da detecção usando implantações em linha. A normalização ocorre imediatamente após a decodificação do pacote e antes de qualquer outro pré-processador, e prossegue das camadas internas do pacote para fora. A normalização em linha não gera eventos, mas prepara pacotes para uso por outros pré-processadores.

Ao aplicar uma política de intrusão com o pré-processador de normalização em linha ativado, o dispositivo Firepower testa estas duas condições para garantir que você use uma implantação em linha:

• Para as versões 5.4 e posteriores, o modo em linha é ativado na Política de análise de rede (NAP) e a queda quando em linha também é configurada na política de intrusão se a política de intrusão estiver definida para descartar tráfego. Para versões 5.3 e anteriores, a opção Eliminar quando em linha está ativada na política de intrusão.
  
  
• A política é aplicada a um conjunto de interfaces em linha (ou em linha com failopen).

Portanto, além da ativação e configuração do pré-processador de normalização em linha, você também deve garantir que esses requisitos sejam atendidos ou o pré-processador não normalizará o tráfego:

• Sua política deve ser definida para descartar o tráfego em implantações em linha.
  
  
• Você deve aplicar sua política a um conjunto em linha.

Habilitar normalização em linha

Esta seção descreve como habilitar a normalização em linha para as versões 5.4 e posterior, e também para as versões 5.3 e anteriores.

Habilitar a normalização em linha nas versões 5.4 e posterior

A maioria das configurações do pré-processador é configurada no NAP para as versões 5.4 e posteriores. Conclua estes passos para habilitar a normalização em linha no NAP:

1. Faça login na interface de usuário da Web do FireSIGHT Management Center.
   
   
2. Navegue para Políticas > Controle de acesso.
   
   
3. Clique em Network Analysis Policy próximo à área superior direita da página.
   
   
4. Selecione uma Política de Análise de Rede que pretende aplicar ao dispositivo gerido.
   
   
5. Clique no ícone do lápis para iniciar a edição e a página Editar política será exibida.
   
   
6. Clique em Settings (Configurações) no lado esquerdo da tela e a página Settings (Configurações) será exibida.
   
   
7. Localize a opção de normalização em linha na área Pré-processador da camada de transporte/rede.
   
   
8. Selecione o botão de opção Habilitado para habilitar este recurso:
   
   

O NAP com a normalização em linha deve ser adicionado à sua política de controle de acesso para que ocorra a normalização em linha. O NAP pode ser adicionado através da guia Avançado da política de controle de acesso:

A política de controle de acesso deve então ser aplicada ao dispositivo de inspeção.

Note: Para a versão 5.4 ou posterior, você pode habilitar a normalização em linha para determinado tráfego e desabilitá-la para outro tráfego. Se quiser ativá-lo para tráfego específico, adicione uma regra de análise de rede e defina os critérios e a política de tráfego para aquele que tem a normalização em linha ativada. Se quiser ativá-la globalmente, defina a política de análise de rede padrão para a que tem a normalização em linha ativada.

Habilitar a normalização em linha nas versões 5.3 e anteriores

Conclua estes passos para habilitar a normalização em linha em uma política de invasão:

1. Faça login na interface de usuário da Web do FireSIGHT Management Center.
   
   
2. Navegue até Políticas > Intrusão > Políticas de intrusão.
   
   
3. Selecione uma política de intrusão que pretende aplicar ao dispositivo gerido.
   
   
4. Clique no ícone do lápis para iniciar a edição e a página Editar política será exibida.
   
   
5. Clique em Configurações avançadas e a página Configurações avançadas será exibida.
   
   
6. Localize a opção de normalização em linha na área Pré-processador da camada de transporte/rede.
   
   
7. Selecione o botão de opção Habilitado para habilitar este recurso:
   
   

Quando a política de intrusão estiver configurada para normalização em linha, ela deverá ser adicionada como a ação padrão na política de controle de acesso:

 

A política de controle de acesso deve então ser aplicada ao dispositivo de inspeção.

Você pode configurar o pré-processador de normalização em linha para normalizar o tráfego IPv4, IPv6, Internet Control Message Protocol Version 4 (ICMPv4), ICMPv6 e TCP em qualquer combinação. A normalização de cada protocolo ocorre automaticamente quando essa normalização de protocolo é ativada.

Habilitar inspeção pós-ACK e inspeção pré-ACK

Depois de habilitar o pré-processador de normalização em linha, você pode editar as configurações para habilitar a opção Normalize TCP Payload. Esta opção no pré-processador de normalização em linha alterna entre dois modos diferentes de inspeção:

• Pós-confirmação (Pós-ACK)
  
  
• Pré-confirmação (pré-ACK)

Entender a inspeção pós-ACK (Normalizar o TCP/Normalizar o payload TCP desabilitado)

Na inspeção Pós-ACK, a remontagem do fluxo de pacotes, a descarga (entrega ao resto do processo de inspeção) e a detecção no Snort ocorrem após a confirmação (ACK) da vítima do pacote que conclui o ataque ser recebida pelo Sistema de Prevenção de Intrusão (IPS). Antes da descarga do fluxo, o pacote ofensivo já chegou à vítima. Portanto, o alerta/queda ocorre depois que o pacote ofensivo chega à vítima. Essa ação ocorre quando o ACK da vítima do pacote ofensivo chega ao IPS.

Entender a inspeção pré-ACK (Normalizar o payload TCP/Normalizar TCP ativado)

Esse recurso normaliza o tráfego imediatamente após a decodificação de pacotes e antes que qualquer outra função Snort seja processada para minimizar os esforços de evasão do TCP. Isso garante que os pacotes que chegam ao IPS sejam os mesmos que são passados para a vítima. O Snort descarta o tráfego no pacote que conclui o ataque antes que o ataque chegue à vítima.

Quando você habilita a opção Normalize o TCP, o tráfego que corresponde a essas condições também é descartado:

• Cópias retransmitidas de pacotes anteriormente descartados
  
  
• Tráfego que tenta continuar uma sessão anteriormente abandonada
  
  
• Tráfego que corresponde a qualquer uma destas regras de pré-processador de fluxo TCP:
  
  
  • 129:1
  • 129:3
  • 129:4
  • 129:6
  • 129:8
  • 129:11
  • 129:14 até 129:19

Note: Para habilitar os alertas para as regras de fluxo TCP que são descartadas pelo pré-processador de normalização, você deve habilitar o recurso Anomalias de inspeção stateful na configuração de fluxo TCP.