Ação de Aviso de Acesso Seguro - Substituir Comportamento com Configurações de Bloqueio de IPS

Problema

Ao testar o comportamento Avisar em uma Política de acesso (Acesso à Internet) no Cisco Secure Access com IPS habilitado, os usuários experimentam um comportamento inesperado em que a ação Avisar parece substituir as configurações de bloqueio de IPS. Especificamente, ao acessar uma URL destinada a disparar uma assinatura de IPS (SERVER-WEBAPP /etc/passwd tentativa de acesso a arquivos, GID-SID: 1-1122), uma página de aviso é exibida e, após a confirmação do usuário, o acesso ao URL é permitido, apesar do IPS estar configurado para bloquear o tráfego.

A configuração inclui:

• Ação: Isolar

• Prevenção contra invasões (IPS): Enable

• IPS/Bloqueio

• Assinatura: SERVER-WEBAPP /etc/passwd tentativa de acesso a arquivos

• GID-SID: 1-1122

Os logs de pesquisa de atividades mostram entradas conflitantes:

• IPS: (IPS: bloqueio)

• WEB: (WEB: permitir - página de aviso exibida)

• WEB: (WEB: permitir - após acesso de aviso)

Ambiente

• Produto: Vantagem do Cisco Secure Internet Access

• Tecnologia: Acesso seguro

• Política de acesso configurada com a ação de Aviso e Acesso à Internet

• IPS habilitado com ação de bloqueio para assinaturas específicas

Resolução

Esse comportamento foi identificado como um defeito no Cisco Secure Access, em que a ação Avisar nas Políticas de Acesso tem precedência sobre as configurações do bloco IPS. O problema afeta a interação entre as ações de Aviso da política de acesso e a funcionalidade de bloqueio de IPS.

Etapas de verificação

Para verificar esse comportamento no seu ambiente:

Passo 1: Configure a política de acesso com a ação Avisar e habilite o bloqueio de IPS:

• Defina Action para Isolar com o comportamento Warn.

• Ative o Intrusion Prevention (IPS).

• Configurar IPS com ação Bloquear.

• Aplicar assinatura específica (como SERVER-WEBAPP /etc/passwd, tentativa de acesso a arquivos, GID-SID: 1-1122).

Passo 2: Teste a configuração acessando uma URL que dispare a assinatura de IPS:

https://example.com/etc/passwd

Passo 3: Observe o comportamento:

• A página de aviso é exibida para o usuário.

• O usuário pode continuar após confirmar o aviso.

• O acesso à URL é permitido apesar da configuração do bloco de IPS.

Passo 4: Verificar logs de pesquisa de atividade:

• Verifique a presença de entradas de bloqueio de IPS e permissão da WEB.

• Confirme se as entradas de log conflitantes indicam o defeito.

Status atual

Este comportamento foi confirmado como um defeito em que a ação Avisar substitui as configurações do bloco IPS por design na implementação atual. O mesmo comportamento ocorre com assinaturas IPS diferentes de GID-SID: 1-1122, indicando que esse é um problema sistêmico que afeta todas as assinaturas de IPS quando as ações de aviso são configuradas.

Ainda não foram determinados um plano e um cronograma de correção para este defeito. As empresas que tiverem esse problema devem avaliar suas políticas de segurança e considerar configurações alternativas se for necessário um bloqueio de IPS rigoroso.

Causa

A causa raiz é um defeito no Cisco Secure Access em que o processamento da ação Aviso da política de acesso tem precedência sobre a aplicação do bloco IPS. Essa falha de design permite que os usuários ignorem os controles de segurança do IPS por meio do mecanismo de confirmação de aviso, anulando efetivamente a funcionalidade de bloqueio do IPS quando as ações de Aviso são configuradas.

Conteúdo relacionado

• Suporte técnico e downloads da Cisco

Histórico de revisões

Revisão	Data de publicação	Comentários
2.0	27-Jul-2026	Recertificação
1.0	14-Jun-2026	Versão inicial