在安全防火墙设备管理器上配置远程访问VPN服务的威胁检测
简介
本文档介绍在思科安全防火墙设备管理器(FDM)上为远程访问VPN服务配置威胁检测的流程。
先决条件
要求
思科建议您了解以下主题：
- 思科安全防火墙威胁防御(FTD)
- 安全FDM
- FTD上的远程访问VPN(RAVPN)
以下列出的安全FTD版本支持这些威胁检测功能：
- 7.0版本系列 — 支持7.0.6.3及此特定系列中的更新版本。
- 7.2版本系列 — 支持7.2.9及此特定系列中的更新版本。
- 7.4版本系列 — 支持7.4.2.1及此特定系列中的更新版本。
- 7.6版本系列 — 从7.6.0及任何更新版本中受支持。
注意：这些功能当前在版本7.1或7.3中不受支持。
使用的组件
本文档中描述的信息基于思科安全FTD虚拟版本7.4.2.1。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
背景信息
针对远程访问VPN服务的威胁检测功能通过自动阻止超过配置阈值的主机（IP地址）来帮助防止来自IPv4地址的拒绝服务(DoS)攻击，从而防止进一步的尝试，直到您手动删除IP地址回避为止。有单独的服务可用于以下类型的攻击：
- 失败的身份验证尝试重复：对远程访问VPN服务进行的身份验证尝试重复失败（暴力用户名/密码扫描攻击）。
- 客户端启动攻击：攻击者从单个主机多次发起远程访问VPN头端连接尝试，但未能成功完成。
- 尝试连接无效的远程访问VPN服务：当攻击者尝试连接到仅用于设备内部功能的特定内置隧道组时。合法终端不会尝试连接到这些隧道组。
这些攻击，即使尝试访问时失败，也会消耗计算资源，并阻止有效用户连接到远程访问VPN服务。启用这些服务时，防火墙会自动避开超过配置阈值的主机（IP地址）。这可以防止进一步的尝试，直到您手动删除IP地址的避开为止。
注意：默认情况下，远程访问VPN的所有威胁检测服务都处于禁用状态。
配置
注意：当前仅支持通过FlexConfig在安全FTD上配置这些功能。
1.登录到Secure FDM。
2.要配置FlexConfig对象，请导航到设备>高级配置> FlexConfig > FlexConfig对象，然后单击创建FlexConfig对象。
从FDM主页编辑“高级配置”。
创建FlexConfig对象。
3.打开FlexConfig对象窗口后，添加所需的配置以启用远程访问VPN的威胁检测功能：
功能1.尝试连接到仅内部（无效）VPN服务的威胁检测
要启用此服务，请在FlexConfig对象文本框中添加threat-detection service invalid-vpn-access命令。
功能2.远程访问VPN客户端发起攻击的威胁检测
要启用此服务，请在FlexConfig对象文本框中添加threat-detection service remote-access-client-initiations hold-down <minutes> threshold <count>命令，其中：
- hold-down <minutes>定义最后一次启动尝试后的时段，在该时间段内将计算连续的连接尝试。如果在此时间段内连续连接尝试次数达到配置的阈值，则会避开攻击者的IPv4地址。您可以将此时间段设置为1到1440分钟。
- threshold <count>是在抑制期间内触发回避所需的连接尝试次数。您可以设置介于5和100之间的阈值。
例如，如果抑制期为10分钟，阈值为20，如果10分钟内有20次连续的连接尝试，则会自动回避IPv4地址。
注意：设置抑制和阈值时，考虑NAT使用情况。如果使用PAT（允许来自同一IP地址的许多请求），请考虑更高的值。这可确保有效用户有足够的时间进行连接。例如，在酒店中，许多用户可以在短时间内尝试连接。
功能3.远程访问VPN身份验证失败的威胁检测
要启用此服务，请在FlexConfig对象文本框中添加threat-detection service remote-access-authentication hold-down<minutes> threshold <count>命令，其中：
- hold-down <minutes>定义最后一次失败尝试后的时间段，在该时间段内将计算连续失败的次数。如果在此时间段内连续身份验证失败次数达到配置的阈值，则避开攻击者的IPv4地址。您可以将此时间段设置为1到1440分钟。
- threshold <count>是在抑制期间内触发回避所需的身份验证失败尝试次数。您可以设置介于1和100之间的阈值。
例如，如果抑制期为10分钟，阈值为20，则如果在10分钟内出现20次连续身份验证失败，将自动避免使用IPv4地址。
注意：设置抑制和阈值时，考虑NAT使用情况。如果使用PAT（允许来自同一IP地址的许多请求），请考虑更高的值。这可确保有效用户有足够的时间进行连接。例如，在酒店中，许多用户可以在短时间内尝试连接。
注意：尚不支持通过SAML进行身份验证失败。
此示例配置为远程访问VPN启用三种可用的威胁检测服务，抑制时间为10分钟，客户端发起和失败的身份验证尝试的阈值为20。根据环境要求配置抑制和阈值。
此示例使用单个FlexConfig对象以启用三个可用功能。
threat-detection service invalid-vpn-access
threat-detection service remote-access-client-initiations hold-down 10 threshold 20
threat-detection service remote-access-authentication hold-down 10 threshold 20
定义FlexConfig对象条件。
4.创建FlexConfig对象后，导航到FlexConfig > FlexConfig Policy，然后找到“Group List”下的加号。选择为RAVPN威胁检测创建的FlexConfig对象，然后单击OK将该对象添加到组列表。这将填充命令的CLI预览，查看此预览以确保准确性。选择SAVE并将更改部署到FTD。
编辑FlexConfig策略并分配FlexConfig对象。
验证
要显示威胁检测RAVPN服务的统计信息，请登录到FTD的CLI并运行show threat-detection service [service] [entries|details]命令。其中服务可以是remote-access-authentication、remote-access-client-initiations或invalid-vpn-access。
您可以通过添加以下参数进一步限制视图：
- entries — 仅显示威胁检测服务正在跟踪的条目。例如，身份验证尝试失败的IP地址。
- details — 同时显示服务详细信息和服务条目。
运行show threat-detection service命令以显示所有已启用威胁检测服务的统计信息。
FDM-TAC# show threat-detection service
Service: invalid-vpn-access State : Enabled Hold-down : 1 minutes
Threshold : 1
Stats:
failed : 0
blocking : 0
recording : 0
unsupported : 0
disabled : 0
Total entries: 0
Service: remote-access-authentication State : Enabled Hold-down : 10 minutes
Threshold : 20
Stats:
failed : 0
blocking : 1
recording : 4
unsupported : 0
disabled : 0
Total entries: 2
Name: remote-access-client-initiations State : Enabled
Hold-down : 10 minutes
Threshold : 20
Stats:
failed : 0
blocking : 0
recording : 0
unsupported : 0
disabled : 0
Total entries: 0要查看针对远程访问身份验证服务跟踪的潜在攻击者的更多详细信息，请运行show threat-detection service <service> entries命令。
FDM-TAC# show threat-detection service remote-access-authentication entries
Service: remote-access-authentication
Total entries: 2
Idx Source Interface Count Age Hold-down
--- ------------------- -------------------- -------------- ---------- ---------
1 192.168.100.101/ 32 outside 1 721 0
2 192.168.100.102/ 32 outside 2 486 114
Total number of IPv4 entries: 2
NOTE: Age is in seconds since last reported. Hold-down is in seconds remaining.要查看特定威胁检测远程访问VPN服务的一般统计信息和详细信息，请运行show threat-detection service <service> details命令。
FDM-TAC# show threat-detection service remote-access-authentication details
Service: remote-access-authentication
State : Enabled
Hold-down : 10 minutes
Threshold : 20
Stats:
failed : 0
blocking : 1
recording : 4
unsupported : 0
disabled : 0
Total entries: 2
Idx Source Interface Count Age Hold-down
--- ------------------- -------------------- -------------- ---------- ---------
1 192.168.100.101/ 32 outside 1 721 0
2 192.168.100.102/ 32 outside 2 486 114
Total number of IPv4 entries: 2
NOTE: Age is in seconds since last reported. Hold-down is in seconds remaining.注意：这些条目仅显示威胁检测服务所跟踪的IP地址。如果IP地址满足要避开的条件，则阻止计数增加，并且IP地址不再显示为条目。
此外，您可以监控VPN服务应用的分流器，并使用以下命令删除单个IP地址或所有IP地址的分流器：
- show shun [ip_address] — 显示被避开的主机，包括通过VPN服务的威胁检测自动避开的主机，或使用shun命令手动避开的主机。您可以选择将视图限制为指定的IP地址。
- no shun ip_address [interface if_name] — 删除应用于指定IP地址的欺骗。如果一个IP地址在多个接口上被避开并且没有提到特定的接口，则该命令仅从一个接口删除回避。此接口的选择取决于对规避的IP地址的路由查找。要从其他接口删除避开设置，必须明确指定接口。"
- clear shun — 从所有IP地址和所有接口删除回避地址。
注意：VPN服务的威胁检测规避的IP地址不会出现在show threat-detection shun命令中，该命令仅适用于扫描威胁检测。
要读取与远程访问VPN的威胁检测服务相关的每个命令输出和可用系统日志消息的所有详细信息，请参阅命令参考文档。
相关信息
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
2.0 |
23-Jan-2025
|
更正了整个文档的品牌设置。
更新了“验证”部分，以展开有关删除规避的IP地址的内容。已添加目录。 |
1.0 |
07-Nov-2024
|
初始版本 |
反馈