目錄

簡介

必要條件

需求

採用元件

設定

網路圖表

FireSight管理中心（防禦中心）

ISE補救模組

關聯策略

ASA

ISE

設定網路存取裝置(NAD)

啟用自適應網路控制

隔離DACL

隔離區的授權配置檔案

授權規則

驗證

AnyConnect發起ASA VPN會話

FireSight關聯策略命中

ISE執行隔離並傳送CoA

VPN會話已斷開

疑難排解

FireSight（防禦中心）

ISE

錯誤

相關資訊

簡介

本文檔介紹如何使用Cisco FireSight裝置上的補救模組檢測攻擊，並使用Cisco身份服務引擎(ISE)作為策略伺服器自動補救攻擊者。本文檔中提供的示例描述了用於補救通過ISE進行身份驗證的遠端VPN使用者的方法，但它也可以用於802.1x/MAB/WebAuth有線或無線使用者。

附註：本文檔中引用的補救模組不是思科正式支援的。在社群門戶上共用，任何人都可以使用。在5.4及更高版本中，還有一個基於pxGrid協定的更新補救模塊可用。6.0版不支援此模組，但計畫在未來版本中支援此模組。

必要條件

需求

思科建議您瞭解以下主題：

- Cisco Adaptive Security Appliance(ASA)VPN配置

- Cisco AnyConnect Security Mobility Solution — 遠端存取

- Cisco FireSight基本配置

- Cisco FirePower基本配置

- Cisco ISE配置

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Microsoft Windows 7

- Cisco ASA 9.3版或更高版本

- Cisco ISE軟體版本1.3及更高版本

- Cisco AnyConnect安全行動化使用者端版本3.0及更新版本

- Cisco FireSight管理中心版本5.4

- Cisco FirePower 5.4版(虛擬機器(VM))

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

使用本節提供的資訊來配置系統。

附註：使用命令查詢工具(僅供已註冊客戶使用)可獲取本節中使用的命令的更多資訊。

網路圖表

本文所述的範例使用以下網路設定：

以下是此網路設定的流程：

1. 使用者啟動與ASA的遠端VPN會話（通過Cisco AnyConnect安全移動版本4.0）。

2. 使用者嘗試訪問http://172.16.32.1。（流量通過FirePower移動，FirePower安裝在VM上並由FireSight管理。）

3. FirePower經過配置，能夠阻止（內嵌）特定流量（訪問策略），但它也具有已觸發的關聯策略。因此，它通過REST應用程式設計介面(API)(QuarantineByIP方法)啟動ISE補救。

4. ISE收到REST API呼叫後，會查詢會話並向ASA傳送RADIUS授權更改(CoA),ASA將終止該會話。

5. ASA斷開VPN使用者的連線。由於AnyConnect已配置永遠線上VPN訪問，因此會建立一個新會話；但是，這一次匹配了不同的ISE授權規則（對於隔離主機），並提供有限的網路訪問。在這個階段，使用者如何連線和驗證網路並不重要；只要ISE用於身份驗證和授權，使用者由於隔離而擁有有限的網路訪問許可權。

如前所述，只要使用ISE進行身份驗證，且網路接入裝置支援RADIUS CoA（所有現代Cisco裝置），此方案適用於任何型別的已驗證會話（VPN、有線802.1x/MAB/Webauth、無線802.1x/MAB/Webauth）。

提示：為了將使用者移出隔離區，您可以使用ISE GUI。補救模組的未來版本也可能支援該模組。

FirePower

附註：VM裝置用於本文檔中描述的示例。僅通過CLI執行初始配置。所有策略都是從思科防禦中心配置的。如需更多詳細資訊，請參閱本檔案的相關資訊一節。

虛擬機器有三個介面，一個用於管理，兩個用於內聯檢查（內部/外部）。

來自VPN使用者的所有流量通過FirePower移動。

FireSight管理中心（防禦中心）

訪問控制策略

安裝正確的許可證並新增FirePower裝置後，導航到Policies > Access Control，然後建立用於將HTTP流量丟棄到172.16.32.1的訪問策略：

接受所有其他流量。

ISE補救模組

在社群門戶上共用的ISE模組的當前版本為ISE 1.2 Remediation Beta 1.3.19:

導航到Policies > Actions > Remediations > Modules並安裝檔案：

然後應建立正確的例項。導航到Policies > Actions > Remediations > Instances，並提供策略管理節點(PAN)的IP地址以及REST API所需的ISE管理憑據(建議使用具有ERS Admin角色的獨立使用者):

源IP地址（攻擊者）也應用於補救：

關聯策略

現在必須配置特定的關聯規則。此規則在連線開始時觸發，該連線與之前配置的訪問控制規則(DropTCP80)相匹配。 要配置規則，請導航到Policies > Correlation > Rule Management:

此規則用於關聯策略。導航到Policies > Correlation > Policy Management以建立新策略，然後新增配置的規則。按一下右側的Remediate並新增兩個操作：針對源IP(之前配置)和系統日誌的補救:

確保啟用關聯策略：

ASA

充當VPN網關的ASA配置為使用ISE進行身份驗證。還必須啟用記帳和RADIUS CoA:

tunnel-group SSLVPN-FIRESIGHT general-attributes

address-pool POOL-VPN

authentication-server-group ISE

accounting-server-group ISE

default-group-policy POLICY

aaa-server ISE protocol radius

interim-accounting-update periodic 1

dynamic-authorization

aaa-server ISE (inside) host 172.16.31.202

key *****

webvpn

enable outside

enable inside

anyconnect-essentials

anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1

anyconnect enable

tunnel-group-list enable

error-recovery disable

ISE

設定網路存取裝置(NAD)

導覽至Administration > Network Devices，然後新增充當RADIUS客戶端的ASA。

啟用自適應網路控制

導航到Administration > System > Settings > Adaptive Network Control以啟用隔離API和功能：

附註：在1.3及更低版本中，此功能稱為Endpoint Protection Service。

隔離DACL

要建立用於隔離主機的可下載訪問控制清單(DACL)，請導航至Policy > Results > Authorization > Downloadable ACL。

隔離區的授權配置檔案

導覽至Policy > Results > Authorization > Authorization Profile，然後使用新的DACL建立授權配置檔案：

授權規則

您必須建立兩個授權規則。第一條　規則(ASA-VPN)為在ASA上終止的所有VPN會話提供完全訪問許可權。當主機已處於隔離狀態（提供有限的網路訪問）時，為重新身份驗證的VPN會話點選規則ASA-VPN_quarantine。

要建立這些規則，請導航到Policy > Authorization:

驗證

使用本節提供的資訊以驗證您的組態是否正常運作。

AnyConnect發起ASA VPN會話

ASA建立無任何DACL（完全網路訪問）的會話：

asav# show vpn-sessiondb details anyconnect

Session Type: AnyConnect

Username     : cisco                  Index        : 37

Assigned IP  : 172.16.50.50           Public IP    : 192.168.10.21

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 18706                  Bytes Rx     : 14619

Group Policy : POLICY                 Tunnel Group : SSLVPN-FIRESIGHT

Login Time   : 03:03:17 UTC Wed May 20 2015

Duration     : 0h:01m:12s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : ac10206400025000555bf975

Security Grp : none

......

DTLS-Tunnel:

<some output omitted for clarity>

使用者嘗試訪問

使用者嘗試訪問http://172.16.32.1後，訪問策略被命中，對應的流量被內聯阻止，系統日誌消息從FirePower管理IP地址傳送：

May 24 09:38:05 172.16.31.205 SFIMS: [Primary Detection Engine

(cbe45720-f0bf-11e4-a9f6-bc538df1390b)][AccessPolicy] Connection Type: Start, User:

Unknown, Client: Unknown, Application Protocol: Unknown, Web App: Unknown,

Access Control Rule Name: DropTCP80, Access Control Rule Action: Block,

Access Control Rule Reasons: Unknown, URL Category: Unknown, URL Reputation:

Risk unknown, URL: Unknown, Interface Ingress: eth1, Interface Egress: eth2,

Security Zone Ingress: Internal, Security Zone Egress: External, Security

Intelligence Matching IP: None, Security Intelligence Category: None, Client Version:

(null), Number of File Events: 0, Number of IPS Events: 0, TCP Flags: 0x0,

NetBIOS Domain: (null), Initiator Packets: 1, Responder Packets: 0, Initiator Bytes:

66, Responder Bytes: 0, Context: Unknown, SSL Rule Name: N/A, SSL Flow Status: N/A,

SSL Cipher Suite: N/A, SSL Certificate: 0000000000000000000000000000000000000000,

SSL Subject CN: N/A, SSL Subject Country: N/A, SSL Subject OU: N/A, SSL Subject Org:

N/A, SSL Issuer CN: N/A, SSL Issuer Country: N/A, SSL Issuer OU: N/A, SSL Issuer Org:

N/A, SSL Valid Start Date: N/A, SSL Valid End Date: N/A, SSL Version: N/A, SSL Server

Certificate Status: N/A, SSL Actual Action: N/A, SSL Expected Action: N/A, SSL Server

Name: (null), SSL URL Category: N/A, SSL Session ID:

0000000000000000000000000000000000000000000000000000000000000000, SSL Ticket Id:

0000000000000000000000000000000000000000, {TCP} 172.16.50.50:49415 -> 172.16.32.1:80

FireSight關聯策略命中

FireSight管理（防禦中心）關聯策略被命中，該策略由防禦中心傳送的系統日誌消息報告：

May 24 09:37:10 172.16.31.206 SFIMS: Correlation Event:

CorrelateTCP80Block/CorrelationPolicy at Sun May 24 09:37:10 2015 UTCConnection Type:

FireSIGHT 172.16.50.50:49415 (unknown) -> 172.16.32.1:80 (unknown) (tcp)

在這個階段，防禦中心使用對ISE的REST API（隔離）呼叫，ISE是一個HTTPS會話，可以在Wireshark中解密(使用安全套接字層(SSL)外掛和PAN管理證書的私鑰):

在GET請求中，攻擊者的IP地址被通過(172.16.50.50)，該主機由ISE隔離。

導覽至Analysis > Correlation > Status，以確認成功的修正：

ISE執行隔離並傳送CoA

在此階段，ISE prrt-management.log通知應傳送CoA:

DEBUG  [RMI TCP Connection(142)-127.0.0.1][] cisco.cpm.prrt.impl.PrRTLoggerImpl

-::::- send() - request instanceof DisconnectRequest

clientInstanceIP = 172.16.31.202

clientInterfaceIP = 172.16.50.50

portOption = 0

serverIP = 172.16.31.100

port = 1700

timeout = 5

retries = 3

attributes = cisco-av-pair=audit-session-id=ac10206400021000555b9d36

Calling-Station-ID=192.168.10.21

Acct-Terminate-Cause=Admin Reset

運行時(prrt-server.log)將CoA terminate消息傳送到NAD，NAD將終止會話(ASA):

DEBUG,0x7fad17847700,cntx=0000010786,CPMSessionID=2e8cdb62-bc0a-4d3d-a63e-f42ef8774893,

CallingStationID=08:00:27:DA:EF:AD, RADIUS PACKET: Code=40 (

DisconnectRequest) Identifier=9 Length=124

[4] NAS-IP-Address - value: [172.16.31.100]

[31] Calling-Station-ID - value: [08:00:27:DA:EF:AD]

[49] Acct-Terminate-Cause - value: [Admin Reset]

[55] Event-Timestamp - value: [1432457729]

[80] Message-Authenticator - value:

[00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00]

[26] cisco-av-pair - value: [audit-session-id=ac10206400021000555b9d36],

RadiusClientHandler.cpp:47

ise.psc會傳送類似以下內容的通知：

INFO   [admin-http-pool51][] cisco.cpm.eps.prrt.PrrtManager -:::::- PrrtManager

disconnect session=Session CallingStationID=192.168.10.21 FramedIPAddress=172.16.50.50

AuditSessionID=ac10206400021000555b9d36 UserName=cisco PDPIPAddress=172.16.31.202

NASIPAddress=172.16.31.100 NASPortID=null option=PortDefault

導航到Operations > Authentication時，它應顯示Dynamic Authorization succeeded。

VPN會話已斷開

終端使用者傳送通知以指示會話已斷開（對於802.1x/MAB/訪客有線/無線，此過程是透明的）：

Cisco AnyConnect日誌中的詳細資訊顯示：

10:48:05 AM Establishing VPN...

10:48:05 AM Connected to 172.16.31.100.

10:48:20 AM Disconnect in progress, please wait...

10:51:20 AM The secure gateway has terminated the VPN connection.

The following message was received from the secure gateway: COA initiated

有限訪問的VPN會話（隔離）

由於always-on VPN已配置，因此會立即構建新會話。這一次，ISE ASA-VPN_quarantine規則被命中，該規則提供有限的網路訪問：

附註：DACL是在單獨的RADIUS請求中下載。

在ASA上，可以使用show vpn-sessiondb detail anyconnect CLI命令驗證具有受限訪問許可權的會話：

asav# show vpn-sessiondb detail anyconnect

Session Type: AnyConnect Detailed

Username     : cisco                  Index        : 39

Assigned IP  : 172.16.50.50           Public IP    : 192.168.10.21

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 11436                  Bytes Rx     : 4084

Pkts Tx      : 8                      Pkts Rx      : 36

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Group Policy : POLICY                 Tunnel Group : SSLVPN-FIRESIGHT

Login Time   : 03:43:36 UTC Wed May 20 2015

Duration     : 0h:00m:10s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : ac10206400027000555c02e8

Security Grp : none

......

DTLS-Tunnel:

<some output ommited for clarity>

Filter Name  : #ACSACL#-IP-DENY_ALL_QUARANTINE-5561da76

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

FireSight（防禦中心）

ISE補救指令碼位於以下位置：

root@Defence:/var/sf/remediations/ISE_1.3.19# ls

_lib_  ise-instance  ise-test.pl  ise.pl  module.template

這是一個使用標準SourceFire(SF)日誌記錄子系統的簡單perl指令碼。執行補救後，可以通過/var/log/messages確認結果：

May 24 19:30:13 Defence SF-IMS[2414]: ise.pl:SourceIP-Remediation [INFO] [2414]

quar_ip:172.16.50.50 (1->3 sid:1) Starting remediation

May 24 19:30:13 Defence SF-IMS[2414]: ise.pl:SourceIP-Remediation [INFO] [2414]

quar_ip:172.16.50.50 (1->3 sid:1) 172.16.31.202 - Success 200 OK - Quarantined

172.16.50.50 as admin

ISE

在ISE上啟用自適應網路控制服務非常重要。要檢視運行時進程(prrt-management.log和prrt-server.log)中的詳細日誌，必須為運行時AAA啟用DEBUG級別。導覽至Administration > System > Logging > Debug Log Configuration以啟用調試。

您還可以導航到操作>報告>端點和使用者>自適應網路控制稽核，以檢視隔離請求每次嘗試和結果的資訊：

錯誤

請參閱Cisco錯誤ID CSCuu41058（ISE 1.4終端隔離不一致和VPN故障）以瞭解與VPN會話故障（802.1x/MAB工作正常）相關的ISE錯誤資訊。

相關資訊

- 為TrustSec感知服務配置WSA與ISE整合

- ISE 1.3版pxGrid與IPS pxLog應用的整合

- 思科身份服務引擎管理員指南，版本1.4 — 設定自適應網路控制

- 思科身份服務引擎API參考指南，版本1.2 — 外部REST風格服務API簡介

- 思科身份服務引擎API參考指南，版本1.2 — 監控REST API簡介

- 思科身份服務引擎管理員指南，版本1.3

- 技術支援與檔案 - Cisco Systems