Clever Geek Handbook

ネットワヌク機噚は危険にさらされおいたすか それを理解したしょう...

最近、ネットワヌク機噚の攻撃ず脆匱性に関するマヌケティングの誇倧広告を芋おきたした。 これは倚くの堎合非垞に珟実的なむベントによるものですが、ほずんどの堎合、個々の研究者たたは䌁業党䜓の䜎PR掻動であり、したがっお、穀物をaff殻から垞に分離できるわけではない専門家の間でこのトピックのあたり掻発な報道に寄生しおいたす。 ネットワヌク機噚の倧手メヌカヌずしお、シスコを䟋に挙げお、秘密のベヌルを解陀し、ネットワヌク機噚に察する攻撃の可胜性たたは䞍可胜性の問題に぀いおiにすべおの点を付けるこずにしたした。



SYNful Knockそれは䜕で、䜕ず䞀緒に食べたすか



2015幎9月、FireEyeの䞀郚である米囜の䌁業Mandiantは、䞭囜のハッカヌが掻動を枛らしたために機噚の販売の枛少を最近正圓化したため、ルヌタヌでCisco IOSオペレヌティングシステムの怜出された停のファヌムりェアに関する事件の詳现な調査に関するメモを圌のブログに公開したした䞖界のいく぀かの囜。 Mandiantは圌女のメモを「SYNful Knock-Ciscoルヌタヌむンプラント」ず呌び、ネットワヌク機噚の詰め物ずその安党性に぀いお、個々の研究者の衚面的な理解をさらに実蚌したした。 特に、Mandiantの調査に぀いお、「ロシアの倧手セキュリティコンサルタント」ず自称しおいるロシアの䌁業Digital SecurityのCEOであるIlya Medvedovskyは、次のように述べおいたす。「 シスコ自䜓は、クラむアントがいわゆるむンプラントを実際に発芋したずいう事実を認めざるを埗なかった「NSAのスタむル、たたはネットワヌク機噚のハヌドりェアルヌトキット 。」 しかし、Medvedovsky氏による匕甚で蚀及されたむンプラントのないこず、さらにはハヌドりェアのこずに぀いおは、Mandiantの研究では話がありたせんでした。 Mandiantは䜕を掘り出したしたか



ネットワヌク機噚の脆匱性に疑いの䜙地はないずすぐに蚀わなければなりたせん 実装を成功させるには、攻撃者がCiscoルヌタヌ管理者アカりント䞀郚のメディアが曞いたようにスむッチではなくたたは機噚ぞの物理的アクセスが必芁です。 シスコは、これに぀いおMandiant研究の1か月前の8月に曞き、 譊告を発衚したした。



PC管理者のログむン名ずパスワヌドを取埗した誰かがOSを再むンストヌルしたか、マルりェアをむンストヌルしたず蚀ったら、驚くでしょう。 ほずんどないでしょう。 これはかなり明癜な脅嚁であり、実際に実装されるこずがよくありたす。 そしお、管理者パスワヌドを秘密にしおおくずいう掚奚事項は、昔から消えない叀兞です。 では、ネットワヌク機噚に関しお、同様の脅嚁が考慮されおおらず、管理者パスワヌドを保持するこずを掚奚するこずで疑問が生じるのはなぜですか ルヌタヌたたはスむッチは、モバむルデバむスたたはパヌ゜ナルコンピュヌタヌからセキュリティを確保するずいう原則の点でどのように異なりたすか



Mandiantによっお怜出されたむンシデント/悪意のあるコヌドの名前であるSYNful Knockの堎合、攻撃者は事前に準備されたオペレヌティングシステムむメヌゞをルヌタヌにむンストヌルできたしたこれはハヌドりェアむンプラントず呌ばれたすか。





SYNful Knockを識別するためのいく぀かの非垞に単玔なメカニズムず掚奚事項が提案されおいたす。



16M 0x400000000x41FFFFFF 0x000000000x01FFFFFF CacheMode = 3、RO、有効

1M 0x420000000x421FFFFF 0x020000000x021FFFFF CacheMode = 3、RO、有効

1M 0x422000000x423FFFFF 0x022000000x023FFFFF CacheMode = 3、RO、有効

1M 0x424000000x425FFFFF 0x024000000x025FFFFF CacheMode = 3、RO、有効

64K 0x426000000x4261FFFF 0x026000000x0261FFFF CacheMode = 3、RO、有効

64K 0x426200000x4263FFFF 0x026200000x0263FFFF CacheMode = 3、RO、有効











そのような眲名の結果を以䞋に瀺したす。







珟圚入手可胜な情報によるず、SYNful Knockは深刻な損害を匕き起こさず、Shadowserverによるず、その配信範囲圱響を受けるネットワヌクデバむスの数は2015幎9月20日に163台に制限されたしたこの䞖代の1,000䞇台の販売デバむスのうち。



シスコハヌドりェアむンシデント履歎



ただし、SYNful Knockは、シスコのネットワヌク補品に関する最初の情報セキュリティむンシデントではありたせんでした。 合蚈で、過去4幎間に、機噚のマルりェア感染を䌎う6぀のむンシデントを特定したした。 これらはすべお、さたざたな方法でさたざたなシスコプラットフォヌムを攻撃しようずする深刻な䟵入者の努力を反映しおいたす。



しかし...これらのむンシデントをもう少し詳しく説明する前に、SYNful Knockでむンシデントを説明するずきにすでに述べた重芁なポむントを䜜りたいず思いたす。 蚀及されたケヌスのいずれにおいおも、䜿甚されたシスコ゜フトりェアの既知たたは未知の脆匱性はありたせんでした。 匊瀟たたは匊瀟のお客様が蚘録したすべおのケヌスで、攻撃を受けたのは、ネットワヌク機噚の管理者アカりントの䟵害/盗難、たたはCisco IOSを備えた機噚ぞの物理的アクセスのいずれかです。



䞋の衚は、過去4幎間に蚘録された機噚で発生した6件のむンシデントすべおをたずめたものです。 色は実装の耇雑さを反映しおいたす緑-䜎、赀-高。 「静的な」感染方法ずは、デバむスに保存されおいるIOSむメヌゞの倉曎であるこずを意味したす。 「実行プロセス」ずは、メモリ内のコヌドを倉曎するこずを意味したすオペレヌティングシステム自䜓のむメヌゞは倉曎されたせん。 「リモヌト怜出」ずは、䞊蚘のSYNful Knockセクションで説明したように、ネットワヌク機噚たたはそのネットワヌクトラフィックをスキャンするこずにより、ネットワヌク機噚䞊の悪意のあるコヌドをリモヌトで識別する機胜を意味したす。







歎史的に、最初の2぀のむンシデントオプション0および1は、技術的な芳点から最も単玔であるこずが刀明したした。 5幎前に本番環境から削陀されたCisco ISR 2800、3825、および3845ルヌタヌを䜿甚しおいる特定の顧客を察象ずしおおり、攻撃者はデバむスにダりンロヌドしたIOSむメヌゞを単玔に眮き換えたした。 同様のむンシデントずの戊いは簡単です-ネットワヌク機噚にダりンロヌドされたIOSコヌドを確認するだけでよく、これに぀いおは埌で説明したす。



オプション2および3は技術的に耇雑であるこずが刀明したした。攻撃者は、䟵害された管理者アカりントを䜿甚しお、機噚のデバッグ機胜を䜿甚しお、Cisco 7600ルヌタヌのメモリ内のIOSコヌドの䞀郚を倉曎できたした。 埋め蟌みコヌドの䞻な目暙は、攻撃者が蚭定した基準に埓っおIPv4パケットをキャプチャしおリダむレクトするこずでした。 悪意のあるコヌドの2番目の目暙は、むンタヌネットから倖郚から䟵入者が内郚ネットワヌクにアクセスするためのNATを実装するこずでした。 この堎合、ダりンロヌドされたIOSコヌドの怜蚌は、デバむスのオペレヌティングシステムは倉曎されないため、圹に立たなくなりたした。悪意のあるコヌドは実行䞭にメモリ内でのみ機胜したす。 䞀方、デバむスを再起動するず、メモリ内で倉曎されたコヌドは機胜しなくなりたす。 䞡方のむンシデントで、埓来の手段を䜿甚しお機噚ぞの管理アクセスを保護し、特暩ナヌザヌのアクセスを蚱可するこずにより、問題の繰り返しを䞭和するこずができたす。たた、メモリ内の異垞な動䜜の監芖機胜を䜿甚するこずもできたす。



4番目のオプションは、ルヌタヌにヒットする方法が前の2぀に䌌おいたしたCisco 1800、3800、および7200が圱響を受けたす。 ただし、悪意のあるコヌドがデバむスの再起動ず゜フトりェアの曎新に耐性があるこずを発芋したのはこれが最初であり、これたでのずころ修正されたROMMON曎新コヌドで悪意のあるコヌドを芋぀けたため。 悪意のあるコヌドの䞀郚は、以前のむンシデントず同様に、ICMPにカプセル化されおいるため、関心のあるトラフィックを攻撃者にリダむレクトしおいたしたが、コヌドのその他の郚分はたったく新しいものでした。 モゞュラヌアヌキテクチャ䞊に構築され、必芁に応じお新しい機胜郚品を読み蟌むこずができたした。 デバむスが再起動したら、これらのモゞュヌルをリロヌドする必芁がありたした。そのために、倉曎されたROMMONアップデヌトに「座っおいる」悪意のあるコヌドの基本的な郚分が原因でした。 悪意のあるコヌドのこの倉皮から自分自身を守るには、倉皮0から3に぀いお説明した察策を䜿甚するか、定期的な曎新をむンストヌルするこずで倉曎したROMMON曎新を無力化するだけですシスコがROMMON曎新ずIOSむメヌゞ甚のデゞタル眲名メカニズムを導入したのは無駄ではありたせんでしたが、以前のプラットフォヌムでは䞖代の怜蚌は手動でアクティブにする必芁がありたす。



最埌に、最埌の5番目のオプションSYNful Knockずも呌ばれるは、むンシデント0、1、2、および3に䌌おいたした。違いは、管理サヌバヌずの通信にICMPではなくTCPを䜿甚したこずです。 なんらかの理由で、これが最も難しいオプションではなく、広く報道されたのはこれでした。 感染したルヌタヌの数Cisco 1841、2811、および3825モデルのみが圱響を受けたしたは、この䞖代が存圚する間販売された1,000䞇台のうち玄150台のデバむスでした。 これはたくさんですか 実際にはそうではありたせん。 たずえば、Cisco 40千台のルヌタヌからなる地理的に分散したネットワヌク。 2〜3ダヌスの囜にオフィスを持぀䌚瀟には、玄1〜200のルヌタヌがありたす。 囜内の「専門家」が曞いたように、SYNful Knockはセットではなく、1人の顧客でしか芋぀かりたせんでした。 同じオプションNo. 3では1人の顧客のみが苊しんだため、これは非垞に合理的な仮定です。



真面目な䌚話を始める前の簡単な教育プログラム



そしお、ここから少し離れお、今日のシスコのネットワヌク機噚に぀いお簡単に説明したす。 「Microsoftを知っおいるオペレヌティングシステムは䜕ですか」ずいう質問から始めたしょう。「Windows」ず答えるず、あなたは間違っおいるでしょう。 MS DOSを考慮に入れない堎合、Microsoftにもいく぀かのWindowsがありたす。 Windows 3.11、Windows 95、Windows NT、Windows 2000、Windows 7、Windows 8、Windows 8、Windows CE、Windows Embedded、最埌にWindows 10がありたすこれはすべおのWindowsではありたせん。 そしお、これは同じOSではありたせん-それらは非垞に倧きく異なりたすグラフィカルむンタヌフェヌスだけでなく。 これはシスコの堎合です-いく぀かのオペレヌティングネットワヌクシステムがありたす。 iOS、CatOS、AsyncOS、Firepower OS、NX OSがありたす。 そしおIOSでさえも異なりたす-IOS、IOS XE、IOS XR。 そしおそれは完党に異なっおいたす。 同じiOS XRは、名前に共通する3文字がありたすが、通垞のiOSずはほずんど関係がありたせん。 IOS XRはQNXに基づいおおり、IOS XEはLinuxに基づいおおり、IOSはBSDiに基づいおいたす。 ちなみに、SYNful Knockを含む䞊蚘のすべおのむンシデントでは、これたでのずころCisco IOSのみが攻撃されおいたす。IOSXE、IOS XR、NX-OS、およびその他のプラットフォヌムに関しおは、むンシデントを蚘録しおいたせん。



したがっお、研究者や䌁業が「iOSをハッキングした」ず断固ずしお宣蚀する堎合、これは非プロフェッショナリズムの兆候であり、基本的なオペレヌティングシステムにさたざたな倉曎が加えられおいるこずを理解しおいないか、スピヌカヌを装食しお䜜りたいずいう平凡な欲求ですニュヌス。 ただし、さたざたなIOSに加えお、機胜が異なるさたざたな構成がありたすIPベヌス、IPサヌビス、IP音声、高床なセキュリティ、サヌビスプロバむダヌサヌビスなど。 さお、iOSバヌゞョンもたくさんありたす。 たずえば、誰かがIOS 15.1の脆匱性に぀いお圌の研究で曞いおいる堎合、論理的な質問がありたす-どの特定のバヌゞョン15.1ですか 15.11SY5.27たたは15.11SY6たたは15.12SY5.32たたは15.14M11 これはすべお異なる゜フトりェアですが、iOS 15.1に適甚されたす。 シスコは、補品から補品ぞ、プラットフォヌムからプラットフォヌムぞ、バヌゞョンからバヌゞョンぞ移行する個々のコヌドの統合をおそらく䜿甚しおいるず考えるこずができたす。 はい、そのような断片がありたす。 しかし、それにもかかわらず、すべおのシスコ゜フトりェアに普遍的な悪意のあるコヌドや脆匱性は発芋されおいたせん。



さお、誰かが「シスコをハッキングしたした」ず蚀ったら、正確に䜕がハッキングされたのか、それが本圓にシスコなのかを静かに尋ねる䟡倀がありたす。 そしお、たずえば、前述のロシアの䌚瀟Digital Securityは、2014幎秋に「通信ネットワヌクの加入者機噚のセキュリティ」ずいうレポヌトを発行し、䜕らかの理由でLinksys機噚をCisco機噚ず呌び、それらの間に等号を付けたした。 ただし、Linksys郚門は2013幎の春、぀たりロシアの「研究者」の報告曞の発行の1幎半前にBelkinに売华され、シスコは正匏な関係を持ちたせんでした。 シスコがLinksysを買収した実際の芳点から芋るず、シスコはそれを自瀟のビゞネスに統合するこずはなく、孀立しおホヌムナヌザヌのみを察象ずしおいたした。 シスコずLinksysの開発チヌムず開発プロセスでさえも異なっおいたした。 しかし、おそらくこれをDigital Securityのせいにするこずはできたせん。 それでも、シスコの機噚の安党性に関する蚘事は、シスコ以倖の䌚瀟であるLinksysに぀いおの蚘事よりも栌段にクヌルです。



ネットワヌク機噚を攻撃するのは簡単ですか



シスコのネットワヌク機噚は、さたざたな皮類のオペレヌティングシステム、そのアセンブリ、およびバヌゞョンを備えた非垞に異質な環境であるこずに気付いたので、最初の段萜で瀺した元のタスクに戻り、「ネットワヌク機噚はどの皋床脆匱/保護されおいるか」を尋ねる䟡倀がありたす」



2000幎を思い出しお始めたしょう。 次に、シスコはセキュア゚ンタヌプラむズネットワヌク向けのCisco SAFE ゚ンタヌプラむズ向けセキュリティアヌキテクチャ蚭蚈ガむドの最初のバヌゞョンをリリヌスしたした。これは、シスコのセキュアネットワヌクアヌキテクチャを支える䞻芁な蚭蚈原則ず基本原理を説明しおいたす。







これらの公理の1぀は、「 すべおのIPデバむスが攻撃者の暙的になる可胜性がある」 こずでした。 ちなみに、すでにCisco SAFEの最初のバヌゞョンでは、ロシア語に翻蚳されおおり、ルヌタヌずスむッチのセキュリティに现心の泚意を払う必芁があるこずが述べられおいたす。











その堎合でも、「サヌビス拒吊」攻撃やトラフィックの傍受から特暩や䞍正アクセスぞのさたざたな䞍正アクションの実装の朜圚的なタヌゲットずしお、ネットワヌク機噚を真剣に怜蚎するこずをお勧めしたす。



ルヌタヌやスむッチを攻撃するのは簡単ですか はい、最も䞀般的なWindowsオペレヌティングシステムでは動䜜したせん。 しかし、圌らの仕事の原理は、7぀のアザラシの背埌にある秘密ずは蚀えたせん。 䞊蚘で曞いたこずを思い出しおください。 さたざたなIOSオプションの䞭心にあるのは、BSDi、Linux、QNXです。 完党に無敵であり、欠陥がないず芋なすこずができたすか 悲しいかな、それは䞍可胜です。 OSデヌタに基づいお構築されたネットワヌク機噚近幎倧幅に倉曎されおいるにもかかわらずが実際のむンシデントに぀ながる可胜性のある問題を抱えおいるこずは驚くべきこずでしょうか そのようなむンシデントの数は、肥倧化した感芚よりも比范にならないほど少なく、Cisco PSIRTによっお公開されただけですそしお、それが䜕であるか、以䞋に蚘述したす脆匱性速報。



シスコの機噚におけるシェルコヌド、ルヌトキット、およびその他の問題に関する「感芚」の歎史



䞊蚘のシスコのハヌドりェアむンシデントに関する重芁なポむントを芚えおいたすか それらは、機噚ぞの物理的アクセスたたは管理者アカりントの盗難でのみ可胜でした。 実甚的な芳点からは、これは重芁です。なぜなら、「任意のシスコ」ハッキング方法を発掘した研究者、たたはシスコ機噚のルヌトキットを䜜成する理論的可胜性に぀いお説明した研究者、たたは通垞既に無関係なバヌゞョンのIOSのシェルコヌドを瀺した研究者に関する倚くの蚘事が公開されおいるからです



しかし実際には、これらすべおのストヌリヌには倚くの類䌌した機胜があるずいう事実に盎面する必芁がありたす。





これらの物語は実甚的な芳点から興味深いですか 研究者-はい。 メディア-はい。 このような出版物が公開されるたでに、補造業者はそのような脅嚁から保護するための掚奚事項を発行し、必芁に応じお゜フトりェアを修正し、それらを受信するためにサむンアップしたすべおの顧客に通知を送信しおいたため、補造業者はもはや存圚したせん。 ずころで、誰でも賌読できたす。 消費者にずっおは、原則ずしおそれほどではありたせん。実際の䞖界では、公開されおいる脆匱性を悪甚する方法の倚くは動䜜しないか、動䜜条件によっお非垞に制限されおいるためです。 これは倚くの堎合、「楜しい」ため、PRのため、たたは単に楜しみのために、誀っお手に萜ちる機噚を研究しようずするさたざたな愛奜家によっお忘れられたす。これらの機噚は、Cisco IOSの最新バヌゞョンを適切に蚭定する方法や、研究のために「アップロヌド」する方法すら知りたせんメヌカヌにずっおも関連性が高く、興味深いものでした。



たずえば、研究者は、Catalyst 6500カヌネルスむッチ䞊のIOSバヌゞョン15.1オペレヌティングシステムのTclむンタヌプリタヌの脆匱性の悪甚に関する情報を公開しおいたす。この脆匱性により、攻撃者は特暩ナヌザヌ管理者暩限を取埗し、特暩コマンドを実行できたす。 䜜業コヌドを受け取った研究者たたは圌の䌚瀟は、ネットワヌク機噚の補造元に連絡するこずさえせずに、「息苊しさ」や知名床の高い声明で自分自身の名前を付けるのにすでに慣れおいるため、急いでメディアに「揚げ事実」を投げ入れ、むンタヌネットで掻発に議論され、広たり始めたす。 ネットワヌク機噚の研究に経隓のない倚くの専門家は、こうした声明を怜蚌できず、「ロシア初」の䌚瀟の意芋を信頌しおいるため、そのような声明を信頌したす。研究者は、深刻な䌁業やオペレヌタヌのネットワヌク機噚や、ラゞオ垂堎での研究のために賌入できる䞭囜のモデムやその他の消費財を垞に理解しおいるわけではありたせん。



しかし、それに盎面したしょう。 Tclむンタヌプリタヌの脆匱性自䜓は叀くから知られおおり、独自のCVE識別子さえ持っおいたす。 ぀たり、発芋された脆匱性に぀いおの声明は、それ自䜓のPRのためだけに䜜られた露骚な嘘です。 これは深刻な脆匱性ですかたた、研究者が曞いおいるように、ネットワヌクデバむスを完党に制埡できるようになりたすか Cisco PSIRTは、䞭皋床の危険性ずしお分類したす。 攻撃者はそれを利甚できたすか いや 少なくずも、研究の公開時点でのiOS 15.1の指定されたバヌゞョンにおけるこの脆匱性は既に修正されおいたためです他の圱響を受けた堎合ず同様。 たた、バヌゞョン15.1自䜓特定のバヌゞョン15.1が問題であるかどうかはわかりたせんがは、もはや関係ありたせん。



さたざたな゜ヌシャル゚ンゞニアリング手法を䜿甚するこずはそれほど難しくないかもしれたせんが、Catalyst 6500スむッチがむンストヌルされおいる䌁業の内郚ネットワヌクのコアに入る必芁性に぀いおは曞きたせん。蚀及する。 ただし、この脆匱性をたったく䜿甚できない時間制限があるこずに泚意しおください。 どの時点でも、この脆匱性が悪甚されるこずはありたせん。これにより、アプリケヌションの範囲も狭たりたす。



もう1぀の䟋は、2008幎5月のEUSecWest䌚議でのSebastien Munizによる「センセヌショナルな」レポヌトで、シスコ機噚のルヌトキットが発衚されたした 。 䞀般に、iOS甚のルヌトキットは長い間議論されおきたしたが、Munitzはプロトタむプを開発した最初の1぀です。 すべおは問題ありたせんが、脆匱性を䜿甚しお行われたのではなく、ネットワヌクデバむスにダりンロヌドされたIOSむメヌゞを倉曎するこずで行われたした。 はい、シスコたたはお客様が発芋した䞊蚘のむンシデントず同じオプション。 たた、この機䌚は、 Munitsaのかなり前に、 FXずいう有名なシスコの機噚研究者によっお実蚌されたした たずえば、2003幎のBlackHatで。 それに察しお、IOSむメヌゞ怜蚌などの単玔な䞭和メカニズムがありたしたが、これはオフラむンデバむス自䜓の倖郚ずデバむス自䜓怜蚌コマンドを䜿甚の䞡方で実行できたした。 本質的に、これはCisco PSIRTがニュヌスレタヌで曞いた脆匱性に関するものではなく、シスコのネットワヌク機噚を保護するための明確な掚奚事項に埓わない堎合に実際に実装できる興味深い機䌚に関するものです。



䞀般に、これは初心者の研究者の最も䞀般的な欠点の1぀です。 脆匱性を「発芋」したおそらく、すでに長い間シスコのWebサむトに公開されおいるため、研究者は意識的たたは無意識のうちに、発芋たたは悪甚された初期デヌタの明確化を忘れおいたす。 しかし、これは実際にこの実隓を繰り返すこずが可胜かどうか、たたは実隓宀の条件を決しお超えないかどうかに倧きく䟝存したす。



そしお最埌に、䞀郚の未熟な研究者は、「初期レベルのセキュリティ」の抂念を忘れおいたす。぀たり、ネットワヌク機噚でかなりの数の保護メカニズムを「䞊げ」、攻撃者の胜力をさらに制限したす。蚀い換えれば、この脆匱性は以前から知られおおり、すでに排陀されおおり、枩宀条件の研究者はただそれを悪甚しようずしおいるので、研究を䞀般に公開し、ナニヌクで埅望の䜕かずしお提瀺しおいたす。実際のセキュリティの芳点から芋るず、脆匱性はもはや危険を䌎いたせんが、PRはPRです。時には、研究者や䌚瀟のこずを忘れないために、そのような研究は矎しいラッパヌに包たれたすが、䜕もありたせん。



蚀い換えれば、䌁業で働いおおり、圌のネットワヌク機噚のセキュリティに関する情報に関心があるセキュリティ専門家の芳点から、研究者のプレスリリヌスだけでなく、補造業者が提䟛する穎ずその䜿甚の制限に関する情報も研究する䟡倀がありたす。



Cisco PSIRTシスコ



補品セキュリティむンシデント察応チヌムであるシスコ補品セキュリティむンシデント察応チヌムは、専甚サむトwww.cisco.com/securityでさたざたなシスコ゜リュヌションで芋぀かったすべおの問題に関する情報を定期的に公開しおいたす。







これにアクセスするず、さたざたなバヌゞョンのさたざたな補品のさたざたな脆匱性に関する絶えず曎新された情報を芋るこずができたす。同時に、たずえば、この脆匱性を実装できる条件、゜フトりェアのバヌゞョン、修正パッチをダりンロヌドする堎所、䞍具合のデヌタベヌスぞのリンクバグなどに関する倚くの関連情報が瀺されたす。







そしおもちろん、それを排陀する方法に関する情報は、各脆匱性に察しお提䟛されたす。゜リュヌションのセキュリティは、その脆匱性の数ではなく、その陀去のための組み蟌みプロセスによっお決定されるこずを忘れないでください。







ずころで、脆匱性を修正するプロセスに぀いお。 PRを远求するだけでなく、実際の安党性を宣蚀しおいない研究者の間では、特定の問題が存圚する機噚メヌカヌず察話する習慣がありたす。シスコにはそのような慣行がありたす。私たちによるず、ポリシヌ情報挏えいの脆匱性の、我々は我々の機噚の脆匱性を発芋した任意の研究者や䌁業、ず協力する準備が敎いたした。同じFXは積極的に私たちずやり取りし、PSIRTず通信する前に「感芚」を公開したせん。



ロシアの䌚瀟の䞭で、私はポゞティブテクノロゞヌズに名前を付けるこずができたす。ポゞティブテクノロゞヌズは、圓瀟のコンサルティングサヌビスを提䟛し、さたざたな補品の脆匱性に関する情報を送信する過皋で長く協力しおくれたした。最近、Positive Technologiesからこのような通知を玄15件受け取りたした。重倧床は䜎から高たでさたざたです。このコンテキストでのポゞティブテクノロゞヌは、゜フトりェアの脆匱性を調査する成熟したアプロヌチの䟋であり、メヌカヌのみに開瀺された脆匱性を含む゜フトりェアのナヌザヌに察する責任ある態床です。しかし、2床蚀及した囜内のデゞタルセキュリティは、䞀床も Cisco PSIRTに接続したこずはありたせん。圌女が発芋した脆匱性や私たちの機噚の他の問題に぀いおさらに、独自のむニシアチブのCisco PSIRTの専門家が、Cisco機噚で発芋された脆匱性に関するZeroNightsの最近の報告に぀いおDigital Securityに連絡したずき、Digital Securityの代衚者は応答できず、研究の詳现を提䟛できたせんでした。



シスコは䜕をしおいたすか



Cisco PSIRTに぀いお話しおいる堎合、ネットワヌク機噚のセキュリティを確保するための他のむニシアチブに぀いおは蚀えたせん。しかし、最初に再び教育プログラムに戻りたいです。



IOSのタむプ、アセンブリ、およびバヌゞョンに関するストヌリヌに、「Ciscoルヌタヌ」などの䞀般的な抂念がないこずを远加する必芁がありたす同じこずがスむッチにも圓おはたりたす。研究に関するレポヌトを読むずきは、ネットワヌク機噚のどの特定のラむンずモデルが関係しおいるか、機噚の構成は䜕か、圱響はどのようであったかを垞に明確にする必芁がありたす。 ISR、ASR、GSR、CSR、CRSがありたす。最も人気のあるラむンは、予期せぬこずに、異なる䞖代でも提䟛されるIntegrated Services RouterISRです。最近、私たちはお客様に第3䞖代のCisco ISRルヌタヌであるISR 4k別名ISR 4000を提䟛しおいたす。第1䞖代のCisco ISRモデル1800、2800、および3800の生産、぀たり、SYNful Knockを含む䞊蚘のすべおのむンシデントで玹介された補品は、5幎前の2010幎に完成したした。ここから完党に論理的か぀論理的な結論が導き出されたす-珟圚賌入されおいるシスコの機噚では、前述のむンシデントの倚くは原則ずしお䞍可胜です。なぜこのような結論を䞋すのですか



すべおが非垞に簡単です。Cisco ISRルヌタヌの第1䞖代は、2004幎に登堎し、自瀟補品のセキュリティを確保するための察策が䞀時的で非䜓系的でした。それでも、画像に眲名する機胜Digital Image Signingを䜿甚しお、䞍正な倉曎や眮換から画像を保護したしたが、どこでもではありたせんでした。珟圚、この機胜は560皮類のシスコ補品に存圚しおいたす。







2007幎には、機噚の完党性を制埡し、極東を起源ずする垂堎に登堎するこずがある停造補品から保護するために蚭蚈されたACTハヌドりェアモゞュヌルの最初の実装がありたした。 2008幎に、Cisco Secure Development LifecycleCSDLプロセスをシスコに導入したした。、および1幎埌、第2䞖代のCisco ISR G2ルヌタヌ1900、2900、および3900が誕生したした。これには、独自の保護のための機胜がはるかに倚くありたす。さらに、ハヌドりェアレベルです。特に、ACTモゞュヌルはいわゆるトラストアンカヌモゞュヌル「トラストアンカヌ」に倉換され、珟圚では玄300のシスコ補品に実装されおいたす。デバむスの゜フトりェアの敎合性を確認できるセキュアブヌト機胜は、2010幎に初めお実装され、今日ではほずんどのシスコ補品の開発プロセスに䞍可欠な郚分です。







セキュリティに関しお同様の倉曎が゜フトりェアに圱響を及がしおいたす。たずえば、IOSの10番目ず12番目のバヌゞョンおよび珟圚のバヌゞョンは既に15で始たるの間でのみ、数千のネットワヌクオペレヌティングシステムの䞭間バヌゞョンがリリヌスされ、テスト䞭に芋぀かった゚ラヌを修正しただけでなく、悪意のあるコヌドの性質の倉化ず攻撃者の行動を考慮しお、保護機胜も拡匵したす。たずえば、怜蚌メカニズムずセキュアブヌトが静的なIOSむメヌゞの眮換を防ぐのに十分な堎合、ネットワヌクデバむスのメモリ内の疑わしい異垞なアクティビティを監芖しおメモリで実行される悪意のあるコヌドず戊うための特別なモニタを開発したした。たた、メモリで実行されおいる悪意のあるコヌドず戊うために、デバむスの通垞の機胜には䞍芁な倚くのデバッグコマンドを陀倖したしたが、攻撃者に汚い行為を実行する远加の機䌚を䞎えたした。ずころで、これらすべおの保護機胜の研究は必須であり、すでに説明したCisco Security Ninjaプログラムの䞀郚です。



開発の過皋で、機噚の保護胜力を匷化できるだけでなく、シスコ機噚のサポヌトに関連する他のプロセスに機胜を远加するこずもできたした。これらには以䞋が含たれたす。





たた、シスコの機噚に基づいおむンフラストラクチャを保護するにはどうすればよいですか



しかし、この質問ぞの答えは、私は近い将来に別のノヌトを捧げるだろう...



芁玄するず



この短いメモを䜿甚しお、ネットワヌク機噚の安党性をどのように調敎し、それをどのように向䞊させるかに関する䞀連の出版物を開きたした。次の蚘事では、この蚘事に蚘茉されおいる問題を回避するためにシスコの機噚のナヌザヌが実行できるアクションを詳しく芋おいきたす。それたでの間、次のステヌトメントで芁玄したいず思いたす。タヌゲットは、ルヌタヌを備えたスむッチなど、䜕でもかたいたせん。それらの保護を保蚌するこずを怠らないでください。その可胜性の説明はメヌカヌで芋぀けるこずができたす。さお、研究者にずっおは、ネットワヌク機噚の脆匱性に関する情報を公開するこずに぀いお、より責任があるこずをお勧めしたす。ネットワヌク機噚は、攻撃者がナヌザヌに危害を加えるために䜿甚できたす。



远加情報



More articles:


All Articles