Компания Cisco добавила новые функции безопасности, которые значительно снижают вероятность атак методом перебора и распыления паролей на Cisco ASA и Firepower Threat Defense (FTD), помогая защитить сеть от взлома и снизить нагрузку на ресурсы устройств.
Атаки методом распыления паролей и грубой силы похожи тем, что в обоих случаях пытаются получить несанкционированный доступ к учетной записи в Интернете путем угадывания пароля.
Однако при атаках с распылением паролей для обхода защиты пытаются одновременно использовать одни и те же пароли для нескольких учетных записей. В отличие от этого, атаки методом грубой силы неоднократно атакуют одну учетную запись, используя различные попытки подбора пароля.
В апреле компания Cisco сообщила о том, что злоумышленники проводят массированные атаки методом перебора на VPN-аккаунты на различных сетевых устройствах, включая устройства Cisco, Checkpoint, Fortinet, SonicWall, RD Web Services, Miktrotik, Draytek и Ubiquiti.
Cisco предупредила, что успешные атаки могут привести к несанкционированному доступу, блокировке учетных записей и отказу в обслуживании в зависимости от целевой среды.
Эти атаки позволили Cisco обнаружить и устранить уязвимость «отказ в обслуживании», отслеживаемую как CVE-2024-20481, которая истощала ресурсы устройств Cisco ASA и FTD при атаках такого типа.
После атак, произошедших в апреле, компания Cisco выпустила новые функции обнаружения угроз в Cisco ASA и Firewall Threat Defense (FTD), которые значительно снижают влияние атак методом перебора и распыления паролей.
Хотя эти функции были доступны для некоторых версий программного обеспечения с июня, они стали доступны для всех версий только в этом месяце.
К сожалению, в разговоре с некоторыми администраторами Cisco они не знали об этих новых функциях. Однако те, кто знал, сообщили о значительном успехе в борьбе с атаками перебора VPN, когда эти функции были включены.
«Это сработало так волшебно, что часовой показатель 500K отказов снизился до 170! за прошлую ночь!», - поделился один из администраторов Cisco на Reddit.
Эти новые функции являются частью службы обнаружения угроз и блокируют следующие типы атак:
В компании Cisco сообщили BleepingComputer, что атаки с инициацией клиента обычно проводятся с целью потребления ресурсов, что может привести к отказу в обслуживании устройства.
Чтобы включить эти новые функции, вы должны использовать поддерживаемую версию Cisco ASA и FTD, которые перечислены ниже:
Программное обеспечение ASA:
FTD Software:
Если вы используете поддерживаемую версию программного обеспечения, вы можете использовать следующие команды для включения новых функций.
Чтобы предотвратить попытки субъектов угроз подключиться к встроенным туннельным группам, которые обычно не предназначены для подключения, введите эту команду:
threat-detection service invalid-vpn-access
Чтобы предотвратить повторяющиеся попытки с одного и того же IP-адреса инициировать запрос аутентификации в службу RAVPN, но не завершить его, используйте эту команду:
threat-detection service remote-access-client-initiations hold-down <minutes> threshold <count>
Наконец, чтобы предотвратить повторные запросы аутентификации с одного и того же IP-адреса, используйте эту команду:
threat-detection service remote-access-authentication hold-down <minutes> threshold <count>
Для функций remote-access-client-initiations и remote-access-authentication переменные minutes и count имеют следующие определения:
Если IP-адреса делают слишком много запросов на подключение или аутентификацию в течение заданного периода, то Cisco ASA и программное обеспечение FTD будут отключать, или блокировать, IP-адрес на неопределенный срок, пока вы не удалите его вручную с помощью следующей команды:
no shun source_ip [ vlan vlan_id]
Администратор Cisco ASA поделился сценарием, который может автоматически удалять все запрещенные IP-адреса каждые семь дней на Reddit.
Пример полной конфигурации, предоставленной компанией Cisco, которая включает все три функции, приведен ниже:
служба обнаружения угроз invalid-vpn-access
служба обнаружения угроз remote-access-client-initiations hold-down 10 threshold 20
служба обнаружения угроз удаленный доступ-аутентификация сдерживание 10 порог 20
Администратор на Reddit также отметил, что в их среде защита от инициализации клиента вызывала несколько ложных срабатываний, но после возврата к значениям по умолчанию hold-down 10 и threshold 20 она стала работать лучше.
Когда BleepingComputer спросил, есть ли какие-либо недостатки в использовании этих функций при включенном RAVPN, они ответили, что это может сказаться на производительности.
«Ожидаемых «минусов» нет, но потенциальное влияние на производительность может быть при включении новых функций, исходя из существующей конфигурации устройства и нагрузки на трафик», - сообщили BleepingComputer в Cisco.
В целом, если вы подвергаетесь атакам угроз, которые пытаются взломать ваши VPN-аккаунты, настоятельно рекомендуется включить эти функции, чтобы смягчить последствия этих атак, поскольку взломанные учетные данные VPN обычно используются для взлома сетей для атак вымогателей.
Злоумышленники могут понизить уровень компонентов ядра Windows, чтобы обойти такие функции безопасности, как Driver Signature Enforcement, и развернуть руткиты на полностью исправленных системах.
Apple создала виртуальную исследовательскую среду, чтобы предоставить общественности доступ к тестированию безопасности своей системы Private Cloud Compute, и опубликовала исходный код некоторых «ключевых компонентов», чтобы помочь исследователям проанализировать функции конфиденциальности и безопасности в архитектуре.
Компания Amazon конфисковала домены, использовавшиеся российской хакерской группой APT29 в целевых атаках на правительственные и военные организации для кражи учетных данных и информации Windows с помощью вредоносных файлов подключения к протоколу удаленного рабочего стола.