Er is een mogelijke ontkenning-van-service aanval bij ISP's die netwerkapparaten herstelt.
User Datagram Protocol (UDP) diagnostische poortaanval: Een afzender geeft een volume van verzoeken voor UDP diagnostische diensten op de router over. Dit zorgt ervoor dat alle CPU-bronnen worden gebruikt om de nepverzoeken te bedienen.
Dit document beschrijft hoe de potentiële UDP diagnostische poortaanval optreedt en stelt de methoden voor om met Cisco IOS® software te gebruiken om zich ertegen te verdedigen.
Er zijn geen specifieke vereisten van toepassing op dit document.
Dit document is niet beperkt tot specifieke software- en hardware-versies. Sommige van de opdrachten die in dit document worden vermeld, zijn alleen beschikbaar vanaf Cisco IOS-softwarereleases 10.2(9), 10.3(7) en 11.0(2) en alle latere releases. Deze opdrachten zijn de standaardinstelling in Cisco IOS-softwarerelease 12.0 en hoger.
Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.
Standaard heeft de Cisco-router een reeks diagnostische poorten die zijn ingeschakeld voor bepaalde UDP- en TCP-services. Tot de diensten behoren echo, chargen en teruggooi. Wanneer een host aan deze poorten bevestigt, wordt een kleine hoeveelheid CPU-capaciteit gebruikt voor de service van deze verzoeken.
Als één enkel aanvallend apparaat een grote reeks verzoeken met verschillende, willekeurige, nepbron IP adressen verstuurt, is het mogelijk dat de Cisco router overweldigd wordt en vertraagt of mislukt.
De externe manifestatie van het probleem omvat een volledig foutbericht van de procestabel (%SYS-3 NOPROC) of een zeer hoog CPU-gebruik. Het exec commando show proces toont veel processen met dezelfde naam, zoals "UDP Echo".
Elk netwerkapparaat dat UDP en TCP diagnostische services heeft moet beschermd worden door een firewall of de services uitgeschakeld hebben. Voor een router van Cisco, kan dit worden verwezenlijkt door deze mondiale configuratieopdrachten te gebruiken.
no service udp-small-servers no service tcp-small-servers
Zie het Bijlage voor meer informatie over deze opdrachten. De opdrachten zijn beschikbaar vanaf 10.2(9), 10.3(7) en 11.0(2) van Cisco IOS-softwarereleases en alle latere releases. Deze opdrachten zijn de standaardinstelling in Cisco IOS-softwarerelease 12.0 en hoger.
Aangezien een primair mechanisme van denial-of-service aanvallen de generatie van verkeer is die uit willekeurige IP-adressen is voortgebracht, adviseert Cisco het filteren van verkeer dat voor het internet is bestemd. Het basisconcept is om pakketten met ongeldige bron-IP adressen weg te gooien wanneer zij het internet betreden. Dit verhindert niet de ontkenning-van-service aanval op uw netwerk. Maar het helpt de aangevallen partijen om je locatie als bron van de aanvaller uit te sluiten. Bovendien voorkomt het het gebruik van uw netwerk voor deze klasse van aanvallen.
Door pakketten te filteren op uw routers die uw netwerk met het internet verbinden, kunt u alleen pakketten met geldige bron-IP-adressen toestaan om uw netwerk te verlaten en op het internet te komen.
Als uw netwerk bijvoorbeeld uit netwerk 172.16.0.0 bestaat en uw router met uw ISP verbindt met behulp van een FDDI0/1 interface, kunt u de toegangslijst als volgt toepassen:
access-list 111 permit ip 172.16.0.0 0.0.255.255 any access-list 111 deny ip any any log ¹ interface Fddi 0/1 ip access-group 111 out
¹ De laatste regel van de toegangslijst bepaalt of er verkeer is met een ongeldig bronadres dat het internet binnenkomt. Dit helpt om de bron van de mogelijke aanvallen te vinden.
Voor ISPs die de dienst om netwerken te beëindigen verlenen, adviseert Cisco zeer de validatie van inkomende pakketten van uw cliënten. Dit kan worden bereikt door het gebruik van inkomende pakketfilters in uw grensrouters.
Bijvoorbeeld, als uw cliënten deze netwerknummers hebben die met uw router door een interface FDDI genaamd "FDDI 1/0" worden verbonden, kunt u deze toegangslijst maken.
The network numbers are 192.168.0.0 to 192.168.15.0, and 172.18.0.0 access-list 111 permit ip 192.168.0.0 0.0.15.255 any access-list 111 permit ip 172.18.0.0 0.0.255.255 any access-list 111 deny ip any any log interface Fddi 1/0 ip access-group 111 in
Opmerking: de laatste regel van de toegangslijst bepaalt of er verkeer is met een ongeldig bronadres dat op het internet komt. Dit helpt om de bron van de mogelijke aanval te vinden.
De kleine servers zijn servers (daemons, in UNIX-apparatuur) die in de router worden uitgevoerd en die nuttig zijn voor diagnostiek. Daarom staan ze standaard aan.
De opdrachten voor de kleine TCP- en UDP-servers zijn:
kleine serviceservers
Service-UDP-kleine servers
Als u niet wilt dat uw router om het even welke niet-routeringsservices biedt, schakelt u deze uit (zonder de vorige opdrachten).
De TCP kleine servers zijn:
Echo, kiest terug wat je typt. Typ de te zien opdracht telnet x.x.x echo.
Chargen genereert een stroom ASCII gegevens. Typ de opdracht telnet x.x.x.x om te zien.
Gooi weg wat je typt. Typ de terugweg van de opdrachttelefoon x.x.x.x om te zien.
Daytime-Retourensysteemdatum en -tijd, indien correct. Het is correct als u NTP gebruikt of de datum en de tijd handmatig van het uitvoerniveau hebt ingesteld. Typ het opdrachttelnet x.x.x dag om te zien.
De kleine UDP-servers zijn:
Echo — Hiermee selecteert u de lading van het datagram dat u stuurt.
Gooi het datagram stilletjes weg.
Chargen—Pitches het datagram dat u verstuurt en reageren met een 72-tekenstring van ASCII tekens die is afgesloten met een CR+LF.
Opmerking: Bijna alle UNIX-boxen ondersteunen de eerder genoemde kleine servers. De router biedt ook vingerservice en asynchrone lijnbootservice aan. Deze kunnen onafhankelijk worden uitgeschakeld met de configuratie global opdrachten zonder servicetekens en zonder IP bootp server.
Revisie | Publicatiedatum | Opmerkingen |
---|---|---|
1.0 |
02-Dec-2013 |
Eerste vrijgave |