Protección contra ataques a la red en MS-MPC y MS-MIC
Descripción de IDS en una MS-MPC
- Servicios de detección de intrusiones
- Beneficios
- Límites de sesiones
- Patrones de paquetes sospechosos
- Ataques de anomalías de encabezado
Servicios de detección de intrusiones
Las reglas de los servicios de detección de intrusiones (IDS) en una MS-MPC le ofrecen una manera de identificar y eliminar el tráfico que forma parte de un ataque a la red.
Las reglas de IDS proporcionan un nivel de filtrado más granular que los filtros y políticas de firewall, lo que puede detener marcas TCP ilegales y otras combinaciones de marcas incorrectas, y puede imponer una limitación de velocidad general (consulte la Guía del usuario de políticas de enrutamiento, filtros de firewall y policías de tráfico). Puede utilizar filtros y políticas de firewall junto con IDS para reducir el tráfico que debe procesar una regla de IDS.
En una regla de IDS, puede especificar:
Límites en las sesiones que se originan en fuentes individuales o que terminan en destinos individuales. Esto protege contra ataques de sondeo de red e inundación.
Tipos de paquetes sospechosos que se deben eliminar.
Para protegerse contra ataques de anomalías de encabezado, se realiza automáticamente una comprobación de integridad del encabezado si configura una regla de IDS, una regla de firewall con estado o una regla de TDR y la aplica al conjunto de servicios. También puede configurar explícitamente una comprobación de integridad de encabezado para el conjunto de servicios si no asigna al conjunto de servicios una regla de IDS, una regla de firewall con estado o una regla de TDR.
Beneficios
Brinda protección contra varios tipos de ataques a la red.
Límites de sesiones
Puede utilizar reglas de IDS para establecer límites de sesión para el tráfico desde un origen individual o hacia un destino individual. Esto protege contra ataques de sondeo de red e inundación. El tráfico que supere los límites de sesión se descarta. Puede especificar límites de sesión para el tráfico con un protocolo IP determinado, como ICMP, o para el tráfico en general.
Usted decide si los límites se aplican a direcciones individuales o a una agregación de tráfico desde subredes individuales de una longitud de prefijo determinada. Por ejemplo, si agrega límites para subredes IPv4 con una longitud de prefijo de 24, el tráfico de 192.0.2.2 y 192.0.2.3 se cuenta en los límites de la subred 192.0.2.0/24.
Algunos ataques comunes de sondeo e inundación de red contra los que protegen los límites de sesión incluyen:
| ICMP Address Sweep | El atacante envía sondeos de solicitud ICMP (pings) a varios objetivos. Si una máquina de destino responde, el atacante recibe la dirección IP del objetivo. |
| ICMP Flood | El atacante inunda una máquina de destino enviando una gran cantidad de paquetes ICMP desde una o más direcciones IP de origen. La máquina de destino utiliza sus recursos mientras intenta procesar esos paquetes ICMP y ya no puede procesar tráfico válido. |
| TCP Port Scan | El atacante envía paquetes TCP SYN desde un origen a varios puertos de destino de la máquina de destino. Si el objetivo responde con un SYN-ACK desde uno o más puertos de destino, el atacante aprende qué puertos están abiertos en el objetivo. |
| TCP SYN Flood | El atacante inunda una máquina de destino enviando una gran cantidad de paquetes TCP SYN desde una o más direcciones IP de origen. El atacante puede usar direcciones IP de origen reales, lo que da como resultado una conexión TCP completa, o puede usar direcciones IP de origen falsas, lo que hace que la conexión TCP no se complete. El destino crea estados para todas las conexiones TCP completadas y no completadas. El destino agota sus recursos mientras intenta administrar los estados de conexión y ya no puede procesar tráfico válido. |
| UDP Flood | El atacante inunda una máquina de destino enviando una gran cantidad de paquetes UDP desde una o más direcciones IP de origen. La máquina de destino agota sus recursos mientras intenta procesar esos paquetes UDP y ya no puede procesar tráfico válido. |
Los límites de sesión para el tráfico desde una fuente o hacia un destino incluyen:
Número máximo de sesiones simultáneas
Número máximo de paquetes por segundo
Número máximo de conexiones por segundo
El IDS también instala un filtro dinámico en las PFE de las tarjetas de línea para detectar actividades sospechosas cuando se dan las siguientes condiciones:
Los paquetes por segundo o el número de conexiones por segundo de una dirección de origen o de destino individual (no para una subred) superan cuatro veces el límite de sesiones de la regla de IDS. Este límite de sesión es el límite general de origen o destino para la regla IDS, no el límite especificado para un protocolo determinado.
El porcentaje de uso de CPU de la tarjeta de servicios supera un valor configurado (el valor predeterminado es 90 %).
El filtro dinámico descarta el tráfico sospechoso en la PFE y el tráfico no se envía a MS-MPC para que lo procese la regla IDS. Cuando la velocidad de conexión o paquete ya no supera cuatro veces el límite de la regla IDS, se elimina el filtro dinámico.
Patrones de paquetes sospechosos
Puede usar reglas de IDS para identificar y descartar tráfico con un patrón de paquetes sospechoso. Esto protege contra los atacantes que fabrican paquetes inusuales para lanzar ataques de denegación de servicio.
Los patrones de paquetes sospechosos y los ataques que puede especificar en una regla de IDS son:
| ICMP fragmentation attack | El atacante envía al atacante paquetes ICMP de destino que son fragmentos IP. Estos se consideran paquetes sospechosos porque los paquetes ICMP suelen ser cortos. Cuando el destino recibe estos paquetes, los resultados pueden variar desde procesar paquetes incorrectamente hasta bloquear todo el sistema. |
| ICMP large packet attack | El atacante envía las tramas ICMP de destino con una longitud IP superior a 1024 bytes. Estos se consideran paquetes sospechosos porque la mayoría de los mensajes ICMP son pequeños. |
| ICMP Ping of death attack | El atacante envía al objetivo paquetes ping ICMP cuya longitud de datagramas IP (ip_len) excede la longitud máxima legal (65.535 bytes) para paquetes IP, y el paquete está fragmentado. Cuando el destino intenta volver a ensamblar los paquetes IP, puede producirse un desbordamiento de búfer que provoque que el sistema se bloquee, se congele y se reinicie. |
| IP Bad option attack | El atacante envía los paquetes de destino con opciones IPv4 o encabezados de extensión IPv6 formateados incorrectamente. Esto puede causar problemas impredecibles, dependiendo de la implementación de la pila de IP de los enrutadores y el destino. |
| IPv4 options | Los atacantes pueden usar opciones IPv4 maliciosamente para ataques de denegación de servicio. |
| IPv6 extension headers | Los atacantes pueden usar encabezados de extensión de forma malintencionada para ataques de denegación de servicio o para eludir los filtros. |
| IP teardrop attack | El atacante envía al objetivo paquetes IP fragmentados que se superponen. La máquina de destino agota sus recursos al intentar volver a ensamblar los paquetes y ya no puede procesar tráfico válido. |
| IP unknown protocol attack | El atacante envía los paquetes de destino con números de protocolo mayores que 137 para IPv4 y 139 para IPv6. Un protocolo desconocido puede ser malicioso. |
| Land attack | El atacante envía al objetivo paquetes SYN falsificados que contienen la dirección IP del objetivo como dirección IP de destino y de origen. El objetivo agota sus recursos mientras se responde repetidamente a sí mismo. En otra variación del ataque terrestre, los paquetes SYN también contienen los mismos puertos de origen y destino. |
| SYN fragment attack | El atacante envía fragmentos de paquete SYN de destino. El destino almacena en caché fragmentos SYN, esperando a que lleguen los fragmentos restantes para poder volver a ensamblarlos y completar la conexión. Una avalancha de fragmentos SYN finalmente llena el búfer de memoria del host, lo que impide conexiones de tráfico válidas. |
| TCP FIN No ACK attack | El atacante envía al atacante paquetes TCP de destino que tienen el bit FIN establecido pero que tienen el bit ACK sin establecer. Esto puede permitir al atacante identificar el sistema operativo del objetivo o identificar puertos abiertos en el objetivo. |
| TCP no flag attack | El atacante envía al destino paquetes TCP que no contienen indicadores. Esto puede provocar un comportamiento impredecible en el destino, dependiendo de su implementación de pila TCP. |
| TCP SYN FIN attack | El atacante envía los paquetes TCP de destino que tienen establecidos los bits SYN y FIN. Esto puede provocar un comportamiento impredecible en el destino, dependiendo de su implementación de pila TCP. |
| TCP WinNuke attack | El atacante envía un segmento TCP con la marca urgente (URG) establecida y destinada al puerto 139 de un destino que ejecuta Windows. Esto puede hacer que la máquina de destino se bloquee. |
Ataques de anomalías de encabezado
Para protegerse contra ataques de anomalías de encabezado, se realiza automáticamente una comprobación de integridad de encabezado si configura una regla de IDS, una regla de firewall con estado o una regla de TDR y la aplica al conjunto de servicios. También puede configurar explícitamente una comprobación de integridad de encabezado para el conjunto de servicios si no asigna al conjunto de servicios una regla de IDS, una regla de firewall con estado o una regla de TDR.
La comprobación de integridad del encabezado proporciona protección contra los siguientes ataques de anomalías del encabezado:
| ICMP Ping of death attack | El atacante envía al objetivo paquetes ping ICMP cuya longitud de datagramas IP (ip_len) excede la longitud máxima legal (65.535 bytes) para paquetes IP, y el paquete está fragmentado. Cuando el destino intenta volver a ensamblar los paquetes IP, puede producirse un desbordamiento de búfer que provoque que el sistema se bloquee, se congele y se reinicie. |
| IP unknown protocol attack | El atacante envía los paquetes de destino con números de protocolo mayores que 137 para IPv4 y 139 para IPv6. Un protocolo desconocido puede ser malicioso. |
| TCP no flag attack | El atacante envía al destino paquetes TCP que no contienen indicadores. Esto puede provocar un comportamiento impredecible en el destino, dependiendo de su implementación de pila TCP. |
| TCP SYN FIN attack | El atacante envía los paquetes TCP de destino que tienen establecidos los bits SYN y FIN. Esto puede provocar un comportamiento impredecible en el destino, dependiendo de su implementación de pila TCP. |
| TCP FIN No ACK attack | El atacante envía al atacante paquetes TCP de destino que tienen el bit FIN establecido pero que tienen el bit ACK sin establecer. Esto puede permitir al atacante identificar el sistema operativo del objetivo o identificar puertos abiertos en el objetivo. |
Configuración de la protección contra ataques de red en una MS-MPC
En este tema se incluyen las siguientes tareas, en las que se describe cómo protegerse contra ataques de red cuando se utiliza una MS-MPC:
- Configuración de la protección contra sondeo de red, inundación de red y ataques de patrones sospechosos
- Configuración de la protección contra ataques de anomalías de encabezado
Configuración de la protección contra sondeo de red, inundación de red y ataques de patrones sospechosos
Para configurar la protección contra ataques de sondeo de red, ataques de inundación de red y ataques de patrones sospechosos, se configura una regla del servicio de detección de intrusiones (IDS) y, luego, se aplica esa regla a un conjunto de servicios que se encuentra en una MS-MPC. Solo se utiliza el primer término de una regla de IDS y solo se utilizan la primera regla de entrada de IDS y la primera regla de salida de IDS para un conjunto de servicios.
La configuración de la protección contra sondeo de red, inundación de red y ataques de patrones sospechosos incluye lo siguiente:
- Configuración del nombre y la dirección de la regla de IDS
- Configurar límites de sesión para subredes
- Configuración de límites de sesión independientes del protocolo
- Configuración de la protección de barrido de direcciones ICMP
- Configuración de la protección del escáner de puertos TCP
- Configuración de la protección contra inundaciones ICMP
- Configuración de la protección contra inundaciones UDP
- Configuración de la protección contra inundaciones TCP SYN
- Configuración de la protección de fragmentación ICMP
- Configuración de la protección de paquetes grandes ICMP
- Configuración de protección de IP incorrectas
- Configuración de la protección contra ataques terrestres
- Configuración de la protección de fragmentos TCP SYN
- Configuración de la protección de WinNuke
- Configuración del conjunto de servicios
Configuración del nombre y la dirección de la regla de IDS
Para cada regla de IDS, debe configurar un nombre y la dirección del tráfico al que se aplica.
Para configurar el nombre y la dirección de la regla de IDS:
Configurar límites de sesión para subredes
Si desea aplicar límites de sesión a una agregación de todos los ataques hacia o desde subredes de destino u origen individuales en lugar de para direcciones individuales, configure la agregación.
Para configurar la agregación de subred:
Configuración de límites de sesión independientes del protocolo
Si desea configurar límites de sesión para el tráfico a un destino individual o desde un origen individual independiente del protocolo, realice una o varias de las siguientes tareas:
Configuración de la protección de barrido de direcciones ICMP
Para configurar la protección contra barridos de direcciones ICMP, configure cualquier combinación del máximo permitido de sesiones simultáneas ICMP, paquetes por segundo y conexiones por segundo para un origen:
Configuración de la protección del escáner de puertos TCP
Para configurar la protección contra ataques de escáner de puertos TCP, configure cualquier combinación del máximo permitido de sesiones y conexiones simultáneas TCP por segundo para un origen o destino:
Configuración de la protección contra inundaciones ICMP
Para configurar la protección contra ataques de inundación ICMP, configure cualquier combinación del máximo permitido de sesiones simultáneas ICMP, paquetes por segundo y número de conexiones por segundo para un destino:
Configuración de la protección contra inundaciones UDP
Para configurar la protección contra ataques de inundación de UDP, configure cualquier combinación del máximo permitido de sesiones simultáneas de UDP, paquetes por segundo y conexiones por segundo para un destino:
Configuración de la protección contra inundaciones TCP SYN
Para configurar la protección contra ataques de inundación TCP SYN, configure cualquier combinación del máximo permitido de sesiones simultáneas TCP, paquetes por segundo y conexiones por segundo para un origen o destino. También puede configurar el cierre de conexiones TCP no establecidas después de un tiempo de espera:
Configuración de la protección de fragmentación ICMP
Para protegerse contra ataques de fragmentación ICMP:
Configure la identificación y eliminación de paquetes ICMP que son fragmentos IP.
[edit services ids rule rule-name term term-name then] user@host# set icmp-fragment-check
Configuración de la protección de paquetes grandes ICMP
Para protegerse contra ataques de paquetes grandes ICMP:
Configure la identificación y la eliminación de paquetes ICMP que tengan más de 1024 bytes.
[edit services ids rule rule-name term term-name then] user@host# set icmp-large-packet-check
Configuración de protección de IP incorrectas
Para protegerse contra opciones IPv4 incorrectas o ataques de encabezado de extensión IPv6:
Configuración de la protección contra ataques terrestres
Para protegerse contra ataques terrestres:
Configure la identificación y eliminación de paquetes SYN que tengan la misma dirección IP de origen y destino o la misma dirección IP y puerto de origen y destino.
[edit services ids rule rule-name term term-name then] user@host# set land-attack-check (ip-only | ip-port)
Para especificar que los paquetes tengan la misma dirección IP de origen y destino, utilice la
ip-onlyopción; para especificar que los paquetes tengan la misma dirección IP y puerto de origen y destino, utilice laip-portopción.
Configuración de la protección de fragmentos TCP SYN
Para protegerse contra ataques de fragmentos TCP SYN:
Configure la identificación y eliminación de paquetes TCP SYN que son fragmentos IP:
[edit services ids rule rule-name term term-name then] user@host# set tcp-syn-fragment-check
Configuración de la protección de WinNuke
Para protegerse contra ataques de WinNuke:
Configure la identificación y la eliminación de segmentos TCP destinados al puerto 139 y que tengan establecido el indicador de urgencia (URG).
[edit services ids rule rule-name term term-name then] user@host# set tcp-winnuke-check
Configuración del conjunto de servicios
Para aplicar las acciones de la regla de IDS a un conjunto de servicios:
Configuración de la protección contra ataques de anomalías de encabezado
Protéjase contra ataques de anomalías de encabezado mediante cualquiera de los siguientes métodos para habilitar una comprobación de integridad de encabezado, que descarta cualquier paquete con anomalías de encabezado:
Configuración del registro de caídas de paquetes de protección contra ataques de red en una MS-MPC
Para configurar el registro de las caídas de paquetes que resultan de la integridad del encabezado, el patrón de paquetes sospechosos y las comprobaciones de límite de sesión realizadas por una MS-MPC: