> Nicolas FISCHBACH IP Engineering Manager - COLT Telecom

Protection de l’infrastructure réseau IP en environnement Cisco (routeurs et commutateurs) > Nicolas FISCHBACH IP Engineering Manager - COLT Telecom nico@securite.org - http://www.securite.org/nico/ > Sébastien LACOSTE-SERIS IP R&D Manager, Security Officer - COLT Telecom kaneda@securite.org - http://www.securite.org/kaneda/ version 1.01

Programme • Sécurité réseau • Les attaques à l’encontre • des protocoles des couches liaison et réseau • des protocoles de routage • Détection et prévention des dénis de services et des vers • Analyse de trafic • MPLS et IPv6 • Sécurité des équipements (routeurs et commutateurs) • SNMP et administration distante • Authentification, Autorisation et Audit (AAA) • Listes de contrôle d’accès (ACLs) • Vérification d’intégrité

Les protocoles de la couche liaison • Les protocoles de la couche liaison de données • ARP - Address Resolution Protocol • CDP - Cisco Discovery Protocol • VLAN - Virtual LAN • STP - Spanning Tree Protocol • {D/V}TP - Dynamic, VLAN Trunking Protocol • Trafic et adressage unicast, broadcast et multicast

Attaques contre les protocoles • Les attaques connues (et anciennes) • Pollution de cache ARP, annonces ARP gratuites, messages ARP/DHCP falsifiés • Outils : dsniff, hunt, etc. • Les attaques plus récentes • Paquets HSRP/VRRP falsifiés • Attaques contre STP/VTP • Saut de VLAN • Les attaques à venir • Attaques avancées contre les protocoles de routage • Rootkits et modules noyau dynamiques (LKM)

Filtrage STP et par adresse MAC • Fixez les adresses MAC par port (et si possible la relation adresse IP/adresse MAC) • Activez BPDU-Guard (Bridge PDU) pour filtrer STP • Limitez le trafic de type broadcast set port security <mod/port> enable 01-02-03-04-05-06 shutdown ! MLS (Multi Layer Switch) in hybrid mode (Sup w/ CatOS, MSFC w/ IOS) set spantree disable set spantree portfast bpdu-guard-enable ! MLS in native mode (CatIOS on the Sup and MSFC) spanning-tree portfast bpduguard set port broadcast <mod/port> 0.01%

VLANs : partionnement de réseau (1) • Le problème des VLANs • Les VLANs n’ont pas été conçus pour fournir un mécanisme de sécurité, mais sont utilisés couramment pour le partitionnement réseau • Les commutateurs multiniveau (commutateur avec un module de routage) constituent un point faible dans la sécurité du réseau • N’utilisez pas le VLAN natif 1 • Le problème de VPMS • VLAN Policy Management Server permet l’affectation d’un équipement à un VLAN par rapport à son adresse MAC

VLANs : partionnement de réseau (2) • Saut de VLAN • Est possible si • vous utilisez DTP • un port est dans le même VLAN que le VLAN natif du trunk (injection de trames 802.1q) • Les ponts entre VLANs (VLAN bridge) permettent de faire passer des protocoles non routables entre les VLANs • Private VLAN (4k, 6k) et Edge Ports (29xx, 35xx) • Isolation du port, n’est pas basé sur les adresses IP/MAC ou le VLAN • Des équipements dans le même VLAN ne peuvent pas communiquer directement entre eux set vlan 2 <mod/port> clear trunk <mod/port> 1

Protocoles : VTP • VLAN Trunking Protocol • Permet une gestion centralisée des VLANs (architecture maître/esclave) • Format du message : identique à CDP (SNAP HDLC 0x2003) • Communique via les ports en mode trunk • Mesures de sécurité • Placez les commutateurs en mode VTP transparent et affectez un mot de passe au domaine VTP set vtp domain <domaine.vtp> password <mot de passe> set vtp mode transparent

Protocoles : DTP • Dynamic Trunking Protocol • Permet la configuration automatique de ports en mode trunk • Format du message : identique à CDP (SNAP HDLC 0x2004) • Tous les ports d’un commutateur sont en mode automatique par défaut • Mesures de sécurité • Désactivez DTP sur tous les ports set trunk off all

Protocoles : CDP (1) • Cisco Discovery Protocol • Protocole développé par Cisco • Communique sur tout lien supportant HDLC • Trafic multicast • Informations échangées : nom/identifiant de l’équipement, adresse réseau, identifiant du port, fonctionnalités, plate-forme, version logicielle, préfixe réseau IP • Format du message

Protocoles : CDP (2) • Déni de service • Possibilité d’utiliser toute la mémoire (avis de sécurité) • Mesures de sécurité • Routeurs • Désactivation globale • Désactivation par interface • Commutateurs (globalement ou par port) no cdp run interface xy no cdp enable set cdp disable <mod/port>

Les protocoles de la couche réseau • La couche réseau et les protocoles de routage • IP : n’intègre pas de mécanisme de sécurité • ICMP : fuite/divulgation d’informations et risques associés • HSRP/VRRP : redondance du prochain saut • RIP/RIPv2 : pas d’authentification (v1) et inondation • OSPF : trafic multicast et risques liés aux DR/BDR • BGP : coeur de l’Internet (risques liés aux RR et aux peerings) • Les protocoles méconnus ou peu utilisés • IS-IS • (E)IGRP

Protocoles : BGP (1) • Border Gateway Protocol • Version 4 • Ecoute sur le port 179/tcp • Authentication : MD5 (trop rarement utilisée) • Liaison point-à-point pour les interfaces directement connectées ou multi-hop pour les routeurs non-adjacents • Des outils d’injection de routes BGP existent (dans des cercles privés) • Format du message BGP UPDATE

Protocoles : BGP (2) • Où se trouvent les risques ? • Points d’échanges (GIX) : les FAI sont souvent connectés sur la même infrastructure partagée (un commutateur par exemple) : filtrez les AS_path et les préfixes • Vos clients/fournisseurs directs : filtrez par adresses IP sur les interfaces • Configuration multi-hop (attaque par interception) • Que faut-il surveiller ? • Les AS_path annoncés par les fournisseurs • Les AS_path reçus par d’autres FAI qui contiennent votre ASN (via des serveurs de routes) • Si les routes/chemins changent (surtout la/le meilleur(e)) • Les changements ARP (commutateurs publiques dans les IX)

Protocoles : BGP (3) • Mesures de sécurité additionnelles • N’utilisez pas le même mot de passe avec tous vos partenaires • Journalisez les changements et utilisez IPsec router bgp 65000 bgp log-neighbor-changes network x.x.x.x neighbor y.y.y.y remote-as 65001 neighbor y.y.y.y password <MD5password> neighbor y.y.y.y version 4 neighbor y.y.y.y prefix-list theirnetworks in neighbor y.y.y.y prefix-list ournetworks out neighbor y.y.y.y maximum-prefix 120000 neighbor y.y.y.y route-map ourASpath out ip prefix-list ournetworks seq 5 permit z.z.z.z/17 ip prefix-list ournetworks seq 10 deny 0.0.0.0/0 le 32 ip prefix-list theirnetworks seq 5 permit k.k.k.k/19 ip as-path access-list permit ^<AS>( <AS>)*$ route-map ourASpath permit 10 match as-path 99

Protocoles : BGP (4) • Outils d’injection de routes, quel est le challenge ? • Trouver les partenaires eBGP • par interception • grâce à SNMP • grâce aux route-servers et aux « looking glasses » publiques • adresses IP proches, .1, .254, etc. • Injectez la mise à jour • par interception (messages ARP falsifiés sur les commutateurs publiques) • par synchronisation avec la session TCP existante • Mesures de sécurité / futur ? • S-BGP (Secure BGP)

Prédiction de numéro de séquence TCP • Le problème des numéros de séquence initiaux • IOS vulnérable > IOS « moins » vulnérable • « Corrigé » à partir des versions 12.0(15) et 12.1(7) • Les NSI sont (encore) liés au temps/à l’horloge Source : http://razor.bindview.com/publish/papers/tcpseq.html

Protocoles : OSPF (1) • Open Shortest Path First • Protocole numéro 89 • Trafic multicast : « facile » d’injecter des LSAs • Mesures de sécurité • Authentifiez les échanges OSPF • Placez le réseau en mode NBMA interface xy !ip ospf authentication-key <key> ip ospf message-digest-key 1 md5 <key> router ospf 1 area 0 authentication [message-digest] interface xy ip ospf network non-broadcast router ospf 1 neighbor x.x.x.x

Protocoles : OSPF (2) • Mesures de sécurité (suite) • Ne mettez pas les interfaces qui ne doivent pas échanger des LSAs OSPF dans la configuration « réseau » d’OSPF ou enlevez les par exclusion via des interfaces passives • Journalisez les changements • Il n’est pas possible de filtrer ce qui est annoncé par OSPF (uniquement entre des AS OSPF), le mot clé network est un « faux ami » • Il est possible de filtrer ce que l’on reçoit router ospf 1 log-adjacency-changes network x.x.x.x passive-interface default no passive-interface xy router ospf 1 distribute-list <ACL> in distribute-list <ACL> out

Protocoles : HSRP/VRRP (1) • Hot Standby Routing Protocol • Redondance du prochain saut (RFC 2281) • Fuite d’information: adresse MAC virtuelle • 00-00-0c-07-ac-<groupe HSRP> • l’interface virtuelle HSRP n’envoie pas d’ICMP redirect • Un groupe HSRP peut contenir plus de deux routeurs, il n’est pas nécessaire de rendre un routeur inactif, il suffit de devenir le maître • Virtual Router Redundancy Protocol (RFC 2338) • Supporte l’authentification MD5 (IP Authentication Header)

Protocoles : HSRP/VRRP (2) • Mesures de sécurité • Activez l’authentification par mot de passe • Changez l’adresse MAC virtuelle • Utilisez IPsec (recommandation Cisco), mais n’est pas trivial (trafic multicast, ordre des processus, limité à un groupe avec deux routeurs) interface xy standby 10 priority 200 preempt standby 10 authentication p4ssw0rd standby 10 ip x.x.x.x interface xy standby 10 mac-address <mac-address>

Dénis de services : détection (1) • La technique « ancienne » • ACLs, charge CPU, charge de la ligne, xIDS • Netflow • Journalisation des données réseaux (AS, flux IP, protocoles, etc) • Données envoyées en clair sur le réseau à un point central • Avec CEF activé Netflow effectue uniquement la journalisation et les statistiques • Sans CEF le routeur passe en mode commutation Netflow • Seul le trafic sortant sur une interface est comptabilisé • Visualisation des données : sh ip cache flow • Export des données : ip flow-export version 5 origin-as ip flow-export destination x.x.x.x interface xy ip route-cache flow

Dénis de services : détection (2) • Distribution (in)habituelle du trafic par protocole • TCP : ~90% (HTTP, FTP, SMTP, outils peer-to-peer) • UDP : ~10% (DNS, SNMP, outils de streaming) • ICMP : < 1% • IGMP : < 1% • Surtout des paquets de 64 octets • RRDtool et Netflow permettent de grapher les tendances et de détecter des changements ou des anomalies Source : Flowscan from UW-Madison (http://wwwstats.net.wisc.edu/)

Dénis de services : détection (3) • Netflow sur les commutateurs-routeurs • Le mode de flux Netflow par défaut ne tient compte que de la destination (l’adresse source n’est pas enregistrée) • Activez le mode « full-flow » (impact sur les performances sur les modules de supervision SE1) • Visualisation des données • Le Netflow « du pauvre » : ntop ? ! MLS in hybrid mode set mls flow full ! MLS in native mode mls flow ip full ! MLS in hybrid mode set mls ent ! MLS in native mode show mls ip

Dénis de services : prévention (1) • Unicast RPF (Reverse-Path Forwarding) • Nécessite CEF (Cisco Express Forwarding) ou dCEF • Nécessite IOS 12.x et consomme ~30Mo de mémoire • Mode strict : les datagrammes IP sont vérifiés, la route vers l’adresse IP source doit pointer vers l’interface d’entrée • Seulement la meilleure route est dans la FIB (si multi-path ou des routes de même poids ne sont pas utilisés) • Les routes asymétriques sont supportées • Vérifiez les poids et les métriques utilisés dans BGP si vous utilisez le mode strict ou dans une configuration à liens multiples

Dénis de services : prévention (2) • Unicast RPF (Reverse-Path Forwarding) • Mode strict (des ACLs peuvent être utilisées pour la journalisation et les exceptions) • Mode non-strict (loose), les datagrammes passent le test si le préfixe réseau est dans la FIB ip cef [distributed] interface xy ip verify unicast reverse-path [allow-self-ping] [acl] ip verify unicast source reachable-via any

Dénis de services : prévention (3) • Limitation du trafic ICMP, UDP et TCP SYN • La limitation du trafic UDP peut devenir un problème si votre client est une société de streaming interface xy rate-limit input access-group 100 8000 8000 8000 \ conform-action transmit exceed-action drop rate-limit output access-group 100 8000 8000 8000 \ conform-action transmit exceed-action drop <…> access-list 100 deny tcp any host x.x.x.x established access-list 100 permit tcp any host x.x.x.x access-list 101 permit icmp any any echo access-list 101 permit icmp any any echo-reply

Dénis de services : prévention (4) • TCP Intercept • Autant d’aspects positifs, que d’aspects négatifs • Si TCP Intercept est activé le routeur passe en mode commutation de processus (process switching) et ne reste pas en mode CEF • L’hôte destination doit renvoyer un RST (un rejet silencieux engendre un déni de service local) • Problème identique si vous utilisez des routes vers Null0 (route vers un trou noir) ip tcp intercept list 100 ip tcp intercept connection-timeout 60ip tcp intercept watch-timeout 10ip tcp intercept one-minute low 1500ip tcp intercept one-minute high 6000 access-list 100 permit tcp any x.x.x.0 0.0.0.255

Dénis de services : prévention (5) • Filtrage ICMP avancé • Ne laissez passer que les messages ICMP « critiques » • Le filtrage ICMP est une source de dispute, à chacun de se faire sa propre idée (unreachables, parameter-problem, etc) interface xy ip access-group 100 in access-list 100 deny icmp any any fragments access-list 100 permit icmp any any echoaccess-list 100 permit icmp any any echo-replyaccess-list 100 permit icmp any any packet-too-bigaccess-list 100 permit icmp any any source-quenchaccess-list 100 permit icmp any any time-exceededaccess-list 100 deny icmp any anyaccess-list 100 permit ip any any

Dénis de services : prévention (6a) • Techniques avancées : BGP/Null0 1/2 • Choisissez une adresse du bloc TEST-NET et configurez une route vers Null0 sur tous les routeurs pour cette adresse • Sur un routeur BGP maître, changez le prochain saut pour le réseau source à filtrer par cette adresse IP • Redistribuez ces adresses via BGP dans votre AS et uRPF va supprimer le datagramme (au niveau de la LC, pas du RP) • Ne redistribuez pas ces informations à vos partenaires : utilisez un AS privé ou une communauté en « no-export » router bgp <AS> network <sourceOfDDOS> mask <netmask> route-map ddos-nh route-map ddos-nh set ip next-hop <TEST-NETIPaddr> ip route <TEST-NET> 255.255.255.0 Null0

Dénis de services : prévention (6b) • Techniques avancées : BGP/Null0 2/2

Dénis de services : prévention (7) • Techniques avancées : BGP/CAR/FIB 1/2 • Marquez le réseau dont vous voulez limiter la bande passante avec une communauté spécifique et redistribuez ces informations depuis le routeur BGP maître à tous ses clients router bgp <AS> network <destOfDDOS> mask <netmask> neighbor x.x.x.x route-map ddos-rl out neighbor x.x.x.x send community access-list 10 permit <destOfDDOS> route-map ddos-rl match ip address 10 set community <AS>:66 no-export ip route <destOfDDOS> 255.255.255.0 Null0

Dénis de services : prévention (8) • Techniques avancées : BGP/CAR/FIB 2/2 • Sur les routeurs changez le QosID dans la FIB par rapport à cette communauté et limitez la bande passante par rapport à ce QosID router bgp <AS> table-map ddos-rl ip community list 1 permit <AS>:66 route-map ddos-rl match community 1 set ip qos-group 66 interface xy bgp-policy source ip-qos-map rate-limit input qos-group 66 ...

Filtrage entrant et sortant (1) • Ce qu’il ne faudrait jamais voir/laisser passer/router • RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) • 0.0.0.0/x, 127.0.0.0/8 • 169.254.0.0/16 (auto-configuration quand DHCP est indisponible) • 192.0.2.0/24 (Netname: TEST-NET, comme example.com) • Les adresses multicast (classe D) et les réseaux E.T. (E+) • Les plages d’adresses utilisées par certains vendeurs (192.0.0.192 pour certaines imprimantes) • Les blocs réservés (ARIN - bogon networks) • Les datagrammes destinés à l’adresse de broadcast ou avec source == destination

Filtrage entrant et sortant (2) • Ce qu’il faudrait voir/laisser passer/router • Vos plages d’adresses uniquement • Exemple de filtrage par ACL (IX, uplinks, CPE) • Exemple de filtrage avec routage/forwarding dans Null0 interface xy access-group in 100 access-group out 100 access-list 100 deny ip host 0.0.0.0 any access-list 100 deny ip 127.0.0.0 0.255.255.255 255.0.0.0 0.255.255.255 access-list 100 deny ip 10.0.0.0 0.255.255.255 255.0.0.0 0.255.255.255 access-list 100 deny ip 172.16.0.0 0.15.255.255 255.240.0.0 0.15.255.255 access-list 100 deny ip 192.168.0.0 0.0.255.255 255.255.0.0 0.0.255.255 access-list 100 deny ip 192.0.2.0 0.0.0.255 255.255.255.0 0.0.0.255 access-list 100 deny ip 169.254.0.0 0.0.255.255 255.255.0.0 0.0.255.255 access-list 100 deny ip 240.0.0.0 15.255.255.255 any access-list 100 permit ip any any ! Or permit ip <your network prefixes only> ip route 10.0.0.0 255.0.0.0 null0 ip route 172.16.0.0 255.240.0.0 null0 ip route 192.168.0.0 255.255.0.0 null0

Détection des vers et protection (1) • Comment détecter un nouveau vers • Nombre (inhabituel) de nouveaux flux HTTP/SMTP et journalisation sur les serveurs • Comment vous protéger avec NBAR (Network-Based Application Recognition)? • Nécessite CEF • Disponible à partir de 12.1(5)T • Comme TCP Intercept - en a t’on vraiment besoin ? • Effet de bord: la session TCP est déjà établie mais le serveur ne reçoit pas la requête HTTP GET • Impact sur les performances: ~20% CPU

Détection des vers et protection (2) • Classification des flux entrants avec NBAR et filtrage des flux sortants avec des ACLs ! Class-based inbound marking class-map match-any http-hacks match protocol http url “*cmd.exe*” ! Policy map to mark inbound policy-map mark-inbound-http-hacks class http-hacks set ip dscp 1 ! Apply the service policy to the « attacking » interface int xy service-policy input mark-inbound-http-hacks ! Block with an ACL access-list 100 deny ip any any dscp 1 log access-list 100 permit ip any any ! Apply the ACL to the « protected » interface int xy ip access-group 100 out

Détection des vers et protection (3) • Classification des flux entrants et politique basée sur une classe ! Class-based inbound marking class-map match-any http-hacks match protocol http url “*cmd.exe*” ! Policy map to mark inbound policy-map drop-inbound-http-hacks class http-hacks policy 8000 4000 2000 conform-action drop exceed-action \ drop violate-action drop ! Apply the service policy to the « attacking » interface int xy service-policy input police-inbound-http-hacks

Détection des vers et protection (4) • Classification des flux entrants et routage en fonction d’une politique ! Class-based inbound marking class-map match-any http-hacks match protocol http url “*cmd.exe*” ! Policy map to mark inbound policy-map mark-inbound-http-hacks class http-hacks set ip dscp 1 ! Apply the service policy to the « attacking » interface int xy service-policy input mark-inbound-http-hacks ! Create a route-map access-list 100 permit ip any any dscp 1 route-map route2null 10 match ip address 100 set interface Null0 ! Apply the routing policy to the « attacking » interface int xy ip policy route-map route2null

Détection des vers et protection (5) • Restrictions et limitations de NBAR • Supporte jusqu’à 24 comparaisons concurrentes (URL, machines ou type MIME) • Ne compare que les 400 premiers octets d’une URL • Ne gère pas les paquets fragmentés • Trafic HTTPS (c’est normal ;-) • Paquet provenant ou destiné au routeur (impossible de protéger le serveur HTTP local) • Ne supporte pas l’Unicode (UTF-8/%u) • Optimisez le scheduler et les expirations ip nbar resources 600 1000 50 scheduler allocate 30000 2000

DDoS/vers recherche/futur • Le pire est à venir • Recherche très active, mais très peu de publications: “les risques sont trop élevés” • La plupart des vers existants étaient plutôt faibles/gentils • Les prochains vers vont-ils encore s’attaquer à IIS/Outlook ? • Quels sont les effets sur la stabilité d’Internet ? • Quelles sont les tendances ? • Routeurs utilisés comme source (CERT) • De plus en plus complexe et agents plus en plus intelligents • Utilisation temporaire de blocs non alloués (Arbor Networks)

Capture de trafic réseau (routeurs) • Possibilité d’affichage local • Capture avec des ACLs • Utilisez toujours le tampon et n’affichez pas sur la console • Impact sur les performances : Vérifiez la charge processeur avec la commande sh proc cpu • Envoi des informations sur un équipement distant • Tunnel GRE vers un serveur et réinjection du trafic dans le tunnel (tunnelx) access-list 100 … debug ip packet detail 100 logging buffered 64000 debugging

Capture de trafic réseau (commutateurs) • Pas d’affichage local • Envoi des informations sur un équipement distant • Copie du trafic d’un port ou VLAN vers un autre port • Possibilité de ne copier que le trafic désiré (VACL utilisant le mot clé “capture”) : • RSPAN copie le trafic vers un VLAN (nécessite des Catalyst 6000 de bout en bout) • 1 or 2 port(s) SPAN en fonction du modèle de commutateur • Impact sur les performances très faible : vérifiez la charge à l’aide de la commande ps -c (commande cachée) ! MLS in hybrid mode set span <source (mod/port or VLAN)> <destination port> ! MLS in native mode monitor session <session id> ... set security acl capture-ports <mod/port>

Principes de configuration (1) • Désactivez tous les services non utilisés • Activez syslog • Synchronisez les horloges avec NTP (authentifié si possible) no ip bootp server no tcp-small-servers no udp-small-servers no ip identd no ip finger service nagle no cdp run no boot network no service config no ip subnet-zero no service finger no service pad no ip http server no ip source-route service time log datetime localtime show-timezone msec service time debug datetime localtime show-timezone msec logging x.x.x.x logging trap debugging logging source loopback0 logging buffered 64000 debugging ntp authentication-key 10 md5 <key> ntp authenticate ntp trusted-key 10 ntp server x.x.x.x [key 10] ntp access-group peer 20 access-list 20 permit host x.x.x.x access-list 20 deny any

Principes de configuration (2) • Au niveau de l’interface • En cas d’utilisation de trafic multicast • Si possible, utilisez les addresses de loopback interface xy no ip source-route no ip directed-broadcast no ip proxy-arp no ip redirects no ip unreachables ! IP accounting for the traffic that fails the IP ACLs ip accounting access-violations no ip mask-reply no cdp enable interface xy ! To prevent Auto-RP messages from entering the PIM domain ip multicast boundary 10 access-list 10 deny 224.0.1.39 access-list 10 deny 224.0.1.40 interface loopback0 ip address x.x.x.x 255.255.255.255

Admin : SNMP (1) • Simple Network Management Protocol • v1 : RFC1157, nom de communauté pour l’authentification • v2 : RFC1441/1446, sécurité améliorée (party) et get-bulk • v3 : RFC2274, apporte la vérification d’intégrité, le chiffrement et l’authentification par utilisateur • Attaques et problèmes connus • Les administrateurs réseaux utilisent des communautés RW • Nom de communauté facile à deviner/trouver • Attaques par rejeux et déni de service • Fuite d’information • La fonction de découverte automatique des outils de gestion de réseaux peut transmettre la communauté hors de votre réseau/domaine

Admin : SNMP (2) • Filtrage au niveau IP • Définissez une ACL et activez la sur chaque interface • Possibilité d’appliquer des ACLs sur le RP (S-train) • Filtrage au niveau applicatif • Définissez une ACL et utilisez la pour le contrôle d’accès à l’application • Utilisez des vues pour limiter la portée interface Ethernet0/0 access-group in 100 access-list 100 permit udp host 192.168.1.1 host 192.168.1.2 eq snmp access-list 100 permit udp host 192.168.1.2 eq snmp host 192.168.1.1 access-list 100 deny udp any any eq snmp log-input snmp-server community r3ad view cutdown RO 10 snmp-server community wr1te RW 10 snmp-server view cutdown ip.21 excluded snmp-server enable traps <…> snmp-server host x.x.x.x snmp-server source loopback0 access-list 10 permit x.x.x.x

Admin : SNMP (3) • SNMP v3 • Définissez des utilisateurs/groupes et leurs droits • Trois avis de sécurité récents • Communauté ILMI cachée (la commande show snmp community montre toute les communautés) • Communauté lecture/écriture visible depuis une communauté d’accès en lecture seule • Déni de service (débordement de tampon) snmp-server group engineering v3 priv read cutdown 10 snmp-server user nico engineering v3 auth md5 myp4ss priv des56 mydes56 snmp-server view cutdown ip.21 excluded access-list 10 permit x.x.x.x access-list 10 deny any log

Admin : Secure Shell (1) • Support SSHv1 (client et serveur) • Routeurs : depuis 12.1(1)T/12.0(10)S (utilisez une image 3DES), scp depuis 12.2T • Commutateurs : CatOS 6.x • Quels sont les risques et limitations ? • L’implémentation CISCO est basée sur SSHv1 et souffre des même bogues : possibilité de retrouver la clé de session, CRC32, analyse de trafic (SSHow), attaques par analyse temporelle • Impossible de forcer l’utilisation de 3DES ou d’utiliser des clés pour l’authentification des utilisateurs • Corrigé dans 12.0(20)S, 12.1(8a)E, 12.2(3), ...

Admin : Secure Shell (2) • Configuration SSH • Configuration scp hostname <hostname> ip domain-name <domainname> crypto key generate rsa ip ssh timeout 60 ip ssh authentication-retries 3 ip scp server enable

> Nicolas FISCHBACH IP Engineering Manager - COLT Telecom