過去，黑客將網(wǎng)絡設備作為攻擊目標，通過制造拒絕服務（DoS）攻擊造成網(wǎng)絡中斷，這類攻擊在如今仍是網(wǎng)絡設備最常見的攻擊類型，同時我們還發(fā)現(xiàn)了更嚴重的威脅，這類新型的攻擊試圖進一步破壞受害者基礎設施。
最近，思科產(chǎn)品安全突發(fā)事件響應團隊（PSIRT）就圍繞針對CiscoIOS軟件平臺的更高級攻擊，向客戶發(fā)出了警示。
9月15日，Mandiant/FireEye公司發(fā)布了一篇文章，描述了此類攻擊。這涉及到被他們稱為SYNful Knock的路由器“植入”，據(jù)報道此類攻擊已在四個不同國家/地區(qū)的14臺路由器上被發(fā)現(xiàn)。
思科 PSIRT與Mandiant合作，確認此攻擊沒有利用任何產(chǎn)品漏洞。同時證據(jù)顯示，它需要有效的管理憑證或通過物理途徑進入受害者的設備。
SYNful Knock是一類持續(xù)性的惡意軟件，它可以使攻擊者控制受影響的設備，利用修改過的Cisco IOS軟件映像破壞其完整性。Mandiant指出它會通過HTTP協(xié)議來控制并啟用不同模塊，并可通過發(fā)送給設備的特制TCP數(shù)據(jù)包來觸發(fā)攻擊。
*注：Cisco Talos公布了IPS安全檢測規(guī)則： Snort Rule SID:36054，以幫助檢測利用SYNful Knock惡意軟件的攻擊。
鑒于網(wǎng)絡設備在客戶基礎設施中的重要作用，它們已成為黑客的一個重要目標，必須得到嚴密保護。我們建議所有網(wǎng)絡廠商的客戶都掌握防御和檢測其運營程序中漏洞的方法。
如何解決故障：
在思科官方網(wǎng)站下載您的設備的IOS 軟件系統(tǒng)， 并將下載后的映像文件進行MD5和SHA1 完整性檢驗。
將網(wǎng)絡設備隔離互聯(lián)網(wǎng)等可被攻擊的環(huán)境。
清除設備上原有的IOS 軟件并使用新下載的IOS重新啟動路由器
再次驗證系統(tǒng)映像的MD5 和SHA， 確認系統(tǒng)未被修改。
根據(jù)思科后續(xù)的建議步驟加固設備和建立安全基線并修改密碼。
設備加固達到安全基線后重新上線。
思科全球建議的網(wǎng)絡設備安全加固流程
下圖概述了保護和監(jiān)測思科網(wǎng)絡設備的流程：
第一步：加固設備 – 使用思科指南來加固Cisco IOS設備
第二步：網(wǎng)絡工具 – 遵循“基于日志和探針的基礎設施設備完整性監(jiān)控”中的建議
第三步：制定安全基線 – 確保運營程序包括制定安全基線的方法
第四步：利用面向Cisco IOS軟件完整性保障的技術(shù)能力和建議，對達不到安全基準的設備進行分析。
京公網(wǎng)安備 11010502049343號