trabajo con las capturas de la defensa de la amenaza de ... · asa5515-x que funciona con el...

Trabajo con las capturas de la defensa de laamenaza de FirePOWER y el trazalíneas delpaquete Contenido

IntroducciónPrerequisitesRequisitosComponentes usadosDiagrama de la redAntecedentesProceso del paquete FTDConfigurarTrabaje con las capturas del motor del SnortTrabaje con las capturas del motor del SnortTrabaje con las capturas del motor FTD LINATrabaje con las capturas del motor FTD LINA – Exporte una captura vía el HTTPTrabaje con las capturas del motor FTD LINA - Exporte una captura vía FTP/TFTP/SCPTrabaje con las capturas del motor FTD LINA – Rastree un paquete real del tráficoCapture la herramienta en las versiones de software Post-6.2 FMCRastree un paquete real en Post-6.2 FMCUtilidad del trazalíneas del paquete FTDHerramienta del trazalíneas UI del paquete en las versiones de software Post-6.2 FMCInformación Relacionada

Introducción

Este documento describe cómo trabajar con las capturas de la defensa de la amenaza deFirePOWER (FTD) y las utilidades del trazalíneas del paquete.

Prerequisites

Requisitos

No hay requisitos específicos para este documento.

Componentes usados

La información que contiene este documento se basa en estas versiones de software:

ASA5515-X que funciona con el software 6.1.0 FTD●

FPR4110 que funciona con el software 6.2.2 FTD●

FS4000 que funciona con el software 6.2.2 del centro de administración de FirePOWER(FMC)

●

La información que contiene este documento se creó a partir de los dispositivos en un ambientede laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron enfuncionamiento con una configuración verificada (predeterminada). Si su red está viva, asegúresede que usted entienda el impacto potencial del comando any.

Diagrama de la red

Antecedentes

Proceso del paquete FTD

El proceso del paquete FTD puede ser visualizado como sigue:

Un paquete ingresa la interfaz de ingreso y es manejado por el motor de LINA.1.Si la directiva requiere el paquete es examinado por el motor del Snort.2.El motor del Snort vuelve un veredicto (por ejemplo, lista blanca o lista negra) para elpaquete.

3.

Los descensos del motor de LINA o adelante el paquete basados en el veredicto del Snort.4.De acuerdo con la arquitectura, las capturas FTD se pueden admitir dos diversos lugares:

Configurar

Trabaje con las capturas del motor del Snort

Prerequisites

Hay una directiva del control de acceso (ACP) aplicada en FTD que permita que vaya el tráficodel Internet Control Message Protocol (ICMP) a través. La directiva también tiene una directiva dela intrusión aplicada:

Requisitos

Captura del permiso en el modo FTD CLISH usando ningún filtro.1.Haga ping con el FTD y controle la salida de la captura.2.

Solución

Paso 1. Ábrase una sesión a la consola o a SSH FTD al interfaz br1 y active la captura en elmodo FTD CLISH usando ningún filtro.

> capture-traffic

Please choose domain to capture traffic from:

0 - br1

1 - Router

Selection? 1

Please specify tcpdump options desired.

(or enter '?' for a list of supported options)

Options:

En FTD 6.0.x el comando es:

> system support capture-traffic

Paso 2. Haga ping con FTD y controle la salida de la captura.

> capture-traffic


0 - br1

1 - Router

Selection? 1



Options:

12:52:34.749945 IP olab-vl603-gw.cisco.com > olab-vl647-gw.cisco.com: ICMP echo request, id 0,

seq 1, length 80 12:52:34.749945 IP olab-vl647-gw.cisco.com > olab-vl603-gw.cisco.com: ICMP echo

reply, id 0, seq 1, length 80 12:52:34.759955 IP olab-vl603-gw.cisco.com > olab-vl647-

gw.cisco.com: ICMP echo request, id 0, seq 2, length 80 12:52:34.759955 IP olab-vl647-

gw.cisco.com > olab-vl603-gw.cisco.com: ICMP echo reply, id 0, seq 2, length 80 12:52:34.759955

IP olab-vl603-gw.cisco.com > olab-vl647-gw.cisco.com: ICMP echo request, id 0, seq 3, length 80

12:52:34.759955 IP olab-vl647-gw.cisco.com > olab-vl603-gw.cisco.com: ICMP echo reply, id 0, seq

3, length 80 12:52:34.759955 IP olab-vl603-gw.cisco.com > olab-vl647-gw.cisco.com: ICMP echo

request, id 0, seq 4, length 80 12:52:34.759955 IP olab-vl647-gw.cisco.com > olab-vl603-

gw.cisco.com: ICMP echo reply, id 0, seq 4, length 80

^C <- to exit press CTRL + C

Trabaje con las capturas del motor del Snort

Requisitos

Active la captura en el modo FTD CLISH usando un filtro para IP 192.168.101.1.1.Haga ping con FTD y controle la salida de la captura.2.

Solución

Paso 1. Active la captura en el modo FTD CLISH usando un filtro para IP 192.168.101.1.

> capture-traffic


0 - br1

1 - Router

Selection? 1



Options: host 192.168.101.1

Paso 2. Haga ping con el FTD y controle la captura hecha salir:

> capture-traffic


0 - br1

1 - Router

Selection? 1



Options: host 192.168.101.1

Usted puede utilizar - la opción n para ver los host y los números del puerto en el formatonumérico. Por ejemplo, la captura anterior será mostrada como:

> capture-traffic


0 - br1

1 - Router

Selection? 1



Options: -n host 192.168.101.1

13:29:59.599959 IP 192.168.101.1 > 192.168.103.1: ICMP echo reply, id 5, seq 0, length 80





Ejemplos del filtro de Tcpdump

Ejemplo 1

Para capturar el puerto IP o de Dst IP= 192.168.101.1 y de Src de Src o el puerto de Dst =TCP/UDP 23, ingrese este comando:

Options: -n host 192.168.101.1 and port 23

Ejemplo 2

Para capturar el puerto de Src IP= 192.168.101.1 y de Src = TCP/UDP 23, ingrese este comando:

Options: -n src 192.168.101.1 and src port 23

Ejemplo 3

Para capturar el puerto de Src IP= 192.168.101.1 y de Src = TCP 23, ingrese este comando:

Options: -n src 192.168.101.1 and tcp and src port 23

Ejemplo 4

Para capturar Src IP= 192.168.101.1 y ver el MAC address de los paquetes agregar la opción “e”,ingrese este comando:

Options: -ne src 192.168.101.1

17:57:48.709954 6c:41:6a:a1:2b:f6 > a8:9d:21:93:22:90, ethertype IPv4 (0x0800), length 58:

192.168.101.1.23 > 192.168.103.1.25420:

Flags [S.], seq 3694888749, ack 1562083610, win 8192, options [mss 1380], length 0

Ejemplo 5

Para salir después de que usted capture 10 paquetes, ingrese este comando:

Options: -n -c 10 src 192.168.101.1

18:03:12.749945 IP 192.168.101.1.23 > 192.168.103.1.27287: Flags [.], ack 3758037348, win 32768,

length 0

18:03:12.749945 IP 192.168.101.1.23 > 192.168.103.1.27287: Flags [P.], ack 1, win 32768, length

2


10

18:03:13.249971 IP 192.168.101.1.23 > 192.168.103.1.27287: Flags [.], ack 3, win 32768, length 0


2



10



12


Ejemplo 6

Para escribir una captura a un fichero con el nombre capture.pcap y copiarla vía el ftp a unservidor remoto, ingrese este comando:

Options: -w capture.pcap host 192.168.101.1 CTRL + C <- to stop the capture

> file copy 10.229.22.136 ftp / capture.pcap

Enter password for [email protected]:

Copying capture.pcap

Copy successful.

>

Trabaje con las capturas del motor FTD LINA

Requisitos

1. Permiso dos capturas en FTD usando estos filtros:

IP de lafuente

192.168.103.1

IP del destino 192.168.101.1

Protocolo ICMPInterfaz DENTROIP de lafuente

192.168.103.1


Protocolo ICMPInterfaz FUERA

2. Haga ping del host A (192.168.103.1) al host B (192.168.101.1) y controle las capturas.

Solución

Paso 1. Active las capturas:

> capture CAPI interface INSIDE match icmp host 192.168.103.1 host 192.168.101.1

> capture CAPO interface OUTSIDE match icmp host 192.168.101.1 host 192.168.103.1

Paso 2. Controle las capturas en el CLI.

Haga ping del host A al host B:

> show capture

capture CAPI type raw-data interface INSIDE [Capturing - 752 bytes]

match icmp host 192.168.103.1 host 192.168.101.1

capture CAPO type raw-data interface OUTSIDE [Capturing - 720 bytes]

match icmp host 192.168.101.1 host 192.168.103.1

Las dos capturas tienen diversos tamaños debido a la encabezado Dot1Q en la interfaz interior.Esto se muestra en este ejemplo de resultado:

> show capture CAPI

8 packets captured

1: 17:24:09.122338 802.1Q vlan#1577 P0 192.168.103.1 > 192.168.101.1: icmp: echo request

2: 17:24:09.123071 802.1Q vlan#1577 P0 192.168.101.1 > 192.168.103.1: icmp: echo reply







8 packets shown

> show capture CAPO

8 packets captured

1: 17:24:09.122765 192.168.103.1 > 192.168.101.1: icmp: echo request

2: 17:24:09.122994 192.168.101.1 > 192.168.103.1: icmp: echo reply


4: 17:24:10.121957 192.168.101.1 > 192.168.103.1: icmp: echo reply


6: 17:24:11.120263 192.168.101.1 > 192.168.103.1: icmp: echo reply


8: 17:24:12.134194 192.168.101.1 > 192.168.103.1: icmp: echo reply

8 packets shown

Trabajo con las capturas del motor FTD LINA – Exporte una captura vía el HTTP

Requisitos

Exporte las capturas admitidas el escenario previó con un navegador.

Solución

Para exportar las capturas con un navegador, usted necesita:

Active al servidor HTTPS.1.Permita el acceso HTTPS.2.

Por abandono, inhabilitan al servidor HTTPS y no se permite ningún acceso:

> show running-config http

>

Paso 1. Navegue a los dispositivos > a las configuraciones de la plataforma, haga clic la nuevadirectiva y elija las configuraciones de la defensa de la amenaza:

Especifique la blanco del nombre y del dispositivo de la directiva:

Paso 2. Active al servidor HTTPS y agregue la red que usted quiere ser permitido que tengaacceso al dispositivo FTD sobre el HTTPS:

Salve y despliegue.

Durante la implementación de política usted puede permitir al HTTP de la depuración para vercomenzar del servicio HTTP:

> debug http 255

debug http enabled at level 255.

http_enable: Enabling HTTP server HTTP server starting.

El resultado en FTD CLI es:

> unebug all

> show run http

http server enable http 192.168.103.0 255.255.255.0 INSIDE

Abra a un navegador en el host A (192.168.103.1) y utilice este URL para descargar la primeracaptura:

https://192.168.103.62/capture/CAPI/pcap/CAPI.pcap


Para la referencia:


IP de la Interfaz de datos FTDdonde se activa el servidor HTTP

https://192.168.103.62/capture/CAPI/pcap/CAPI.pcap El nombre de la captura FTD

https://192.168.103.62/capture/CAPI/pcap/ CAPI.pcap

El nombre del fichero que serádescargado

Para la segunda captura:

https://192.168.103.62/capture/CAPO/pcap/CAPO.pcap







https://192.168.103.62/capture/CAPO/pcap/CAPO.pcap

Trabajo con las capturas del motor FTD LINA - Exporte una captura víaFTP/TFTP/SCP

Requisitos

Exporte las capturas admitidas los escenarios previos con los protocolos FTP/TFTP/SCP.

Solución

Exporte una captura a un ftp server:

firepower# copy /pcap capture:CAPI ftp://ftp_username:[email protected]/CAPI.pcap

Source capture name [CAPI]?

Address or name of remote host [192.168.78.73]?

Destination username [ftp_username]?

Destination password [ftp_password]?

Destination filename [CAPI.pcap]?

!!!!!!

114 packets copied in 0.170 secs

firepower#

Exporte una captura a un servidor TFTP:

firepower# copy /pcap capture:CAPI tftp://192.168.78.73



Destination filename [CAPI]?

!!!!!!!!!!!!!!!!

346 packets copied in 0.90 secs

firepower#

Exporte una captura a un servidor de SCP:

firepower# copy /pcap capture:CAPI scp://scp_username:[email protected]



Destination username [scp_username]?

Destination filename [CAPI]?

The authenticity of host '192.168.78.55 (192.168.78.55)' can't be established.

RSA key fingerprint is

<cb:ca:9f:e9:3c:ef:e2:4f:20:f5:60:21:81:0a:85:f9:02:0d:0e:98:d0:9b:6c:dc:f9:af:49:9e:39:36:96:33

>(SHA256).

Are you sure you want to continue connecting (yes/no)? yes

Warning: Permanently added '192.168.78.55' (SHA256) to the list of known hosts.

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

454 packets copied in 3.950 secs (151 packets/sec)

firepower#

Trabaje con las capturas del motor FTD LINA – Rastree un paquete real del tráfico

Requisitos

Active una captura en FTD con estos filtros:

IP de la fuente 192.168.103.1


Protocolo ICMPInterfaz DENTROSeguimiento delpaquete sí

Número depaquetes querastrean

100

Haga ping del host A (192.168.103.1) el host B (192.168.101.1) y controle las capturas.

Solución

Rastrear un paquete real puede ser muy útil para resolver problemas los problemas de laConectividad. Permite que usted vea todos los controles internos a través de los cuales unpaquete pasa. Agregue las palabras claves del detalle del rastro y especifique la cantidad depaquetes que usted quiera ser rastreado. Por abandono, el FTD rastrea los primeros 50 paquetesde ingreso.

En este caso, captura del permiso con el detalle del rastro para los primeros 100 paquetes que

FTD recibe en la interfaz interior:

> capture CAPI2 interface INSIDE trace detail trace-count 100 match icmp host 192.168.103.1 host

192.168.101.1

Haga ping del host A al host B y controle el resultado:

Los paquetes capturados son:

> show capture CAPI2

8 packets captured









8 packets shown

Esta salida muestra un rastro del primer paquete. Las piezas interesantes son:

Fase 12 donde se puede considerar el “flujo delantero”. Éste es el arsenal del envío del motorde LINA (con eficacia la orden de funcionamiento interna)

●

Fase 13 donde FTD envía el paquete para resoplar caso●

Fase 14 donde se considera el veredicto del Snort●

> show capture CAPI2 packet-number 1 trace detail

8 packets captured

1: 18:08:04.232989 000c.2998.3fec a89d.2193.2293 0x8100 Length: 78

802.1Q vlan#1577 P0 192.168.103.1 > 192.168.101.1: icmp: echo request (ttl 128, id 3346)

Phase: 1

Type: CAPTURE

... output omitted ...

Phase: 12

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 195, packet dispatched to next module

Module information for forward flow ...

snp_fp_inspect_ip_options

snp_fp_snort

snp_fp_inspect_icmp

snp_fp_adjacency

snp_fp_fragment

snp_ifc_stat

Module information for reverse flow ...

snp_fp_inspect_ip_options

snp_fp_inspect_icmp

snp_fp_snort

snp_fp_adjacency

snp_fp_fragment

snp_ifc_stat

Phase: 13

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:


Application: 'SNORT Inspect'

Phase: 14

Type: SNORT

Subtype:

Result: ALLOW

Config:


Snort Verdict: (pass-packet) allow this packet


Result:

input-interface: OUTSIDE

input-status: up

input-line-status: up

output-interface: OUTSIDE

output-status: up

output-line-status: up

Action: allow

1 packet shown

>

Herramienta de la captura en las versiones de software Post-6.2 FMC

En la versión 6.2.x FMC, presentaron a un nuevo Asisitente de la captura de paquetes. Naveguea los dispositivos > a la Administración de dispositivos y haga clic el icono del Troubleshooting.Entonces elija el troubleshooting avanzado y finalmente capture w/Trace.

Elija agregan la captura para crear una captura FTD:

Las limitaciones actuales FMC UI son:

No puede especificar los puertos de Src y de Dst●

Solamente los protocolos básicos IP pueden ser correspondidos con●

No puede activar la captura para los descensos del motor ASP de LINA●

Workaround – Utilice el FTD CLI.

Tan pronto como usted aplique una captura del FMC UI la captura se está ejecutando:

La captura en FTD CLI:

> show capture

capture CAPI%intf=INSIDE% type raw-data trace interface INSIDE [Capturing - 0 bytes]

match ip host 192.168.0.10 host 192.168.2.10

>

Rastree un paquete real en Post-6.2 FMC

En FMC 6.2.x, el Asisitente de la captura w/Trace permite que usted capture y que rastree lospaquetes reales en FTD:

Usted puede controlar el paquete rastreado en el FMC UI:

Utilidad del trazalíneas del paquete FTD

Requisitos

Utilice la utilidad del trazalíneas del paquete para este flujo y controle cómo el paquete serámanejado internamente:

Interfaz de ingreso DENTRO

Protocolo Petición de la generación deeco ICMP

IP de la fuente 192.168.103.1IP del destino 192.168.101.1

Solución

El trazalíneas del paquete generará un paquete virtual. Tal y como se muestra en de esteejemplo, el paquete es un tema a resoplar examen. Una captura tomada al mismo tiempo en elSnort-nivel (captura-tráfico) muestra la petición de la generación de eco ICMP:

> packet-tracer input INSIDE icmp 192.168.103.1 8 0 192.168.101.1

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:


MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule


MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:


found next-hop 192.168.101.1 using egress ifc OUTSIDE

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip 192.168.103.0 255.255.255.0 192.168.101.0

255.255.255.0 rule-id 268436482 event-log both

access-list CSM_FW_ACL_ remark rule-id 268436482: ACCESS POLICY: FTD5515 - Mandatory/1

access-list CSM_FW_ACL_ remark rule-id 268436482: L4 RULE: Allow ICMP

Additional Information: This packet will be sent to snort for additional processing where a

verdict will be reached


Phase: 12

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:


New flow created with id 203, packet dispatched to next module

Phase: 13

Type: SNORT

Subtype:

Result: ALLOW

Config:


Snort Trace:

Packet: ICMP

AppID: service ICMP (3501), application unknown (0)

Firewall: allow rule, id 268440225, allow

NAP id 2, IPS id 0, Verdict PASS

Snort Verdict: (pass-packet) allow this packet

Result: input-interface: INSIDE input-status: up input-line-status: up output-interface: OUTSIDE

output-status: up output-line-status: up Action: allow >

La captura del Snort-nivel durante la prueba del paquete-trazalíneas muestra el paquete virtual:

> capture-traffic


0 - management0

1 - Router

Selection? 1



Options: -n

13:27:11.939755 IP 192.168.103.1 > 192.168.101.1: ICMP echo request, id 0, seq 0, length 8

Herramienta del trazalíneas UI del paquete en las versiones de software Post-6.2FMC

En la versión 6.2.x FMC la herramienta del trazalíneas UI del paquete fue introducida. Laherramienta es accesible igual que la herramienta de la captura y permite que usted ejecute eltrazalíneas del paquete en FTD del FMC UI:

Información Relacionada

Guía de referencia de comandos de la defensa de la amenaza de FirePOWER●

Release Note del sistema de FirePOWER, versión 6.1.0●

Guía de configuración de la defensa de la amenaza de Cisco FirePOWER para eladministrador de dispositivos de FirePOWER, versión 6.1

●

Soporte técnico y documentación - Cisco Systems●

/content/en/us/td/docs/security/firepower/command_ref/Firepower-Threat-Defense-Command-Reference-Guide/c1.html

/content/en/us/td/docs/security/firepower/610/relnotes/Firepower_System_Release_Notes_Version_610.html

/content/en/us/td/docs/security/firepower/610/fdm/fptd-fdm-config-guide-610/fptd-fdm-use-cases.html

/content/en/us/td/docs/security/firepower/610/fdm/fptd-fdm-config-guide-610/fptd-fdm-use-cases.html

https://www.cisco.com/c/es_mx/support/index.html

trabajo con las capturas de la defensa de la amenaza de ... · asa5515-x que funciona con el...

Documents