SAMPLE FIREWALL AUDIT FORTROLIGT & PERSONLIGT 2003-2015. Side 1 af 34
Personligt & fortroligt Att.: Kontaktperson Kunde A/S Adresse Postnummer og By Kære Kontaktperson, Lyngby den 8. april 2015 >> Vedr. firewall audit Analysen er gennemført i tidsrummet mellem d. 15. og d. 8. april 2015. På http://www.digicure.dk findes der en detaljeret, teknisk rapport samt en kopi af dette følgebrev. Det skal bemærkes, at vi ikke har haft fysisk adgang til netværket og derfor ikke har haft mulighed for at undersøge de påpegede uhensigtsmæssigheder til bunds. >> Omfang Omfanget af dette firewall review er, at analysen af reglerne og opsætningen udføres off-line ved brug af udleverede konfigurations- og route filer for:, Cisco ASA Version 8.6(1)2, xxx.xxx.xxx.130, i alt 1 stk. Den gennemførte analyse afdækker bl.a. detektering af uhensigtsmæssigheder i: Redundante regler Konfliktende regler VPN og administrative service regler Klartekst protokoller ANY service-, source- og destination regler SSL regler Inaktive regler Regler uden kommentarer og logning Opsætning generelt (banner, syslog, kryptering, timeouts, syslog levels) Operativsystemet baseret på offentliggjorte sårbarheder Det er aftalt, at analysen ikke indeholder et check for hvor hyppigt reglerne anvendes baseret på logfiler. I denne analyse er det ligeledes aftalt, at Digicure har fået udleveret et opdateret netværksdiagram. Der er udført følgende analyse på enhederne: IPCURE type Intern Ekstern Web Penetration Wi-Fi Firewall Udført Tabel 1: Udførte opgaver. Slutteligt findes der en definition af risikoklassificeringen benyttet i denne analyse samt forbehold med henblik på analysens resultater. FORTROLIGT & PERSONLIGT 2003-2015. Side 2 af 34
>> Overordnet analyseresultat Der er med den netop udførte IPCURE firewall analyse, samlet konstateret 36 uhensigtsmæssigheder, hvoraf 19 klassificeres under de alvorlige risikodefinitioner. Mængden og kritikaliteten af uhensigtsmæssigheder sammenholdt med antallet af analyserede firewalls betyder, at det samlede sikkerhedsniveau vurderes til at ligge under middel. Den yderst-kritiske uhensigtsmæssighed omhandler 9 regler, der tillader trafik fra Any Source To Any Destination And Any. Dette betyder, at en ondsindet angriber har mulighed for at sende arbritær trafik til alle tjenester bagved firewall en på de berørte 5 interfaces. Firewall en anvender et forældet IOS operativsystem, hvilke gør den sårbar overfor en række angreb. Der er 22 offentligt kendte sårbarheder, der er registreret i CVE (Common Vulnerabilities and Exposures) databasen, og de Yderst-kritiske sårbarheder omhandler Bypass af autentifikation samt Buffer Overflow angreb. Lykkes det at udnytte disse sårbarheder kan firewall en overtages af en ondsindet angriber på administrator niveau. Der finders regler, der tillader brugen af klartekst protokoller såsom FTP, Telnet, HTTP og SMTP. Konsekvensen ved at tillade dette er, at netværkstrafikken kan opsamles af uvedkommende og fortrolige oplysninger såsom brugernavn, kodeord, kreditkortoplysninger m.v. kan komme i forkerte hænder via et MiTM (Man-in-The-Middle) angreb. Firewall en er konfigureret med VPN aggressive mode, der muliggør at den udvekslede preshared key (PSK) kan opsamles og brydes offline. Lykkedes dette, vil angriberen kunne få adgang til tjenester bagved firewall en. Generelt er der mange regler, der er sat uhensigtsmæssigt op, primært er mange alt for brede, idet de tillader trafik mellem IP ranges og port ranges. Disse vide regler gør, at der potentielt er mange angrebsmuligheder for en ondsindet angriber. Det skal tilføjes, at før angreb kan udføres succesfuldt, kræves det at servicen også er sårbar. I de efterfølgende afsnit vil I kunne finde en mere detaljeret beskrivelse af eksempler på de enkelte uhensigtsmæssigheder samt finde en prioriteret handlingsplan for udbedring af disse som det anbefales at følge. Fordeling af uhensigtsmæssigheder Yderst kritisk 1 Kritisk 7 Høj 11 Medium 13 Lav 4 Total 36 0 5 10 15 20 25 30 35 40 Figur 1: Overordnet uhensigtsmæssighedsfordeling på kategorier. Ovenstående figur viser en oversigt over antallet af uhensigtsmæssigheder fordelt på de forskellige risikodefinitioner. FORTROLIGT & PERSONLIGT 2003-2015. Side 3 af 34
>> Uhensigtsmæssighedernes fordeling på risikogrupper Nedenstående tabel giver et overblik over fordelingen af uhensigtsmæssigheder. Uhensigtsmæssigheder pr. firewall Yderst kritisk Kritisk Høj Medium Lav Total 1 7 11 13 4 36 Total 1 7 11 13 4 36 Tabel 2: Uhensigtsmæssighedsfordeling pr. firewall Ovenstående tabel viser en oversigt over antallet af uhensigtsmæssigheder, der er konstateret med analysen samt deres respektive risikodefinitioner. Heraf kan det ses, hvor indsatsen bør prioriteres med det formål at få forbedret sikkerhedsniveauet mest muligt. Det skal bemærkes, at ikke alle uhensigtsmæssigheder er ofte grundet mængden ikke medtaget i dette følgebrev, hvorfor der henvises til den tekniske rapport hvori alle uhensigtsmæssigheder forefindes. >> Uhensigtsmæssighedsudvikling Siden forrige analyse, der blev udført (ingen tidligere analyser) er der konstateret følgende overordnede udvikling: Udvikling Yderst kritisk Kritisk Høj Medium Lav Total Udbedret 0 0 0 0 0 0 Tilkommet 1 7 11 13 4 36 Total 1 7 11 13 4 36 Tabel 3: Uhensigtsmæssighedsudvikling Da der ikke tidligere er foretaget nogen sikkerhedsanalyse for Kunde A/S af den pågældende firewall, er det ikke muligt at beskrive en uhensigtsmæssighedsudvikling. Det er også derfor, at samtlige af de 36 detekterede uhensigtsmæssigheder fremstår som tilkommet. Normalt vil der i dette afsnit blive beskrevet hvilke uhensigtsmæssigheder, der er tilkommet samt hvilke, der er udbedret sammenlignet med forrige analyse. FORTROLIGT & PERSONLIGT 2003-2015. Side 4 af 34
>>Anbefalinger Der blev med den udførte IPCURE firewall analyse konstateret 36 uhensigtsmæssigheder, hvoraf 19 er af kategorien Høj eller derover, og derfor må betragtes som alvorlige. Denne kategorisering kommer som følge af de konsekvenser uhensigtsmæssighederne kan have for systemerne eller brugerne deraf. Det anbefales derfor, udbedringen af disse uhensigtsmæssigheder prioriteres højt. Risiko Handling Lokation Yderst kritisk Begræns Any-Any regler til de specifikke enheder. Kritisk Opdater IOS operativsystemet til nyeste version. Kritisk Begræns adgange til administrative services. Kritisk Modificer reglerne for at begrænse adgang til klar-tekst services. Kritisk Tillad kun main mode for alle IPSec VPN forbindelser. Kritisk Sæt SSH timeout til maksimalt 10 minutter. Kritisk Sæt console session timeout til maksimalt 10 minutter. Kritisk Modificer reglerne for at begrænse adgang fra SRC IP range til Any DST og Any porte. Kritisk Aktiver unicast-rpf for at imødegå anti-spoofing. Høj Modificer reglerne for at begrænse adgang til potentielle database følsomme services. Høj Modificer reglerne for at begrænse adgang fra Any SRC til Any DST. Høj Modificer reglerne for at begrænse adgang fra SRC range til DST IP range og Any porte Høj Modificer reglerne for at begrænse adgang til Any DST og Any DST porte. Høj Modificer reglerne for at begrænse adgang fra en SRC IP range til Any DST og en port range. FORTROLIGT & PERSONLIGT 2003-2015. Side 5 af 34
Høj Modificer reglerne for at begrænse adgang fra Any SRC til Any DST porte. Høj Tillad kun stærke cifre over 128 bit ved SSL kryptering. Høj Modificer reglerne for at begrænse adgang fra en SRC IP range til en DST IP range og en porte range. Høj Modificer reglerne for at begrænse adgang fra Any SRC til en porte range Høj Modificer reglerne for at begrænse adgang til en DST IP range og Any porte. Medium Aktiver NTP autentifikation. Medium Modificer reglerne for at begrænse adgang fra SRC IP range til Any DST. Medium Modificer reglerne for at begrænse typen af tilladte protokoller. Medium Modificer reglerne for at begrænse adgang fra SRC IP range til Any porte. Medium Modificer reglerne for at begrænse adgang til DST IP range og DST porte. Medium Modificer reglerne for at begrænse adgang fra Any SRC. Medium Modificer reglerne for at begrænse adgang til Any DST. Medium Modificer reglerne for at begrænse adgang fra en SRC IP range til DST port range. Medium Modificer reglerne for at begrænse adgang fra en SRC IP range til DST IP range. Medium Modificer reglerne for at begrænse adgang til Any DST porte. Medium Sæt logon banner med advarsel mod uautoriseret login forsøg. Lav Krypter alle syslog meddelelser. Lav Fjern inaktive regler. FORTROLIGT & PERSONLIGT 2003-2015. Side 6 af 34
Lav Fjern overlappende regler. Lav Fjern ubenyttede objektgrupper. Tabel 4: Prioriteret handlingsplan Ovenstående tabel giver et samlet overblik over de udbedringer, det anbefales at udføre. I de efterfølgende afsnit vil der være uddybende beskrivelser samt konkrete anbefalinger til udbedring. Regler tillader adgang fra Any SRC til Any DST og Any Yderst kritisk uhensigtsmæssighed Det er blevet detekteret, at et antal netværks filter regler tillader pakker fra en vilkårlig host til en vilkårlig modtager host på alle porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST Log 6 int01 Ja Any Any Any Any Any n/a 4 int02 Ja Any Any Any Any Any n/a 1-3 int03 Ja Any Any Any Any Any n/a 1-3 int04 Ja Any Any Any Any Any n/a 1 int05 Ja Any Any Any Any Any n/a Tabel 5: Extended ACL tillader trafik fra any SRC til any DST på any port hos Det anbefales, at reglen fjernes eller begrænses til kun at tillade need-to-have trafik mellem specificerede hosts og porte. Se guidelines for implementering af Access Control Lists på http://www.cisco.com/c/en/us/td/docs/ios/12_2/security/configuration/guide/fsecur_c/scfacls. html FORTROLIGT & PERSONLIGT 2003-2015. Side 7 af 34
Forældet IOS operativsystem Kritisk uhensigtsmæssighed Baseret på firewall ens IOS version er det detekteret, at der anvendes en forældet verion af IOS operativsystemet. Der er i alt fundet 22 sårbarheder, hvor de 3 alvorligste omhandler Bypass af autentifikation (CVE-2013-5511) og to Buffer Overflows (CVE-2012-0358 og CVE-2012-4661). Se detaljer på hhv. http://web.nvd.nist.gov/view/vuln/search-results?query=cve-2013-5511, http://web.nvd.nist.gov/view/vuln/search-results?query=cve-2012-0358 og http://web.nvd.nist.gov/view/vuln/search-results?query=cve-2012-4661 : 8.6(1)2 Figur 2: Forældet operativsystem Det anbefales at opgradere operativsystemet til nyeste version. Se www.cisco.com for flere detaljer og for at hente nyeste tilgængelige IOS version. Regler tillader adgang til Administrative Services Kritisk uhensigtsmæssighed Der er detekteret regler, der håndterer typiske protokoller til administrations formål. Eksempler på sådanne standard porte er SSH (22/tcp), Telnet (23/tcp) og RDP (3389/tcp). Men også andre porte kan anvendes til administrative formål. I nedenstående tabeller er der ikke nævnt Http og Https, da disse fylder en del og der henvises derfor til den tekniske rapport desangående. R# Interface Aktiv Prot SRC SRC DST DST Log okol 5 int01 Ja TCP Any Any Any 22 n/a 129 int01 Ja TCP Any Any xxx.xxx.x 23 n/a xx.1 50 int06 Ja TCP xxx.xxx.xxx.237 Any xxx.xxx.x 3389 n/a xx.151 14 int07 Ja TCP Barracuda (xxx.xxx.xxx.13) Any xxx.xxx.x xx.66 22 n/a 51 int08 Ja TCP xxx.xxx.xxx.37 Any xxx.xxx.x xx.197 networ k03 (23) n/a Tabel 6: Eksempler på Extended ACL til administrative services på Det anbefales, at reglerne rettes til, så kun administrative brugers IP adresser har adgang til administrative services. Dette betyder, at reglerne skal begrænses til kun at tillade trafik: FORTROLIGT & PERSONLIGT 2003-2015. Side 8 af 34
til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller - Regel nr. 2-3, 13-14, 16, 18-20, 23-25, 27-31, 33-34, 36-37, 39-42, 51-53, 63-68, 72-74, 76-78, 87-99, 103, 106-108, 115, 122, 126, 128-131, 139-141, 145-153, 155-156,166 og 173-175 på interface int01 - Regel nr. 2-3, 13-14, 16, 18-20, 23-25, 27-31, 33-34, 36-37, 39, 42-46, 48-50 og 64 på interface int06 - Regel nr. 1-3, 12-15 og 17-19 på interface int09 - Regel nr. 3-4 og 12-13 på interface int10 - Regel nr. 1, 3-4, 11-12, 19 og 21-22 på interface int11 - Regel nr. 4 på interface int02 - Regel nr. 1-3 og 7 på interface int03 - Regel nr. 1-2 på interface int12 - Regel nr. 2-3 og 5 på interface int13 - Regel nr. 4 på interface int14 - Regel nr. 1-3 på interface int04 - Regel nr. 1 på interface int05 - Regel nr. 2, 5, 8, 17, 22-23 og 28 på interface int15 - Regel nr. 4, 6, 12-14, 16, 2, 26, 28, 42 og 44 på interface int07 - Regel nr. 2, 5, 12, 18, 20-22, 24, 28, 31 og 50-53 på interface int08 - Regel nr. 2 på interface int16 Regler tillader adgang til klar-tekst services Kritisk uhensigtsmæssighed Der er detekteret regler, der håndterer adgange til typiske klar-tekst services. Eksempler på sådanne standard services er Ftp (21/tcp), Smtp (25/tcp), Telnet (23/tcp), Http (80 og 8080/tcp), Pop3 (110/tcp). I nedenstående tabeller er der ikke nævnt Http, da denne fylder en del og der henvises derfor til den tekniske rapport desangående. R# Interface Aktiv Prot SRC SRC DST DST Log okol 109 int01 Ja TCP network08 Any Any 21 n/a xxx.xxx.xxx.0 129 int01 Ja TCP Any Any xxx.xxx.xxx.1 23 n/a 15 int06 Ja TCP Any Any xxx.xxx.xxx.19 25 n/a 5 int10 Ja TCP Any Any Any 21 n/a 8 int11 Ja TCP xxx.xxx.xxx.0 Any Any 110 n/a /24 13 int11 Ja TCP, Any Any network04 389 n/a UDP (xxx.xxx.xxx.11- xxx.xxx.xxx.12) Tabel 7: Eksempler på Extended ACL tillader adgang til klar-tekst hos Det anbefales generelt, at udskifte klar-tekst services med krypterede ditto der skal naturligvis tages højde for funktionaliten og anvendelsen af de enkelte services bagved. FORTROLIGT & PERSONLIGT 2003-2015. Side 9 af 34
Reglerne bør rettes til, så kun bestemte IP adresser har adgang til specifikke klar-tekst services. Dette betyder, at reglerne skal begrænses til kun at tillade trafik : til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 1, 6, 10, 12, 17, 25-26, 28-29, 39-40, 42, 63-68, 72-74, 76-78, 89, 98, 103, 108-109, 122, 128-131, 139-141, 145-153, 155-158, 166 og 173-175 på interface int01 - Regel nr. 2, 13-15, 17-20, 24, 27-30, 35-37, 42-43, 45, 48, og 64 på interface int06 - Regel nr. 1-3, 12-15 og 17-19 på interface int09 - Regel nr. 3, 5 og 12-13 på interface int10 - Regel nr. 1, 4, 8-9, 11-13, 19 og 21-22 på interface int11 - Regel nr. 4 på interface int02 - Regel nr. 1-3 og 7 på interface int03 - Regel nr. 1 på interface int12 - Regel nr. 2 og 5 på interface int13 - Regel nr. 4 på interface int14 - Regel nr. 1-3 på interface int04 - Regel nr. 1 på interface int05 - Regel nr. 2, 5, 8, 12, 14-15, 17, 19, 22-23 og 28-29 på interface int15 - Regel nr. 6, 12-13, 16, 19-21, 27-30, 33, 35-36, 38-40, 42 og 44 på interface int07 - Regel nr. 2, 6, 12, 18, 20-22, 24, 26, 28, 31 og 50-53 på interface int08 - Regel nr. 2 på interface int16 FORTROLIGT & PERSONLIGT 2003-2015. Side 10 af 34
VPN - Aggressive mode Kritisk uhensigtsmæssighed Det blev konstateret, at firewallen understøtter Aggressive mode, der gør det muligt for klienter at oprette forbindelse til serveren hurtigere. Selv samme Aggressive mode gør det samtidig muligt for angribere at udføre et offline bruteforce angreb mod den udvekslede PSK nøgle. Dette medføre at angriberen kan hente og forsøge at dekryptere PSK nøglen uden det vil blive opdaget. Visse VPN klienter kræver, at denne form for autentifikation er understøttet, hvorfor det anbefales, at I undersøger om dette er tilfældet med jeres konfiguration. Yderligere information omkring deaktivering og konsekvenserne heraf, kan læses på følgende link: http://www.cisco.com/c/en/us/td/docs/security/asa/asa70/configuration/guide/config/ike.html #wp1051341 Auth DH Group Kryptering Hash Mode Iime (min.) PSK Group 2 (1024-bit) 3DES (168-bit) SHA1 Aggr 1440 Tabel 8: VPN aggressive mode er konfigureret på Det anbefales, at kun main mode anvendes når IPSEC VPN nøgleudvekslingen foregår. SSH - Time-out Kritisk uhensigtsmæssighed Den automatiske timeout værdi for SSH sessioner er sat uhensigtsmæssigt højt. Ved ufuldstændige afslutninger af SSH sessionen kan en ondsindet angriber potentielt overtage sessionen med tilhørende ofte administrative rettigheder. Der er i praksis tale om et MiTM (Man-in-The-Middle) angreb, hvor en åben session kompromitteres. ssh timeout 60 Figur 3: Høj SSH timeout værdi Det anbefales, at nedsætte værdien fra 60 minutter til 10 minutter. Se endvidere Ciscos Configuring Management Access på linket http://www.cisco.com/c/en/us/td/docs/security/asa/asa83/configuration/guide/config/access_ management.html FORTROLIGT & PERSONLIGT 2003-2015. Side 11 af 34
Manglende konsol - Time-out Kritisk uhensigtsmæssighed Den automatisle timeout værdi ved konsol adgang er 0, hvilket betyder at sessionen ikke terminerer automatisk efter et antal minutter, men forbliver åben. Uvedkommende kan derfor uforvarrent få adgang til sessionen, der ofte anvendes til administrative opgaver. console timeout 0 Figur 4: Ingen konsol timeout Det anbefales, at sætte værdien til 10 minutter. Se endvicere Ciscos Configuring Management Access på linket http://www.cisco.com/c/en/us/td/docs/security/asa/asa83/configuration/guide/config/access_ management.html Regler tillader adgang fra SRC IP range til Any DST og Any Kritisk uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til vilkårlige IP adresser og vilkårlige porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 5 int13 Ja TCP xxx.xxx.xxx. Any Any Any n/a 0/24 Tabel 9: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra til specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 5 på interface int13 FORTROLIGT & PERSONLIGT 2003-2015. Side 12 af 34
Manglende antispoofing (Unicast Reverse Path Forwarding) Kritisk uhensigtsmæssighed Det er detekteret, at der ikke anvendes antispoofing filtre, der kan validere om trafikken kommer fra valide IP-adresser. Unicast RPF (Reverse Path Forwarding ) er selvlærende og detekterer selv forandringer i infrastrukturen. Det anbefales, at aktivere antispoofing filtret på alle eller dele af interfacene. Se endvicere Ciscos Unicast Reverse Path Forwarding på linket http://www.cisco.com/web/about/security/intelligence/unicast-rpf.html - Interfaces : int01, int02, int03, int05 Regler tillader adgang til følsomme Database Services Høj-risiko uhensigtsmæssighed Der er detekteret regler, der håndterer typiske adgange til database systemer. Eksempler på sådanne standard databaser er MSSQL (1433/tcp) og MySQL (3306/tcp). Men også andre porte kan anvendes til database services. I nedenstående tabeller er der kun nævnt MSSQL og MySQL. Pågrund af mængden, henvises der derfor til den tekniske rapport desangående. R# Interface Aktiv Protokol SRC SRC DST DST Log 3 int01 Ja TCP xxx.xxx.xxx.0 Any xxx.xxx.xxx.25 1433 n/a 13 int01 Ja TCP xxx.xxx.xxx.2 Any xxx.xxx.xxx.34 1433 n/a 136 int01 Ja TCP network08 Any xxx.xxx.xxx.118 1433 n/a xxx.xxx.xxx.0 (xxx.xxx.xxx. 0/12) 27 int15 Ja TCP xxx.xxx.xxx.3 Any xxx.xxx.xxx.2 1433 n/a 4 17 int07 Ja TCP xxx.xxx.xxx.2 Any xxx.xxx.xxx.25 1433 n/a 8 18 int07 Ja TCP xxx.xxx.xxx.2 Any xxx.xxx.xxx.76 1433 n/a 8 43 int08 Ja TCP xxx.xxx.xxx.4 Any xxx.xxx.xxx.25 1433 n/a 2 Tabel 10: Eksempler på Extended ACL til database services på Generelt er der observeret for mange regler, der tillader trafik til DST port 1433. Dette bør begrænses til specifikke porte. Det anbefales yderligere, at reglerne rettes til, så kun specifikke IP adresser har adgang til database services. Dette betyder, at reglerne skal begrænses til kun at tillade trafik : FORTROLIGT & PERSONLIGT 2003-2015. Side 13 af 34
til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller - Regel nr. 3, 13 og 136 på interface int01 - Regel nr. 18 og 27 på interface int15 - Regel nr. 17-18 på interface int07 Regler tillader adgang fra Any SRC og Any DST Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra alle IP adresser til alle IP adresser, hvor begræsningen kan være portene og/eller protokoltypen (ICMP og UDP). Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST Log 164 int01 Ja TCP Any Any Any 2776 n/a 8-9 int10 Ja TCP Any Any Any 53, 1935 n/a 20 int11 Ja TCP Any Any Any 50001 n/a 4 int03 Ja ICMP Any Any Any n/a n/a 1 int14 Ja TCP, UDP Any Any Any 60000 n/a Tabel 11: Eksempel på Extended ACL regler, der tillader trafik fra Any SRC til Any DST hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser og ikke ranges - har adgang. Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser - Regel nr. 5, 143, 159-160 og 164 på interface int01 - Regel nr. 3-9 på interface int10 - Regel nr. 3-4, 7 og 20 på interface int11 - Regel nr. 4 på interface int03 - Regel nr. 1-3 på interface int12 - Regel nr. 2-4 på interface int13 - Regel nr. 1-4 på interface int14 - Regel nr. 1-2 på interface int16 FORTROLIGT & PERSONLIGT 2003-2015. Side 14 af 34
Regler tillader adgang fra SRC IP range til DST IP range og Any DST porte Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik til og fra IP ranges til alle destinations porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot okol 122 int01 Ja TCP, UDP SRC network08 xxx.xxx.xxx.0 (xxx.xxx.xxx. 0/12) SRC Any DST xxx.xxx.xxx. 0/24 DST Any Tabel 12: Eksempel på Extended ACL regler, der tillader trafik til og fra IP ranges til Any DST port hos Log n/a Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser og ikke ranges - har adgang. Dette betyder, at reglerne skal begrænses til kun at tillade trafik : til specifikke modtager IP adresser fra til specifikke afsender IP adressers porte - Regel nr. 40, 122, 128, 130-131, 140 og 150 på interface int01 - Regel nr. 3, 12-15 og 17-19 på interface int09 - Regel nr. 7 på interface int03 Regler tillader adgang til Any DST og Any DST porte Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik til alle IP adresser og porte, hvor begrænsningen kan være afsender ip adressen. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST Log 74 int01 Ja TCP network05 Any Any Any n/a (xxx.xxx.xxx.227) Tabel 13: Eksempel på Extended ACL regler, der tillader trafik til Any DST og DST port hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser og ikke ranges - har adgang. Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adressers porte via specifikke protokoller og for ICMP specificeres message typen FORTROLIGT & PERSONLIGT 2003-2015. Side 15 af 34
- Regel nr. 74, 141, 151-152, 155 og 173-175 på interface int01 - Regel nr. 1-2 på interface int09 - Regel nr. 1 og 21-22 på interface int11 - Regel nr. 12 og 44 på interface int07 Regler tillader adgang fra SRC IP range til Any DST og en range Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til vilkårlige IP adresser med en port range. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 127 int01 Ja TCP network08 Any Any 4001- n/a xxx.xxx.xxx.0 (xxx.xxx.xxx.0/1 2) 4004 Tabel 14: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 127 på interface int01 FORTROLIGT & PERSONLIGT 2003-2015. Side 16 af 34
Regler tillader adgang fra Any SRC til Any DST port Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra alle IP adresser til vilkårlige porte på en specifik enhed. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST 156 int01 Ja Any Any Any xxx.xxx.xxx.75 Any n/a Tabel 15: Eksempler på Extended ACL regler, der tillader trafik fra Any SRC til Any DST port hos Log Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser og ikke ranges - har adgang. Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 145-149, 153 og 156 på interface int01 - Regel nr. 18-19 på interface int06 - Regel nr. 12-13 på interface int10 SSL svage cifre Høj-risiko uhensigtsmæssighed Under denne audit er det blevet konstateret, at der understøttes svage krypteringscifre med nøgler på mindre end 128 bit i forbindelse med sikring af HTTPS kommunikationen mellem klient og server. Krypteringscifre på mindre end 128 bit, vurderes ikke som værende sikre, da en determineret angriber vil kunne bryde krypteringen disse giver. Dette vil kunne gennemføres gennem bruteforce angreb, hvor alle kombinationer forsøges som følge af den regnekraft, der er tilgængelig for almindelige brugere i dag. Kryptering Autentifikation Nøgle længde SSLv2 SSLv3 TLSv1 3DES: SHA1: 168 bits Ja Ja Ja 56 bits Ja Ja Ja RC4: MD5: 40 bits Ja Ja Ja 56 bits Ja Ja Ja 64 bits Ja Ja Ja 128 bits Ja Ja Ja AES: SHA1: 128 bits Ja Ja Ja 192 bits Ja Ja Ja 256 bits Ja Ja Ja Tabel 16: Understøttelse af svage SSL-cifre på FORTROLIGT & PERSONLIGT 2003-2015. Side 17 af 34
Det anbefales derfor, at krypteringscifre på mindre end 128 bit ikke supporteres. Regler tillader adgang fra SRC IP range til DST IP range og en range Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til modtager IP adresser ranges. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 44 int01 Ja TCP xxx.xxx.xxx.0 Any xxx.xxx.x 50000- n/a /24 xx.0/24 50030 Tabel 17: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST port hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser (og ikke ranges) har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 44 på interface int01 FORTROLIGT & PERSONLIGT 2003-2015. Side 18 af 34
Regler tillader adgang fra Any SRC til DST portrange Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP ranges til modtagers portrange. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 168 int01 Ja TCP Any Any xxx.xxx.xxx. network06 (321, n/a 4 50000-50200) Tabel 18:Eksempler på Extended ACL regler, der tillader trafik fra any SRC til DST portrange hos Det anbefales yderligere, at reglerne rettes til, så der kun er adgang til bestemte porte (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 168 på interface int01 Regler tillader adgang til DST IP range og Any Høj-risiko uhensigtsmæssighed Nedenstående regler tillader trafik til IP adresse ranges til vilkårlige IP adresser på vilkårlige porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 5 int15 Ja Any xxx.xxx.xxx.53 Any xxx.xxx.xx Any n/a x.0 (xxx.xxx.xx x.0/16) 42 Ja Any xxx.xxx.xxx.20 Any xxx.xxx.xx Any n/a int07 x.0 (xxx.xxx.xx x.0/16) Tabel 19: Eksempel på Extended ACL regler, der tillader trafik til DST IP range og Any DST porte hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser FORTROLIGT & PERSONLIGT 2003-2015. Side 19 af 34
via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 5 på interface int15 - Regel nr. 42 på interface int07 NTP Manglende authentifikation Medium-risiko uhensigtsmæssighed Det er blevet detekteret, at NTP (Network Time Protocol) er konfigureret uden anvendelse af authentifikation ved opdatering af tiden. Hvis en ondsindet angriber kan ændre tiden vil det vanskeliggøre efterforskningsabejdet når forskellige logfiler skal analyseret. Endvidere lækker NTP også oplysninger om systemet. ntp server xxx.xxx.xxx.194 source Outside Figur 5: NTP uden autentifikation Det anbefales, at optionen med NTP autentifikation aktiveres ved: ntp authenticate ntp trusted-key key-id ntp authentication-key key-id md5 key-string ntp server ip-address key key-id Regler tillader adgang fra SRC IP range til Any DST Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til vilkårlige IP adresser. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 36 int01 Ja TCP xxx.xxx.xxx.0 Any Any 7777 n/a (xxx.xxx.xxx.0/1 6) Tabel 20: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: FORTROLIGT & PERSONLIGT 2003-2015. Side 20 af 34
til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message - Regel nr. 7, 22, 36, 53, 103, 105-109, 114-116, 120-121, 124, 126, 132,138 og 144 på interface int01 - Regel nr. 7-8 på interface int11 Regler tillader fra Any protokol type Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik via vilkårlige protokol typer (TCP, UDP, ICMP etc.). Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST Log 156 int01 Ja Any Any Any xxx.xxx.xxx.75 Any n/a Tabel 21: Eksempel på Extended ACL regler, der tillader trafik fra Any protokol type hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adressers porte via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 10, 40, 128, 131, 139, 145, 147-151, 153, 155-156 og 175 på interface int01 - Regel nr. 18-19 på interface int06 - Regel nr. 1-3, 12-15 og 17-19 på interface int09 - Regel nr. 1 og 21-22 på interface int11 - Regel nr. 4 på interface int02 - Regel nr. 1 på interface int03 - Regel nr. 5 på interface int13 - Regel nr. 1 på interface int04 - Regel nr. 1 på interface int05 - Regel nr. 5 på interface int15 - Regel nr. 42 på interface int07 FORTROLIGT & PERSONLIGT 2003-2015. Side 21 af 34
Regler tillader adgang fra SRC IP range til Any port Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til modtager IP adressers vilkårlige porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Proto SRC SRC DST DST Log kol 10 int01 Ja Any network07 Any network06 ANY n/a xxx.xxx.xxx.0 (xxx.xxx.xxx. 0/12) (xxx.xxx.xxx.20) Tabel 22: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST port hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 10 på interface int01 Regler tillader adgang til DST IP range og DST portrange Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik til modtagers IP ranges og portrange. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Inter face Aktiv Proto kol SRC SRC DST DST 60 int06 Ja UDP network08 Any xxx.xxx.xxx.0 1628 (xxx.xxx.xxx.1, /22 - xxx.xxx.xxx.254, 1710 xxx.xxx.xxx.243, xxx.xxx.xxx.153) Tabel 23: Extended ACL regler, der tillader trafik til DST IP range og DST portrange hos Log n/a Det anbefales yderligere, at reglerne rettes til, så der kun er adgang til bestemte porte (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser FORTROLIGT & PERSONLIGT 2003-2015. Side 22 af 34
fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 60-63 på interface int06 - Regel nr. 20 på interface int15 Regler tillader adgang fra Any SRC Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra vilkårlige afsender IP adresser. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 79 int01 Ja TCP Any Any xxx.xxx.xxx.76 3800 n/a Tabel 24: Eksempel på Extended ACL regler, der tillader trafik fra Any SRC hos Det anbefales yderligere, at reglerne rettes til, så der kun er adgang til bestemte IP adresser (og ikke vilkårlige). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 18, 79-81, 129, 157-158 og 167på interface int01 - Regel nr. 2, 4-6, 8-17, 20-25, 27-28, 3132, 35, 37-38, 42-49 og 51-54 på interface int06 - Regel nr. 10-11 og 14 på interface int10 - Regel nr. 2, 5-6 og 13-19 på interface int11 - Regel nr. 1 på interface int02 FORTROLIGT & PERSONLIGT 2003-2015. Side 23 af 34
Regler tillader adgang til Any DST Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik vilkårlige modtager IP adresser. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Protokol SRC SRC DST DST Log 171 int01 Ja TCP, UDP xxx.xxx.xxx.2 Any Any 55623 n/a 38 Tabel 25: Eksempel på Extended ACL regler, der tillader trafik til Any DST hos Det anbefales yderligere, at reglerne rettes til, så der kun er adgang til bestemte IP adresser (og ikke vilkårlige). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 20, 75, 110, 154 og 171-172 på interface int01 - Regel nr. 5-6 og 8-10 på interface int03 - Regel nr. 1-2, 8, 17, 22 og 28 på interface int15 - Regel nr. 3-6, 13, 16, 19-21, 26-28 og 32-33 på interface int07 - Regel nr. 2, 5-6, 12 og 21-22 på interface int08 Regler tillader adgang fra SRC IP range til DST port range Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til modtager IP adressers port range. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 35 int01 Ja Any xxx.xxx.xxx.0 Any network10 3699- n/a (xxx.xxx.xxx. 0/16) (xxx.xxx.xxx.1 5) 3800 Tabel 26: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST port hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: FORTROLIGT & PERSONLIGT 2003-2015. Side 24 af 34
fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 35 og 37 på interface int01 Regler tillader adgang fra SRC IP range til DST IP range Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik fra IP adresse ranges til modtager IP adresser ranges. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Prot SRC SRC DST DST Log okol 45 int01 Ja TCP network13 Any network14 7081 n/a (xxx.xxx.xxx.0/ 24) (xxx.xxx.xxx.0/24) Tabel 27: Eksempel på Extended ACL regler, der tillader trafik fra SRC IP range til Any DST port hos Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser (og ikke ranges) har adgang til bestemte IP adresser (og ikke ranges). Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adresser via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 45 og 117-118 på interface int01 FORTROLIGT & PERSONLIGT 2003-2015. Side 25 af 34
Regler tillader til Any DST port Medium-risiko uhensigtsmæssighed Nedenstående regler tillader trafik til vilkårlige porte. Dette udgør normalt en sikkerheds risiko, idet alt for åbne regler kan give en ondsindet angriber mange muligheder for at sætte forskellige angreb ind. R# Interface Aktiv Proto kol SRC SRC DST DST 67 int01 Ja Any network12 Any network11 Any (xxx.xxx.xxx.227) (xxx.xxx.xxx.50) Tabel 28: Eksempel på Extended ACL regler, der tillader trafik til Any porte hos Log n/a Det anbefales yderligere, at reglerne rettes til, så kun bestemte IP adresser har adgang til bestemte IP adressers bestemte porte. Dette betyder, at reglerne skal begrænses til kun at tillade trafik: til specifikke modtager IP adresser fra specifikke afsender IP adressers porte via specifikke protokoller og for ICMP specificeres message typen - Regel nr. 63-68, 72-73. 76-78 og 139 på interface int01 - Regel nr. 23 på interface int15 FORTROLIGT & PERSONLIGT 2003-2015. Side 26 af 34
Logon banner Medium-risiko uhensigtsmæssighed Det er blevet detekteret, at der ikke er konfigureret en banner tekst, der vises før logon foretages. Bannerets formål er at gøre opmærksom på konsekvensen ved uautoriserede logon forsøg. ############################################################## # Welcome to XXXXX # # # # All connections are monitored and recorded # # Disconnect IMMEDIATELY if you are not an authorized user! # # # # Unauthorized logon attempts will be handed over to the local law enforcement # ############################################################## Figur 6: Eksempel på et Logon banner Det anbefales, at anvende Message Of The Day (MOTD) banneret til at oplyse om konsekvensen ved uautoriseret forsøg på indtrængen i systemet. Banneret aktiveres ved: banner motd message-text Syslog konfiguration Lav-risiko uhensigtsmæssighed Der er detekteret, at sysloggen ikke krypterer meddelelser, der logges. En ondsindet angriber vil potentielt kunne opsnappe disse ukryterede meddelser når de transmitteres over netværket. Host Protokol Enhed xxx.xxx.xxx.2 UDP 514 Tabel 29: Syslog uden kryptering FORTROLIGT & PERSONLIGT 2003-2015. Side 27 af 34
Inaktive regler Lav-risiko uhensigtsmæssighed Der er detekteret et antal inaktive regler på firewallen. Dette udgør i sig selv ingen sikkerhedsrisiko, men kan dog være udtryk for, at reglerne er midlertidig sat ud af funktion grundet eksempelvis forsøg eller midlertidige adgange. Nedenfor er angivet et eksempel på en inaktiv regel. R# Interface Aktiv Proto kol SRC SRC por t DST 1 int09 nej TCP xxx.xxx.xxx.26 Any xxx.xxx.xxx. 13 Tabel 30: Eksempel på inaktiv regel hos DST port 210 0 Lo g n/a Det anbefales, at disse regler gennemgås og fjernes fra konfigurationen og dokumenteres andet steds f.eks. i et change management system. - 53 inaktive regler Overlappende regler Lav-risiko uhensigtsmæssighed Der er detekteret et antal overlappende, redundante regler på firewallen. Dette udgør i sig selv ingen sikkerhedsrisiko, men kan øge chancen for at miste overblikket over hvilke regler, der gælder. R# Interface Aktiv Proto kol SRC 173 int01 Ja TCP xxx.xxx.xxx.11 8 SRC DST DST Log Any xxx.xxx.xxx.45 Any n/a Overlapper med følgende regel 175 int01 Ja ANY xxx.xxx.xxx.11 8 Any xxx.xxx.xxx.0/2 4 Tabel 31: Eksempel på overlappende regel på Any n/a Det anbefales, at alle disse regler gennemgås og redundans fjernes fra konfigurationen. Se Filter Rules Overlap Other Rules i den tekniske rapport. - 302 overlappende regler FORTROLIGT & PERSONLIGT 2003-2015. Side 28 af 34
Ubenyttede objekt grupper Lav-risiko uhensigtsmæssighed Der er konfigureret et antal ubenyttede objektgrupper på firewallen. Dette udgør i sig selv ingen sikkerhedsrisiko, men kan være en remenisens fra en tidligere konfigurations version. obj-xxx.xxx.xxx.0 address list; obj-xxx.xxx.xxx.19 address list; obj-xxx.xxx.xxx.18 address list; obj-xxx.xxx.xxx.0 address list; obj-xxx.xxx.xxx.0 address list; obj-xxx.xxx.xxx.24 address list; obj-xxx.xxx.xxx.37 address list; obj-xxx.xxx.xxx.22 address list; obj-xxx.xxx.xxx.0 address list; --- forkortet ----- network01 network group; network02 network group. Figur 7: Ubenyttede objekt grupper Det anbefales, at de ubenyttede objektgrupper fjernes fra konfigurationen. - 178 ubenyttede objektgrupper FORTROLIGT & PERSONLIGT 2003-2015. Side 29 af 34
>> Andre observationer Der blev ikke fundet andre sikkerhedsmæssige observationer, der kunne have relevans for den netop gennemførte analyse. >> Appendiks A Konfiguration Nedenstående tabel viser de vigtigste af firewallens konfigurationsparametre. Afsnit Parameter Firewall Basic Name Device Cisco Adaptive Security Appliance Firewall ASA 8.6(1)2 Configuration Revision n/a Service SSH 22/tcp Telnet HTTP HTTPS SNMP IKE 23/tcp 80/tcp 443/tcp 161/udp 500/udp Logging Syslog xxx.xxx.xxx.2:514/udp Severity level Informational (6) Tabel 32: Firewall konfiguration. FORTROLIGT & PERSONLIGT 2003-2015. Side 30 af 34
>> Appendiks B Netværkstegning Ingen yderligere dokumentation er udleveret af kunden. >> Appendiks C Ordforklaring Forkortelse Forklaring Link ACL CVE DST SRC Access Control List Common Vulnerability and Exposures, en database med kendte sårbarheder. Destination (modtager) Source (afsender) http://web.nvd.nist.gov/view/vuln/search Tabel 33: Forkortelser. FORTROLIGT & PERSONLIGT 2003-2015. Side 31 af 34
>> I øvrigt Det bemærkes slutteligt, at dette er et øjebliksbillede af sikkerhedssituationen på den analyserede enhed. Der findes kontinuerligt nye uhensigtsmæssigheder, hvormed det anbefales, at der jævnligt gennemføres firewall analyser på samtlige firewalls. På vores hjemmeside www.digicure.dk findes en elektronisk udgave af rapporten og følgebrevet. Disse indeholder links til internetsider med uddybende kommentarer, løsningsforslag samt programrettelser. Den elektroniske rapport kan være til stor gavn under fejlretningen af systemet. Har du i øvrigt nogle spørgsmål kan jeg kontaktes på telefon 70 209 209 eller pr. e-mail på support@digicure.dk. Med venlig hilsen Digicure Testmanager Henrik Falkenthros Sikkerhedskonsulent hf@digicure.dk Rapport QA René Hansen Sikkerhedskonsulent rh@digicure.dk.. FORTROLIGT & PERSONLIGT 2003-2015. Side 32 af 34
Risikodefinitioner: Digicure A/S er en 100 % uvildig analysevirksomhed. Nedenstående klassificeringer er derfor baseret på internationale og anerkendte industristandarder. Yderst kritisk Yderst kritiske (Level 5): Disse uhensigtsmæssigheder kan udgøre en significant sikkerheds trussel. Disse uhensigtsmæssigheder vil typisk have den effekt, at en hacker kan overtage enheden som administrator. Kritisk Kritiske (Level 4) Uhensigtsmæssigheder under denne defnition udgør også en signifikant trussel mod sikkerheden, dog med begrænset administrative rettigheder. Adgang på brugerniveau, muligheden for at udføre DoS (Denial of Service) angreb, alt for brede regler, der tillader trafik fra hele subnets etc. hører til under denne definition. Høj-risiko Høj risiko (Level 3) Disse uhensigtsmæssigheder har begrænset effect som deciderede sikkerhedstrusler. Det ville eksempelvis være læk af systeminformationer, en SNMP service med default community strings etc. Medium-risiko Medium risiko (Level 2) uhensigtsmæssighederne vil udgøre en lav sikkerhedstrussel. For eksempel vil en læk af brugernavne og systemers versioner høre til under denne definition. Lav-risiko Lav risiko (Level 1) Disse uhensigtsmæssigheder vil kun udgøre en meget lille om nogen - sikkerhedstrussel. Dette kunne være unødvendige services og ubetydelig information om systemerne. Metode, værktøjer og kompetencer: Digicure A/S anvender en lang række af værktøjer baseret på industristandarder og egenudviklede programmer. Disse værktøjer holdes løbende opdateret for at sikre at de nyeste uhensigtsmæssigheder detekteres. Alle detekterede uhensigtsmæssigheder opsamles i vores videns database, hvor de analyseres og behandles. Alle uhensigtsmæssigheder i følgebrevet er verificeret manuelt som foreskrevet i videns databasens manuelle verifikationstilgang. Den efterfølgende QA(Quality Assurance) proces foretages af vores højt kvalificerede IT sikkerhedskonsulenter, der sikrer, at rapporterne opnår højeste kvalitet. FORTROLIGT & PERSONLIGT 2003-2015. Side 33 af 34
Metoder: I Digicure A/S sårbarhedsanalyser anvendes følgende metodikker: IPCURE Host discovery og IPCURE Web discovery Blotlægning af netværkskomponenter IP-adresser på aktivt udstyr og åbne porte/tjenester identificeres Blotlægning af webservere Skanninger af webadresser, samt blotlægning af sidens struktur, inklusiv antal filer og filstørrelser Udvidet discovery indeholder desuden detaljer om enhederne og webserverne Delta rapportering Afrapportering med teknisk rapport IPCURE Intern og IPCURE Ekstern Test for elementære angreb og/eller for målrettede angreb evt. med insider-viden og brugeradgang Kontrol af falske positiver ved manuel verifikation (Digicures videns database) Analyse af resultater Afrapportering med følgebrev og detaljeret teknisk rapport IPCURE Web Test for elementære angreb og/eller for målrettede angreb evt. med insider-viden og brugeradgang Kontrol af falske positiver ved manuel verifikation (Digicures videns database) Analyse af resultater Afrapportering med følgebrev og detaljeret teknisk rapport IPCURE Penetrations Test Kreative test med egen og/eller nyudviklede værktøjer til det specifikke system Test for elementære angreb og/eller for målrettede angreb evt. med insider-viden og brugeradgang Kontrol af falske positiver ved manuel verifikation (Digicures videns database) Analyse af resultater Afrapportering med følgebrev og detaljeret teknisk rapport IPCURE Firewall Review Analyse af firewallens opsætning og konfigurering Gennemgang af regelsættet for at finde uhensigtsmæssigheder såsom overlappende regler, for brede regler, inaktive regler etc. Vurdering af sikkerheden i firewallen baseret på operativsystemet. Analyse af resultater Afrapportering med følgebrev og detaljeret teknisk rapport Værktøjer: Digicures værktøjskasse udvides og opdateres hele tiden med anerkendte de-facto IT-sårbarheds standardværktøjer. Ydermere suppleres der også med egenudviklede skannings- og verifikationsværktøjer. Desuden anvendes diverse andre hacker- og opensource-værktøjer, hvor vi har haft adgang til at gennemgå værktøjets kildekode. Kompetencer: Digicures IT-sikkerhedskonsulenter bliver løbende uddannet på internationale kurser og workshops og besidder en række anerkendte certificeringer. Herved er der opnået mange spidskompetencer indenfor IT-sikkerhedsområdet. www.pcisecuritystandards.org FORTROLIGT & PERSONLIGT 2003-2015. Side 34 af 34