Cisco PIX - Cisco PIX

Cisco PIX (пчастный яИнтернет еИксизменить) был популярным IP брандмауэр и преобразование сетевых адресов (NAT) прибор. Это был один из первых продуктов в этом сегменте рынка.

В 2005 году, Cisco представил более новый Устройство адаптивной безопасности Cisco (Cisco ASA), унаследовавшая многие функции PIX, и в 2008 году объявила о прекращении продаж PIX.

Технология PIX была продана в лезвие, то Модуль служб FireWall (FWSM) для Cisco Catalyst 6500 переключатель серии и 7600 Маршрутизатор серии, но по состоянию на 26 сентября 2007 г. для него закончилась поддержка.[1]

PIX

История

Первоначально PIX был задуман в начале 1994 года Джоном Мэйсом из Редвуд-Сити, Калифорния, а также разработан и написан Брантли Коайл Афин, Грузия. Название PIX происходит от цели его создателей создать функциональный эквивалент IP АТС для решения возникающих тогда зарегистрированных айпи адрес нехватка. В то время, когда NAT только рассматривался как жизнеспособный подход, они хотели скрыть блок или блоки IP-адресов за одним или несколькими зарегистрированными IP-адресами, как это делают УАТС для внутренних телефонных номеров. Когда они начали, RFC 1597 и RFC 1631 обсуждались, но уже знакомый RFC 1918 еще не было отправлено.

Дизайн и тестирование были выполнены в 1994 году Джоном Мэйсом, Брантли Койлом и Джонсоном Ву из Network Translation, Inc., причем Брантли Коайл был единственным разработчиком программного обеспечения. Бета-тестирование PIX с серийным номером 000000 было завершено, и первая приемка заказчиком состоялась 21 декабря 1994 года в KLA Instruments в Сан-Хосе, Калифорния. PIX быстро стал одним из ведущих корпоративных межсетевых экранов и был удостоен награды журнала Data Communications Magazine «Горячий продукт года» в январе 1995 года.[2]

Незадолго до того, как Cisco приобрела Network Translation в ноябре 1995 года, Мэйс и Коайл наняли двух давних сотрудников, Ричарда (Чипа) Хауза и Пита Тенереилло, а вскоре после приобретения еще двух давних сотрудников, Джима Джордана и Тома Боханнона. Вместе они продолжили разработку Finesse OS и исходной версии межсетевого экрана Cisco PIX Firewall, теперь известной как PIX «Classic». За это время PIX поделился большей частью своего кода с другим продуктом Cisco, LocalDirector.

28 января 2008 г. Cisco объявила о прекращении продаж и конец жизни даты для всех устройств безопасности Cisco PIX, программного обеспечения, аксессуаров и лицензий. Последний день для покупки платформ и пакетов Cisco PIX Security Appliance был 28 июля 2008 г. Последний день для покупки аксессуаров и лицензий был 27 января 2009 г. Cisco прекратила поддержку клиентов Cisco PIX Security Appliance 29 июля 2013 г.[3][4]

В мае 2005 года Cisco представила ASA, который сочетает в себе функции серий PIX, VPN 3000 и IPS производственные линии. Устройства серии ASA работают с кодом PIX 7.0 и новее. Через выпуск ОС PIX 7.x PIX и ASA используют одни и те же образы программного обеспечения. Начиная с версии 8.x ОС PIX, код операционной системы расходится, при этом ASA использует ядро ​​Linux, а PIX продолжает использовать традиционную комбинацию ОС Finesse / PIX.[5]

Программного обеспечения

PIX использует специально написанную проприетарную Операционная система первоначально назывался финский (Руководитель службы быстрого Интернета), но по состоянию на 2014 г. программное обеспечение известно просто как ОС PIX. Хотя классифицируется как межсетевой экран сетевого уровня с государственная проверка, технически PIX будет более точно называться Layer 4 или Transport Layer Firewall, поскольку его доступ не ограничивается маршрутизацией сетевого уровня, а только соединениями на основе сокетов (порт и IP-адрес: связь порта происходит на уровне 4). По умолчанию он разрешает внутренние соединения (исходящий трафик) и разрешает только входящий трафик, который является ответом на действительный запрос или разрешен Список контроля доступа (ACL) или канал. Администраторы могут настроить PIX для выполнения множества функций, включая преобразование сетевых адресов (NAT) и преобразование адреса порта (PAT), а также виртуальная частная сеть (VPN) оконечное устройство.

PIX стал первым коммерчески доступным межсетевым экраном, в котором реализована фильтрация по протоколу с введением команды «fixup». Возможность «исправления» PIX позволяет межсетевому экрану применять дополнительные политики безопасности к соединениям, идентифицированным как использующие определенные протоколы. Протоколы, для которых были разработаны конкретные способы исправления, включают DNS и SMTP. Исправление DNS изначально реализовало очень простую, но эффективную политику безопасности; он разрешал только один ответ DNS от DNS-сервера в Интернете (известный как за пределами интерфейс) для каждого запроса DNS от клиента на защищенном (известном как внутри) интерфейс. «Inspect» заменил «fixup» в более поздних версиях PIX OS.

Cisco PIX также была одним из первых коммерчески доступных устройств безопасности, в которых IPSec Функциональность VPN-шлюза.

Администраторы могут управлять PIX через Интерфейс командной строки (CLI) или через графический интерфейс пользователя (GUI). Они могут получить доступ к CLI с последовательной консоли, telnet и SSH. Администрирование графического интерфейса пользователя началось с версии 4.1 и претерпело несколько воплощений:[6][7][8]

  • PIX Firewall Manager (PFM) для PIX OS версий 4.x и 5.x, который запускается локально на клиенте Windows NT
  • Диспетчер устройств PIX (PDM) для ОС PIX версии 6.x, работающий поверх https и требует Ява
  • Adaptive Security Device Manager (ASDM) для PIX OS версии 7 и выше, который может работать локально на клиенте или в режиме ограниченной функциональности через HTTPS.

Поскольку Cisco приобрела PIX из Network Translation, интерфейс командной строки изначально не согласовывался с Cisco IOS синтаксис. Начиная с версии 7.0, конфигурация стала намного больше похожа на IOS.

Аппаратное обеспечение

PIX 515 со снятой верхней крышкой

У оригинальных NTI PIX и PIX Classic были корпуса, которые были получены от поставщика OEM Appro. Все флэш-карты и первые карты ускорения шифрования, PIX-PL и PIX-PL2, были получены от продуктов повышения производительности (PEP).[9] Более поздние модели имели корпуса от OEM-производителей Cisco.

PIX был построен с использованием Intel материнские платы на базе Intel / Intel; PIX 501 использовал процессор AMD 5x86, а все другие автономные модели использовали Intel 80486 через процессоры Pentium III.

PIX сапоги от проприетарного ЭТО флэш-память дочерняя карта в случае NTI PIX, PIX Classic, 10000, 510, 520 и 535, и он загружается со встроенной флэш-памяти в случае PIX 501, 506 / 506e, 515 / 515e, 525 и WS-SVC- FWM-1-K9. Последний является кодом компонента для технологии PIX, реализованной в модуле Fire Wall Services для Catalyst 6500 и 7600 Router.


Устройство адаптивной безопасности (ASA)

В Адаптивное устройство безопасности это сеть брандмауэр Сделано Cisco. Он был представлен в 2005 году для замены линейки Cisco PIX.[10] Наряду с функциональностью межсетевого экрана с отслеживанием состояния еще одним направлением ASA является функциональность виртуальной частной сети (VPN). Он также поддерживает предотвращение вторжений и передачу голоса по IP. За серией ASA 5500 последовала серия 5500-X. Серия 5500-X больше ориентирована на виртуализацию, чем на модули безопасности с аппаратным ускорением.

История

В 2005 году Cisco выпустила модели 5510, 5520 и 5540.[11]

Программного обеспечения

ASA продолжает использовать кодовую базу PIX, но когда программное обеспечение ОС ASA перешло с основной версии 7.X на 8.X, оно перешло с ОС Finesse / Pix. Операционная система платформа для Linux платформа операционной системы. Он также объединяет функции системы предотвращения вторжений Cisco IPS 4200 и концентратор Cisco VPN 3000.[12]

Аппаратное обеспечение

ASA продолжает линейку оборудования Intel 80x86 PIX.

Уязвимости безопасности

В Cisco PIX Продукт VPN был взломан АНБ -связанный[13] группа Группа уравнений где-то до 2016 года. Equation Group разработала инструмент под кодовым названием BENIGNCERTAIN, который раскрывает предварительно предоставленные пароли злоумышленникам (CVE -2016-6415[14]). Позже Equation Group была взломана другой группой под названием Теневые посредники, которые опубликовали свои эксплуатировать публично, в том числе.[15][16][17][18] В соответствии с Ars Technica, АНБ, вероятно, использовало эту уязвимость для прослушивания VPN-соединений более десяти лет, ссылаясь на Сноуден утечки.[19]

В Cisco ASA-бренд также был взломан Equation Group. Уязвимость требует, чтобы оба SSH и SNMP доступны злоумышленнику. АНБ присвоило этому эксплойту кодовое имя EXTRABACON. Ошибка и эксплойт (CVE -2016-6366[20]) также просочился ShadowBrokers в той же серии эксплойтов и бэкдоров. Согласно Ars Technica, эксплойт можно легко заставить работать против более современных версий Cisco ASA, чем те, с которыми может справиться просочившийся эксплойт.[21]

29 января 2018 г. возникла проблема с безопасностью Cisco ASA-бренд был раскрыт Седрик Хальбронн от Группы НКЦ. А использовать после бесплатного - ошибка в Уровень защищенных гнезд (SSL) Функция VPN программного обеспечения Cisco Adaptive Security Appliance (ASA) может позволить удаленному злоумышленнику, не прошедшему аутентификацию, вызвать перезагрузку уязвимой системы или удаленно выполнить код. Ошибка указана как CVE -2018-0101.[22][23][24]

Смотрите также


Рекомендации

  1. ^ http://www.cisco.com/c/en/us/support/interfaces-modules/catalyst-6500-series-firewall-services-module/model.html
  2. ^ «История NTI и брандмауэра PIX, автор Джон Мэйс» (PDF).
  3. ^ «Окончание продаж продуктов Cisco PIX». Cisco. 2008-01-28. Получено 2008-02-20.
  4. ^ «Устройства безопасности Cisco PIX серии 500 - Уведомление о выводе из эксплуатации». Cisco. 2013-07-29. Получено 2018-11-04.
  5. ^ "Страница лицензии Cisco с открытым исходным кодом". Получено 2007-08-21.
  6. ^ «Часто задаваемые вопросы по Cisco PFM». Получено 2007-06-19.
  7. ^ «Документация по Cisco PDM». Получено 2007-06-19.
  8. ^ «Документация по Cisco ASDM». Архивировано из оригинал на 2007-06-16. Получено 2007-06-19.
  9. ^ «Примечания к продукции PIX».[постоянная мертвая ссылка ]
  10. ^ Джозеф, Мунис; Макинтайр, Гэри; Аль-Фардан, Надхем (29 октября 2015 г.). Центр управления безопасностью: создание, эксплуатация и обслуживание вашего SOC. Cisco Press. ISBN  978-0134052014.
  11. ^ Фрэнсис, Боб (9 мая 2005 г.). «Безопасность занимает центральное место в Interop». InfoWorld. 27 (19): 16.
  12. ^ http://www.ingrammicro.de/pdf/6778857.pdf
  13. ^ «Утечка АНБ реальна, подтверждают документы Сноудена». Получено 2016-08-19.
  14. ^ «Запись в национальной базе данных уязвимостей для BENIGNCERTAIN». web.nvd.nist.gov.
  15. ^ "Исследователь извлекает пароль VPN с помощью инструмента из дампа АНБ". Получено 2016-08-19.
  16. ^ "Утечки эксплойта Cisco PIX АНБ". www.theregister.co.uk.
  17. ^ «Имело ли АНБ возможность извлекать ключи VPN из межсетевых экранов Cisco PIX?». news.softpedia.com.
  18. ^ «Trove обнаруживает уязвимости АНБ« Mini-Heartbleed »для межсетевых экранов Cisco PIX». www.tomshardware.com.
  19. ^ «Как АНБ отслеживало зашифрованный интернет-трафик в течение десяти лет». Получено 2016-08-22.
  20. ^ «Запись в национальной базе данных уязвимостей для EXTRABACON». web.nvd.nist.gov.
  21. ^ «Связанный с АНБ эксплойт Cisco представляет большую угрозу, чем считалось ранее». Получено 2016-08-24.
  22. ^ «Запись национальной базы данных уязвимостей - CVE-2018-0101». web.nvd.nist.gov.
  23. ^ «Консультации - Удаленное выполнение кода устройства Cisco Adaptive Security Appliance и уязвимость, связанная с отказом в обслуживании». tools.cisco.com.
  24. ^ "CVE-2018-0101".