در این مطلب منابع رسمی اطلاع از آسیب‌پذیری‌ها، نحوه خواندن Advisoryهای سیسکو، ابزار Cisco Software Checker ، انتخاب نسخه پیشنهادی (Recommended Release) ، روش امن ارتقا و اقدامات فوری برای کاهش خطر را مرور می‌کنیم.

از کجا باخبر شویم

تیم PSIRT سیسکو همه آسیب‌پذیری‌ها را در صفحه Cisco Security Advisories منتشر می‌کند. هر Advisory شامل این بخش‌هاست:

سیسکو برای IOS و IOS XE Advisoryها را به‌صورت بسته‌های منظم (دو بار در سال) منتشر می‌کند، اما آسیب‌پذیری‌های بحرانی ممکن است هر زمان اعلام شوند. عضویت در اطلاع‌رسانی ایمیلی Cisco Notification Service و دنبال کردن RSS صفحه Advisoryها ساده‌ترین روش باخبر ماندن است.

Cisco Software Checker

این ابزار رایگان در سایت سیسکو، نسخه نرم‌افزار دستگاه شما را می‌گیرد و فهرست همه Advisoryهای مرتبط و اولین نسخه اصلاح‌شده را نشان می‌دهد. نسخه دستگاه را از خروجی زیر بردارید:

Router# show version | include Version
Cisco IOS XE Software, Version 17.09.04a

انتخاب نسخه مناسب

• Recommended Release : نسخه‌هایی که سیسکو برای هر پلتفرم پیشنهاد می‌کند در سایت دانلود با ستاره علامت خورده‌اند؛ برای Catalyst 9000 هم سندی جداگانه با نسخه‌های پیشنهادی وجود دارد.
• قطارهای Extended Maintenance : در IOS XE برخی نسخه‌ها (مثل 17.9 و 17.12) دوره نگه‌داری طولانی‌تری دارند؛ برای شبکه عملیاتی این قطارها را ترجیح دهید.
• SMU : در IOS XE برای بعضی آسیب‌پذیری‌ها وصله کوچک (Software Maintenance Update) منتشر می‌شود که بدون ارتقای کامل نصب می‌شود.
• End-of-Life : دستگاهی که به پایان پشتیبانی رسیده، وصله امنیتی نمی‌گیرد؛ تنها راه، جایگزینی دستگاه است.

ارتقای امن

1. از کانفیگ و ایمیج فعلی بکاپ بگیرید (بکاپ کانفیگ سیسکو).
2. Release Notes نسخه جدید را برای حداقل حافظه، ROMMON و تغییرات رفتاری بخوانید (انواع حافظه روتر سیسکو).
3. ایمیج را فقط از software.cisco.com با حساب دارای قرارداد دریافت کنید و Hash آن را با verify /md5 یا verify /sha512 مقایسه کنید.
4. ارتقا را در پنجره تعمیرات انجام دهید و در دستگاه‌های Stack یا افزونه، ابتدا یک عضو را ارتقا دهید.
5. بعد از ارتقا، سرویس‌ها و مسیرها را با چک‌لیست از پیش آماده بررسی کنید.

اقدامات فوری کاهش خطر

بیشتر حمله‌های بزرگ به تجهیزات شبکه از سرویس‌های مدیریتی شروع می‌شوند که نباید از اینترنت در دسترس باشند. در ماجرای CVE-2023-20198 ، توصیه فوری سیسکو غیرفعال کردن رابط وب روی دستگاه‌های رو به اینترنت بود:

Router(config)# no ip http server
Router(config)# no ip http secure-server
!
Router(config)# ip access-list standard MGMT
Router(config-std-nacl)# permit 10.10.99.0 0.0.0.255
Router(config)# line vty 0 15
Router(config-line)# access-class MGMT in
Router(config-line)# transport input ssh

• مدیریت را فقط از شبکه مدیریتی و با SSH انجام دهید؛ Telnet و HTTP را خاموش کنید.
• SNMPv3 را جایگزین SNMP با Community پیش‌فرض کنید.
• لاگ‌ها را به Syslog مرکزی بفرستید و ساخت کاربر جدید یا تغییر کانفیگ غیرمنتظره را هشدار کنید (قابلیت archive log config).
• Control Plane را با CoPP محافظت کنید؛ ببینید Control Plane Policing.

پرسش‌های متداول

بدون قرارداد پشتیبانی می‌شود نسخه اصلاح‌شده گرفت؟
سیاست سیسکو برای برخی آسیب‌پذیری‌های امنیتی، ارائه نسخه اصلاح‌شده حتی بدون قرارداد (از طریق TAC) است؛ جزئیات را در بخش Fixed Software هر Advisory ببینید.

هر چند وقت یک بار ارتقا دهیم؟
دست کم یک بار در سال به آخرین نسخه پیشنهادی، و فوری برای Advisoryهای Critical که قابلیت‌های فعال دستگاه شما را درگیر می‌کنند.

منابع رسمی

• Cisco Security Advisories
• Cisco Software Checker
• Cisco Security Advisory: Multiple Vulnerabilities in Cisco IOS XE Software Web UI (CVE-2023-20198)
• Recommended Releases for Catalyst 9000 Platforms

مشاوره با AKA NET

برای بررسی آسیب‌پذیری‌ها، برنامه‌ریزی به‌روزرسانی نرم‌افزار و امن‌سازی تجهیزات سیسکو با آکانت (AKA NET) تماس بگیرید.