Threat detection, remote access

För att skydda från botar och intrångsförsök kan man använda sig av threat protection. Threat protection placerar IP-adresser i en shun-lista vid för många inloggningsförsök och/eller för många initationer av klient-tunnel. 

 Det kräver att man är på rätt ASA-kod: 

 9.16 version train -> supported from 9.16(4)67 and newer versions within this specific train.

 9.18 version train -> supported from 9.18(4)40 and newer versions within this specific train.

 9.20 version train -> supported from 9.20(3) and newer versions within this specific train.

 9.22 version train -> supported from 9.22(1.1) and any newer versions. 

 Konf: 

 threat-detection service invalid-vpn-access

threat-detection service remote-access-authentication hold-down 10 threshold 20

threat-detection service remote-access-client-initiations hold-down 10 threshold 30 

 Validering: 

 show threat-detection service

show threat-detection service entries 

show threat-detection service remote-access-authentication entries

show shun x

no shun x = ta bort shun för viss IP

clear shun = ta bort shun för samtliga 

 Om man har PAT på vägen till en vpn-ASA kan det bli problem. Det går inte att rensa en specifik entry som är i recording, det går att rensa samtliga men inte specifik. Jag har ful-löst det här med ett EEM skript som rensar shun-listan var femte sekund: 

 event manager applet Clear_Shun_PATIP

 description Clear PAT IP every 5 seconds

 event timer watchdog time 5

 event none

 action 1 cli command "no shun 1.3.3.7"

 output none

 

 Man kan också vilja rensa hela shun-listan varje vecka, då den ej rensas automatiskt. 

 event manager applet Clear_Shun_Weekly

 description Clear shunned IPs every 7 days

 event none

 event timer watchdog time 604800

 action 1 cli command "clear shun"

 output none