Kritické zranitelnosti v produktech Cisco ASA, FTD a IOS (diskuse)

[karkar]

Hmm, takže NUKIB nyní zastupuje centrální ohlašovnu zranitelností. Jsem zvědavý, kdy začnou hlásit i zranitelnosti ajfounů a woken. Asi nemají nic lepšího na práci než prolejzat IT weby a kopírovat z nich zprávy..

[Max]

Na některé extrémně kritické bezpečnostní problémy upozorňují snad od počátku věků.
Zdar Max

[Xerces]

Extrémě - kritický - bezpečnostní - problém. To už trochu přeháníte, ne? Stačí prostě napsat problém.

[Max]

No, myšleno je zero-day, nebo zneužívaný zero-day. Občas zveřejní i něco slabšího, ale většinou se zaměřují na ty nejhorší věci.
Zdar Max

[mmc]

Nebude to déle než 8 let. Počátek věků byl myslím o pár let dříve

[Aleš Kapica]

Bylo, nebylo. Na své 47. narozeniny jsem se v Brně zúčastnil takové opičárny, ze které se následně vylíhnul NÚKIB. Ovšem na zhodnocení celé akce už jsem pozván nebyl, přestože si „můj“ tým nevedl špatně. Z pěti týmů jsme skončil třetí a to jen kvůli tomu, že poslední útok byl načasován tak, abychom ho už nestihli vyřešit v rámci pevně stanoveného časového limitu.

Pro mne to byla zajímavá zkušenost, ale pro jiné jak se zdá začátek slibné kariéry.

[Max]

Myšleno počátek věku NÚKIBu samozřejmě.
Zdar Max

[Radovan]

Upozorňuje

[_]

nestěžoval si tuhle někdo že nukib na Cisco a další neupozorňuje?

Mě to teda přijde, že upozorňuje

[vencour]

Kolik % je asi organizací, kde mají firewally dvou různých výrobců za sebou?

[RealJ]

Kdo to mysli s bezpecnosti vazne jich ma alespon 5... 1 americky, 1 rusky, 1 cinsky a 1 linuxovy a 1 na BSD...

[Aleš Kapica]

Promiňte, ale když vidím slovo NÚKIB, ježí se mi všechny chlupy. Mám zcela odlišnou představu, jak by tenhle úřad měl fungovat a jaké služby by měl poskytovat. Svá doporučení si můžou nasoukat do prdele. Podle mého názoru by měli centralizovat informace a poskytovat „první pomoc” adminům, kteří jsou v první linii vydáni napospas útočníkům, co se na rozdíl od nich mohou soustředit na cílené útoky. Adminům, kterým nikdo nepomůže, když jim teče do bot.

[Heretik 《小魔神》]

Víte, jak spolehlivě poznáte kriticky zranitelné Cisco?

Podle nálepky "Cisco".

[RealJ]

videl jsi nekdy takovy Fortinet? Cisco je proti tomu naprosto bezpecne...

[Max]

Fortinet se nám teď snažili vnutit. Když si vzpomenu, jak naše matka nedávno všem zakázala vpn na asi 48h, protože kritická zranitelnost ve fortinet, tak fakt joke jak kráva. Měla to naše dcera, takže s managementem apod. jsem se seznámil, nevypadá to špatně, ale ta dlouhá řada průserů, to je konečná.
Podobně Citrix, ten je se zabezpečením fakt bídně. Skoro co měsíc kritická zranitelnost, několik zero-day, několik, co už se zneužívalo před oznámením, zaznamenal jsem jeden průnik kvůli zranitelnosti (bez následků, protože další zabezpečení okolo).
Zdar Max

[MP]

Ta zranitelnost asi bude SSL VPN. No te se definitivne zbavuji.

A my na Fortinet prechazime :D uz mame asi rok zpozdeni.

[Max]

Já to vpn nepoužívám, ale ano, myslím, že šlo o SSL VPN. Jop, koukám, migrují na ipsec v nějaké kombinaci s https. Hmmm.
My jedeme OpenVPN s MFA a k tomu ipsec ikev2 (primárně pro mobilní zařízení).
Zdar Max

[..... Izak .....]

Mi jedeme na zero-trust reseni, testuje se vice a jedno vyberou ... ted mame Ivanti a to je jeste vetsi sranda, co se bezpecnosti tyce, sr** na bezpecnost, patchovali pouze svij SW a pak se ukazalo, ze snad bezi na Linux 2.4 a necem mega starem, myslim nejaky hodne stary CentOS plny der - dokonce jsme meli 2x hackle VPN vzdyu je rychle odstavili a delala se kompletni reinstalace a obnova nastaveni -- pak dodali i novy OS v image - nekolikrat se to komplet reinstalovalo - nebot neumeli udelat update celkem sranda - sec. tem ted nevi, zasi je nahradime, nebot maji i zero-trust reseni, na druhou stranu meli tak velky pruser, ze je jista sance, ze uz si na to daji bacha ... je videt ze na ropdil od kriticke infra veri dodavateli, nebot tam kde jsme delal predtim by to neproslo, nebot by hackli image jakkoliv a zkoumali co je vevnitr - zde to bylo easy - nebot krom HW nabizi i vmware appliance - tedy boot do single modu, ziskat roota a zkoumat myslim, ze by jim to hodili na hlavu do 20 minut

[Max]

...ze je jista sance, ze uz si na to daji bacha...

Mám jinou zkušenost s firmami. Jakmile se něco opakuje, je to problém na core a neřešitelný. Nemá smysl čekat, že se to nějak zlepší, ne v horizontu několika let.
Zdar Max

[..... Izak .....]

To je presne dle zakonu USA tam musi mit zadni vratka pro CIA/NSA a casto se na ne prijde a nekdo je zneuziva. Dale padaji a nelze zajistiut auditing kodu, k Ciscoi kodum se dodva binarni bob s tim, ze dle zakonu USA jim nereknou co tam je.

Firmy kde zadni fratyka nejsou jsou napr. ZTE nebo Huawei - jak to vim? delal jsme v kriticke infra kde bezpecnost berou vazne a pozadovali kompletni kod, tento kopletni kod zkoumaly neklepsi mozky vcetne Nemeckoho CHozclubu, ktere si zaplatili paralelne - nasledne byla podminka, ze ke kodum budou dovat jen DIFF, aby mohli zkoumat jen nove veci a pak maji ve firme linux a kompilery - pouziva se bezne GCC danych verzi, prijde expert z ZTE nebo Huawei do firmy, spolu s zemstnaci zkopiluji novy FW ze zdrojaku a tento zkompilovany FW se nasadi - nebot mit zdrojak a pak nasazovat nejaky uplne jiny binarni FW je jaksi nesmysl ze

Kdyz se delaly penetrasni testy vykonu a utoku, tak Cisco paterni switche vzdy spadly, ZTE a Huawei vydrzely, jako bonus jsou levnjesi a jako jedny z mala nabizi plnyu zdrojka bez binarniho blobu a support na upgreade FW ktery si ve firme zkompilujete - kompilacni masinma se udzrovala na tech patchcich-verzi balicku, ktere Huawei/ZTE rekli.

jen uplny idiot porvozuje paterni site na cisco, DWDM linky funguji lepe na Huawei a ZTE a navrch jsou vyrazne levnejsi a bezpecnejsi, krom skvele stability. Jede na tom cele Rakousko napr. vcetne BTS ... ZTE maji jen proto, aby mohli tlacit na cenu, ale funguji stejne doibre i kdyz je to vyrazne mensi firma nez Huawei - ale neni spatne mit neco na jedne zacce a neco na druhe, kdyz udelaji redundatni linky a jeden z vyropbcu bude mit problem, druhy pojede a jako bonus je aspon nejaka soutez a dostanete lepsi cenu

[xxxs]

ta spinavost nemusi byt v auditovanom kode, ale v neauditovatelnom zeliezku.

[..... Izak .....]

NUKIB sledovat netreba, tyhle reporty delaji jine organizace lepe a hlavne rychleji - nebot jsou to primarni zdroje hned po cisco web site