ASA and FTD Software-Security Appliance Might Fail To Pass Traffic After 213 Days Of Uptime

Max Eizenberger
Autor: Max Eizenberger

Cisco hat eine neue Field Notice (64291) veröffentlicht welche das ASA OS und Threat Defense betrifft.

Der Bug betrifft den gesamten Traffic Flow bei den unten aufgelisteten ASA-Versionen welcher nicht mehr funktioniert wenn die ASA 213 Tage am Stück durchgehend online/laufend war.
Nach einem Neustart des Geräts hat man wieder 213 Tage bis der Fehler erneut auftritt.

Dieser Bug ist auch bei Failover Clustern kritisch da diese zumeist mit gleicher Firmware auf beiden ASAs betrieben werden und die Uptime der beiden Firewalls meist gleich/wenig zeitversetzt ist.

Bei Kunden mit aktiven Wartungsvertrag wurde die Uptime  der Geräte bereits kontrolliert um ein eventuelles Versagen vor einem von Cisco veröffentlichtem Software Update auszuschließen, Kunden ohne Wartungsvertrag können Sich zur Überprüfung und updaten der Firewall gerne beim Infotech Servicedesk unter 07752/81711599 melden.
Folgende Firmware-Versionen sind betroffen:

CISCO FIREPOWER 6.1.0.1
CISCO FIREPOWER 6.1.0.2
CISCO FIREPOWER 6.2.0
ASA 9.1.7.11
ASA 9.1.7.12
ASA 9.1.7.13
ASA 9.1.7.15
ASA 9.1.7.9
ASA 9.2.4.15
ASA 9.2.4.17
ASA 9.2.4.18
ASA 9.4.3.11
ASA 9.4.3.12
ASA 9.4.3.6
ASA 9.4.3.8
ASA 9.4.4
ASA 9.4.4.2
ASA 9.5.3
ASA 9.5.3.1
ASA 9.5.3.2
ASA 9.5.3.6
ASA 9.6.2.1
ASA 9.6.2.11
ASA 9.6.2.13
ASA 9.6.2.2
ASA 9.6.2.3
ASA 9.6.2.4
ASA 9.6.2.7
ASA 9.6.3
ASA 9.7.1
ASA 9.7.1.2

 

ASA OS & Firepower wird zu Firepower Threat Defense

Max Eizenberger
Autor: Max Eizenberger

Seit deutlich über einem Jahrzehnt gibt es mit der Cisco PIX beziehungsweise später ASA (Adaptive Security Appliance) eine solide und zuverlässige Firewall welche via CLI oder den  ASDM administriert und gewartet werden kann. Beim ASDM bemerkt man diese lang bewährte Einsatzzeit bei der grafischen Aufbereitung von Daten im Netzwerk, denn im Vergleich zu den Konkurrenten muss man  gestehen das dieser in diesem Bereich nicht wirklich mithalten kann.

2013 wurde mit dem Kauf von SourceFire (die führende Open Source Software für IDS/IPS-Systeme, ebenfalls bekannt unter dem Namen „Snort“)  die Grundlage des nun bereits seit zwei Jahren bestehenden Firepower Systems gesetzt. Im Zuge der Entwicklung von Sourcefire zu Firepower wurde ein neues Management Center entwickelt welches das Firepower Modul in den Next Generation Firewalls abseits des ASDM managen kann und mit einfacher Bedienung, einer Vielzahl von Funktionen, beeindruckenden Grafiken und Analysen zum internen und externen Traffic im Netzwerk bis hoch zum Layer 7 punktet.

Dieses Management Center wird aufgrund der oben genannten Vorzüge von Cisco nun auch auf das ASA-OS angewandt, dies bedeutet das der ASDM durch das Firepower Management Center abgelöst wird in welchen dann jede ASA und Firepower Konfiguration erstellt wird. Das Ziel ist die Verschmelzung der zurzeit streng getrennten Systeme ASA-OS und Firepower Modul. Ein kleiner Wermutstropfen ist folglich der komplette Wegfall der CLI-Konfiguration, lediglich Debug und Show-Befehle können in der CLI ausgeführt werden.

Wir bei Infotech sind bei diesen gravierenden technischen Änderungen von Cisco natürlich am Ball und „basteln“ bereits jetzt in einer vituellen Testumgebung die gängigsten Kunden Deployments und wichtigsten Funktionen nach um diese auf Herz und Nieren zu testen. Die auf der Cisco Live 2017 in Berlin angekündigte neue Firepower Appliance 2100 beinhaltet neue Hardware welche für IPS-Erkennung/Signaturen optimiert wurde, diese Appliance wird ausschließlich mit der Threat Defense Firmware betrieben und ist bereits bestellt und hoffentlich bald auf dem Weg zu Infotech. Diese wird zum Wissensaufbau und für Dienste im Datacenter verwendet, somit sind wir auch mit der physischen Appliance und echten Performancedaten außerhalb des Datenblatts vertraut.

 

Es gibt für bestehende Deployments jedoch keine „Updatepflicht“, normale Cisco ASA Software wird bis auf weiteres von Cisco mit Updates versorgt, sowie das getrennte Firepower Modul.
Jede Cisco Next Generation Firewall (ASA5506-X, ASA5508-X, ASA5516-X, ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X)
kann auf Threat Defense konvertiert/umgeflasht werden.

 

Für Kunden welche den Kauf einer ASA 5508-X oder höher überlegen, besteht die Möglichkeit ein Leihgerät passiv via SPAN-Port als IDS ins Netzwerk zu integrieren und somit ein ersten Eindruck  mit Threat Defense oder normalen ASA OS und Firepower zu bekommen. Nach diesem „Hand On“ fällt Ihnen der Kauf der Firewall garantiert leichter :)

Zusammengefasst lässt sich sagen dass wir für die ersten Kunden-Firewalls mit der neuen Threat Defense Firmware bestens vorbereitet sind.

Falls ich mit diesem Blog-Post Ihr Interesse geweckt habe und Sie gerne mehr über Threat Defense / ASA / oder allgemein Firepower Erfahren wollen können Sie mich gerne kontaktieren.

Max Eizenberger
Network Engineer
Network Services
T: +43 7752 81711 548
E: max.eizenberger@infotech.at