CCNA Security v2.0 Capitulo 5 Respuestas del Examen

Explicación:  El tercer paso en la implementación de IOS IPS es configurar la clave pública de Cisco IOS IPS que se encuentra en el archivo realm-cisco.pub.key.txt. Esta clave pública se utiliza para verificar la firma digital del archivo de firma maestro y se puede descargar de cisco.com. Para configurar la clave criptográfica IOS IPS, abra el archivo de texto y copie y pegue el contenido en el enrutador en el indicador de configuración global. Los pares de claves públicas / privadas para IPsec VPN y servidor SSH se generan utilizando diferentes métodos.

Explicación:  Desde IOS 12.4 (11) T, Cisco introdujo el formato de firma IPS de la versión 5.x. La nueva versión admite parámetros de firma cifrada y otras características como la clasificación de riesgo de firma, que califica la firma en función del riesgo de seguridad.

Explicación:  Una firma compuesta se llama firma con estado. Identifica una secuencia de operaciones distribuidas en varios hosts durante un período de tiempo arbitrario. Debido a que este tipo de ataque involucra múltiples paquetes, un sensor IPS debe mantener la información de estado. Sin embargo, un sensor IPS no puede mantener la información de estado de forma indefinida. Una firma compuesta se configura con un período de tiempo para mantener el estado del ataque específico cuando se detecta por primera vez. Por lo tanto, es posible que un IPS no pueda mantener toda la información relacionada con un ataque, como el número total de paquetes, la duración total del tiempo de ataque y la cantidad de ancho de banda consumido por el ataque.

Explicación:  Un IDS / IPS con detección basada en patrones, también conocida como detección basada en firmas, compara el tráfico de red con una base de datos de ataques conocidos (archivos de firmas) y activa una alarma o evita la comunicación si se encuentra una coincidencia. Las firmas deben crearse primero. Por tanto, este tipo de detección de intrusos no puede detectar ataques desconocidos. Es fácil de configurar e implementar. Su funcionamiento no depende de la información del comportamiento normal de la red (o línea de base).

Explicación:  El método de detección basado en honeypot utiliza servidores ficticios para atraer ataques. El propósito del enfoque Honey Pot es distraer los ataques de los dispositivos de red reales. Después de capturar las actividades de ataque en los servidores honeypot, los administradores de red pueden analizar los tipos de ataques entrantes y los patrones de tráfico malicioso.

Explicación:  La clave criptográfica verifica la firma digital del archivo de firma maestro (sigdef-default.xml). El contenido del archivo está firmado por una clave privada de Cisco para garantizar su autenticidad e integridad.

Explicación:  Al configurar IOS IPS con el comando ip ips, se puede utilizar una ACL estándar o extendida opcional para filtrar el tráfico escaneado. Todo el tráfico permitido por la ACL está sujeto a inspección por parte del IPS. El tráfico denegado por la ACL no es inspeccionado por el IPS.

Explicación:  Las alarmas generadas por un IPS se pueden clasificar en 4 tipos:
Un falso positivo ocurre cuando un IPS genera una alarma sobre el tráfico normal de usuarios que no debería haber disparado una alarma.
Un falso negativo ocurre cuando un IPS no genera una alarma después de procesar el tráfico de ataque que el IPS está configurado para detectar.
Un verdadero positivo ocurre cuando un IPS genera una alarma en respuesta a un tráfico de ataque conocido.
Un verdadero negativo ocurre cuando el tráfico normal de la red no genera una alarma.

Explicación:  Las alertas generadas por un IPS deben monitorearse de cerca para garantizar que se tomen las medidas adecuadas contra ataques maliciosos. Las soluciones IPS incorporan dos tipos de alertas, alertas atómicas y alertas resumidas. Las alertas atómicas se generan cada vez que se activa una firma. Una alerta resumida es una alerta única que indica múltiples ocurrencias de la misma firma desde la misma dirección o puerto de origen. Con un cambio de resumen, la primera detección del ataque desencadena una alerta normal. La detección posterior del mismo ataque se cuenta hasta el final del intervalo de resumen de firmas. Cuando ha transcurrido el tiempo especificado por el intervalo de resumen, se envía una alarma de resumen, indicando el número de alarmas que ocurrieron durante el intervalo de tiempo.

Explicación:  Los dos principales mecanismos de generación de alertas para dispositivos IDS / IPS son alertas atómicas y resumidas. Las alertas atómicas se generan cada vez que se activa una firma. Con una alerta resumida, se genera una única alerta atómica para la primera detección de un ataque. Luego, las alarmas duplicadas se cuentan, pero no se envían, durante un período de tiempo específico. Cuando llega al período de tiempo especificado, se envía una alerta que indica el número de alarmas que ocurrieron durante el intervalo de tiempo.

Explicación:  Debido a que la inspección de IPS está configurada en la interfaz S0 / 0/0 con dirección de entrada, pero el rango de direcciones de origen de ACL es 192.168.0.0/16 y el tipo de tráfico es http establecido, no habrá tráfico que coincida con estos criterios (nota, no hay servidor web en LAN 1 o LAN 2). Por tanto, no se llevará a cabo ninguna inspección de tráfico.

Explicación:  Al enviar una notificación IPS con formato SDEE, el búfer del enrutador almacena hasta 200 eventos de forma predeterminada. Si se solicita un búfer más pequeño, todos los eventos almacenados se pierden. Si se solicita un búfer más grande, se guardan todos los eventos almacenados. El búfer predeterminado se puede modificar con el comando ip sdee events. Todos los eventos almacenados se pierden cuando se deshabilita la notificación de Cisco SDEE. Se asigna un nuevo búfer cuando se vuelven a habilitar las notificaciones.

Explicación:  En el modo promiscuo, también conocido como modo pasivo, el flujo de tráfico no se ve afectado porque el sensor IDS analiza copias de tráfico en lugar de paquetes reenviados reales.

Explicación:  Para habilitar el formato de informe de actividad IPS utilizando SDEE, primero se debe habilitar el servidor HTTP o HTTPS en el enrutador. Si el servidor HTTP no está habilitado, el enrutador no puede responder a los clientes SDEE porque no puede ver las solicitudes. El comando ip ips notify log enviará una notificación mediante syslog. Las tareas de configurar la categoría de firma y crear un directorio de configuración de IOS IPS en flash son necesarias para implementar IOS IPS, pero no están directamente asociadas con la función SDEE.

Explicación:  A partir de la configuración, la ACL 100 se utiliza para identificar los paquetes coincidentes que se van a inspeccionar. Sin embargo, dado que se desconoce la configuración de ACL 100 (no se muestra), la única conclusión que podemos sacar con certeza es que «el tráfico que coincida con ACL 100 será escaneado y reportado».

Explicación:  La firma IPS en la categoría de todos se retira, lo que significa que no se compilan firmas en la memoria. La categoría básica ios_ips de la firma IPS no se retira (mediante el comando retirado falso), lo que hace que las firmas en el ios_ips básico se compilen en la RAM para la inspección del tráfico.

Explicación:  El comando IOS ip ips signature-definition se utiliza para configurar una firma específica, incluida la retirada / anulación y la acción del evento. Para configurar una categoría de firma, se utiliza el comando ip ips signature-category.

Explicación:  La desventaja de operar con tráfico reflejado es que el IDS no puede evitar que los ataques maliciosos de un solo paquete lleguen al objetivo antes de responder al ataque. Además, un IDS a menudo requiere la asistencia de otros dispositivos de red, como enrutadores y firewalls, para responder a un ataque. Una ventaja de un IDS es que, al trabajar sin conexión con tráfico reflejado, no tiene ningún impacto en el flujo de tráfico.

Explicación:  Tanto el IDS como el IPS se implementan como sensores y usan firmas para detectar tráfico malicioso. El IDS analiza copias del tráfico de la red, lo que tiene un impacto mínimo en el rendimiento de la red. El IDS también se basa en un IPS para detener el tráfico malicioso.

Explicación:  El comando de notificación ip ips se utiliza para configurar la notificación de eventos IPS. Este comando tiene dos opciones, log y sdee. La opción de registro es para especificar que las notificaciones se envíen en formato syslog. La opción sdee es especificar que las notificaciones se envíen en formato SDEE. Si no se especifica ninguna opción, de forma predeterminada, las notificaciones se envían en formato syslog.

Explicación:  Los dispositivos IPS basados ​​en red se implementan como modo en línea para monitorear activamente el tráfico en las redes. Pueden tomar acciones inmediatas cuando los criterios de seguridad coinciden. Una limitación de ellos es que no pueden monitorear / inspeccionar paquetes encriptados.

Explicación:  La detección basada en patrones (también denominada detección basada en firmas) busca un patrón específico que puede ser textual, binario o una serie de llamadas a funciones. Puede detectarse en un solo paquete (atómico) o en una secuencia de paquetes (compuesto).