Cisco ASA

Cisco ASA (Cisco ASA 5500 Series Adaptive Security Appliances) — серия устройств сетевой безопасности компании Cisco, впервые представленная в мае 2005 года[1]. Эти устройства пришли на смену трём предыдущим линейкам продукции Cisco: устройствам Cisco PIX (межсетевой экран и NAT), устройствам вторжения Cisco IPS 4200 серии и концентратору VPN Cisco 3000.

История

Cisco ASA относится к категории систем комплексного управления угрозами (UTM) и объединяет ряд функций сетевой безопасности[2]. К настоящему времени эта платформа является одной из самых популярных для реализации функций межсетевого экрана и VPN в сегменте малого и среднего бизнеса. В ранних обзорах отмечались недостатки в средствах управления через графический интерфейс[3].

В программном обеспечении ASA была обнаружена уязвимость при пользовательской настройке безклиентских SSL VPN, которая была устранена в 2015 году[4].

В 2017 году группировка The Shadow Brokers раскрыла наличие двух уязвимостей повышения привилегий в ASA: EPICBANANA[5] и EXTRABACON[6][7].

Также был описан имплантат внедрения кода BANANAGLEE, постоянство которому обеспечивал JETPLOW[8].

В 2018 году была устранена уязвимость WebVPN (CVE-2018-0101), позволявшая дистанционно выполнять произвольный код[9].

В 2025 году специалисты по безопасности выявили рост количества сканирований в поисках Cisco ASA, предположив, что злоумышленникам известна новая уязвимость[10]. Через неделю стало известно почти о 50 000 устройств, уязвимых сразу к двум новым эксплойтам с возможностью выполнения кода и доступа к защищённым VPN-сервисам (идентификаторы CVE-2025-20333 и CVE-2025-20362); на момент раскрытия они уже активно эксплуатировались[11]. По заявлению Cisco, на тот момент исправлений от данных уязвимостей не существовало[12]. В связи с этим Агентство по кибербезопасности и безопасности инфраструктуры США рекомендовало федеральным организациям проверить уровень компрометации используемых устройств[13]. Британский Национальный центр кибербезопасности также опубликовал предупреждение для бизнеса и широкого круга пользователей[14].

Архитектура

Программное обеспечение Cisco ASA основано на ядре Linux. Выполняется единственный исполняемый файл в формате ELF под названием lina; внутреннее планирование процессов организовано средствами самой программы, а не стандартного Linux[15]. В последовательности загрузки сначала стартует загрузчик ROMMON (ROM monitor), затем ядро Linux, которое запускает lina_monitor, после чего загружается lina. Интерфейс ROMMON также предоставляет командную строку для выбора и загрузки альтернативных образов или конфигураций. В именах прошивок указывается версия: -smp означает поддержку симметричных многопроцессорных систем (и архитектуры 64 бит), а другие составляющие имени — поддержку 3DES или AES[15].

Интерфейс командной строки ASA напоминает Cisco IOS для маршрутизаторов этой компании. Управлять, настраивать и опрашивать устройство можно через CLI; команды при конфигурировании записываются в режиме config, изначально хранится в оперативной памяти как running-config и при необходимости сохраняется во флэш[15].

Поддержка программных версий 7.0–9.0, 9.3 и 9.5 завершена. Последний релиз программного обеспечения для моделей 5505–5550 выпущен в 2014 году[15]

Модели

Серия 55 (2010–2018)

Модель 5505, появившаяся в 2010 году, рассчитана на малые предприятия или филиалы и выполнена в настольном корпусе, оснащается встроенным коммутатором и портами Power over Ethernet[16]. Мощная модель 5585-X, представленная также в 2010 году, ориентирована на дата-центры[17], работает в 32-битном режиме на платформе Intel Atom[15].

Модель 5505[18]. 5510 5520[18] 5540[18] 5550[18] 5580-20[18] 5580-40[18] 5585-X SSP10[18] 5585-X SSP20[18] 5585-X SSP40[18] 5585-X SSP60[18]
Пропускная способность (без шифрования), Мбит/с 150 300 450 650 1 200 5 000 10 000 3 000 7 000 12 000 20 000
AES/3DES — скорость шифрования, Мбит/с 100 170 225 325 425 1 000 1 000 1 000 2 000 3 000 5 000
Максимум одновременных соединений 10 000 (25 000 с лицензией Sec Plus) 50 000 (130 000 с лицензией Sec Plus) 280 000 400 000 650 000 1 000 000 2 000 000 1 000 000 2 000 000 4 000 000 10 000 000
Максимум VPN-сессий (site-to-site и удалённого доступа) 10 (25 с лицензией Sec Plus) 250 750 5 000 5 000 10 000 10 000 5 000 10 000 10 000 10 000
Максимум SSL VPN-сессий пользователей 25 250 750 2 500 5 000 10 000 10 000 5 000 10 000 10 000 10 000
Модель 5505 5510 5520 5540 5550 5580-20 5580-40 5585-X SSP10 5585-X SSP20 5585-X SSP40 5585-X SSP60

Cisco пришла к выводу, что большинство младших моделей имеют недостаточно ресурсов для реализации современных функций (антивирус, изоляция в песочнице и др.) и в 2018 году представила новую линейку NGFW — Firepower, работающую в 64-битном режиме[15].

Firepower (модели с 2018 года)

Устройства 5512-X, 5515-X, 5525-X, 5545-X и 5555-X поддерживают установку дополнительных интерфейсных карт.[19]. В 5585-X также возможно подключение специального процессора служб безопасности[20]. Модель ASA 5585-X поддерживает установку I/O-модуля (разделяемого на два полуразмерных)[21].

Модель[19] 5506-X 5506W-X 5506H-X 5508-X 5512-X 5515-X 5516-X 5525-X 5545-X 5555-X 5585-X
Пропускная способность, Гбит/с 0,25 0,25 0,25 0,45 0,3 0,5 0,85 1,1 1,5 1,75 4–40
Портов 1 Гбит/с 8 8 4 8 6 6 8 8 8 8 6–8
Портов 10 Гбит/с 0 0 0 0 0 0 0 0 0 0 2–4
Форм-фактор настольный настольный настольный 1U 1U 1U 1U 1U 1U 1U 2U

Примечания

Литература

Ссылки