TMA-SOPHOS-3.6

Ensure Site-to-Site IPSec VPN is not configured with "Aggressive Mode"

ВысокийУровень 2Ручная проверкаsophos

Описание

IKEv1 Aggressive Mode does not provide Peer Identity Protection. They are vulnerable to offline dictionary or brute force attack. Reviewed in the Sophos Firewall web admin console (SFOS has no plain-text configuration export to audit offline).

Как проверяется

Метод проверки: Ручная проверка

Эту рекомендацию нельзя проверить автоматически. Сканирование выводит её вместе с этими инструкциями при указании флага --include-manual.

Navigate to 'System > Profiles > IPsec profiles'. Verify that active 'IPsec Profile' in used is not configured with 'Key exchange' 'IKEv1' and 'Authentication mode' 'Aggressive mode'.

Как исправляется

Метод исправления: Рекомендация или патч инфраструктуры

Navigate to 'System > Profiles > IPsec profiles'. Remove any active 'IPsec Profiles' configured with 'Key exchange' 'IKEv1' and 'Authentication mode' 'Aggressive mode' and replace with 'IKEv2' or 'Main mode'.

Свойства

Операционные системы: Любая
Теги: sophoshardening
Источник: CIS Sophos Firewall v22 Benchmark v1.0.0 - 3.6 Ensure Site-to-Site IPSec VPN is not configured with "Aggressive Mode"