Assinatura IDS na WLC–Detectando KRACK Ataque

(Novembro?  )

Passado todo o barulho e desespero inicial talvez o ataque KRACK não seja assim tão grave. Pelo menos não a ponto de “matar”o WPA2.

Ainda assim é uma vulnerabilidade importante, e é sempre bom estarmos de olho.

Nas WLAN Controllers Cisco temos um IDS incluído, e disponível sem a necessidade de licenças adicionais. Este IDS vem com 17 assinaturas, para os ataque mais comuns, e também nos permite a criação de assinaturas customizadas.

Aproveitando esta funcionalidade o blog Giant Nerd Wifi (que aliás recomendo) criou e disponibilizou uma assinatura para detectar o KRACK (e de quebra também a vulnerabilidade registrada no CVE-2017-11120).

Usando assinaturas customizadas

1) Faça o download da assinatura aqui.

2) Abra o TFTP Server a aponte a pasta onde está o arquivo baixado.

3) Na WLC vá em Commands > Download File e escolha Signature File.

4) Garanta que a assinatura está habilitada (Security > Wireless Protection Policies > Custom Signatures).

5) Confirme que o log está habilitado (Management > SNMP > Trap Controls > Security > selecione IDS Signature Attack).

Para mais informações sobre estas assinaturas e sobre como criar assinaturas customizadas para a WLC, veja este post no blog Giant Nerd Wi-Fi.

Até a próxima.