🛡️ qub-network-security-cve-2023-20198

Analyse, Erkennung und Abwehr der Ausnutzung von CVE-2023-20198 in Cisco IOS XE
📘 Queen’s University Belfast – CSC3064 Network Security Assessment

📋 Aufgabenübersicht

Dieses Projekt beinhaltet die Analyse von PCAP-Dateien, die von Fox-IT bereitgestellt wurden, um:

Indikatoren für eine Kompromittierung (IOCs) zu identifizieren
Die Ausnutzung mittels selbst erstellter Pakete zu demonstrieren
Snort IDS/IPS und iptables-basierte Netzwerksicherheitsgegenmaßnahmen anzuwenden

📁 Repository-Struktur

Slides/ – Präsentationsfolien, die im Video verwendet wurden
IOC Summary/ – Detaillierte Aufschlüsselung aller netzwerkseitigen Indikatoren für eine Kompromittierung
Snort Rules/ – In Snort implementierte Alarm- und Blockierungsregeln mit visuellem Nachweis
Assessment PDF/ – Offizielle CSC3064-Aufgabenstellung der QUB
Video/ – Demonstrationsvideo (separat hochgeladen und unten verlinkt)

Abschließende IOC-Zusammenfassung

IOC-Typ	Beobachteter IOC	Bestätigung
IP-Muster	Angreifer: `10.10.1.1`, `10.10.0.1` Opfer: `10.10.1.69`, `10.10.1.42`	Angriffsquelle und Zielgeräte identifiziert
Header	`User-Agent: Mozilla/5.0...` `Priv-Level: 15`	Browser-Imitation und Privilegieneskalation
Protokolle	TCP, HTTP (Port 80), SOAP/XML	Ausnutzung von WSMA über unverschlüsseltes HTTP
Payloads	`execCLI` und `username cisco_support`	Fernausführung von Befehlen und Erstellung einer Hintertür
TCP-Verhalten	SYN, ACK, FIN (normale Sequenz)	Deutet auf verdecktes, nicht auf DoS abzielendes Verhalten hin
Verwendete Ports	Port 80 (kein HTTPS)	Sensitiver Datenverkehr im Klartext

🔐 Verwendete Snort-Regeln

📄 Siehe Snort_Rules.txt für alle implementierten Regeln.

Die Regeln decken ab:

Erkennung und Verhinderung von execCLI, Erstellung von Hintertürkonten, Admin-Login-Versuchen und Privilegieneskalation.

🖼️ Screenshot:
Snort Rules Example

Höhepunkte der Demonstration

Simulierter Angriffsverkehr mit hping3
Angewendete Snort-IDS-Regeln (nur Alarm) und IPS-Regeln (Paketblockierung)
Konfiguriertes iptables, um sicheren Verkehr zuzulassen und bösartige Pakete zu verwerfen
Wirksamkeitsprüfung mit Wireshark in einer VM-Umgebung (via UTM unter macOS)

🎥 Videopräsentation

📺 Vollständige Demo auf YouTube ansehen
(Nicht gelistet – nur über diesen Link zugänglich)

👤 Autor

Dominicus Adjie Wicaksono
Matrikelnummer: 40352799
📧 [email protected]
🔗 LinkedIn

Beliebteste

qub-network-security-cve-2023-20198