[Ohutusõpetus] Alibaba Cloud: Windows SMB/RDP kaugkäsu täitmise haavatavuse parandamise õpetus

Head Alibaba Cloudi kasutajad,

14. aprillil 2017 avaldas välismaine häkkerigrupp Shadow Brokers NSA Equation organisatsioonilt konfidentsiaalse dokumendi, mis sisaldab mitmeid Windowsi kaugekspluateerimisvahendeid, mis võivad katta 70% maailma Windowsi serveritest ja põhjustada serveri sissetungi.

Üks. Mõju ulatus:

Tuntud mõjutatud Windowsi versioonid hõlmavad, kuid ei piirdu ainult:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Kaks. Uurimismeetod

Seekordsed tööriistad kasutavad SMB teenuseid ja RDP teenuseid kauginvasiooniks ning on vaja kontrollida, kas server on avanud pordid 137, 139, 445 ja 3389.

Tõrkeotsingu meetod on järgmine:

Avaliku võrgu arvuti telneti sihtaadress 445, näiteks: telnet [IP] 445

Kolm. Leevendusmeetmed

1. Microsoft on välja saatnudTeade, soovitatakse tungivalt uuendada viimast plaastrit;

Tööriista nimi	Lahendus
"EternalBlue"	AdresseeritudMS17-010
"Smaragdniit"	AdresseeritudMS10-061
"Igavene Meister"	AdresseeritudCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	Lahendatud enne Windows Vista ilmumist
"EsikmoRoll"	AdresseeritudMS14-068
"Igavene romantika"	AdresseeritudMS17-010
"HaritudTeadlane"	AdresseeritudMS09-050
"Igavene sünergia"	AdresseeritudMS17-010
"Varjutatud Tiib"	AdresseeritudMS08-067

2. Praegu on Alibaba Cloud konsool välja andnud ka ühe klõpsuga vältimistööriista selle haavatavuse jaoks; kui sa ei kasuta oma ettevõttes porte 137, 139 või 445, saad sisse logida [ECS konsooli] - [Security Group Management] - [Rule Configuration], et kasutada tööriista selle haavatavuse riski vältimiseks ühe klõpsuga.


3. Kasuta turvagrupi avaliku võrgu juurdepääsu poliitikat, et piirata 3389 kaugjuurdepääsu allika IP-aadressi.

Alibaba pilveparanduslahendus: