[안전 튜토리얼] 알리바바 클라우드: Windows SMB/RDP 원격 명령 실행 취약점 복구 튜토리얼

알리바바 클라우드 사용자 여러분,

2017년 4월 14일, 해외 해커 그룹인 섀도우 브로커스는 NSA 이퀘이션 조직의 기밀 문서를 공개했으며, 이 문서에는 전 세계 윈도우 서버의 70%를 커버할 수 있는 여러 윈도우 원격 익스플로잇 도구가 포함되어 있어 서버 침입을 초래할 수 있습니다.

1. 영향 범위:

알려진 영향을 받는 윈도우 버전에는 다음이 포함되지만 이에 국한되지 않습니다:

Windows NT, Windows 2000, Windows XP, Windows 2003, Windows Vista, Windows 7, Windows 8, Windows 2008, Windows 2008 R2, Windows Server 2012 SP0;

2. 조사 방법

이번에 공개된 도구들은 SMB 서비스와 RDP 서비스를 이용해 원격으로 침입하며, 서버가 포트 137, 139, 445, 3389를 개방했는지 확인해야 합니다.

문제 해결 방법은 다음과 같습니다:

공용 네트워크 컴퓨터의 텔넷 목적지 주소 445, 예를 들어 telnet [IP] 445

3. 완화 조치

1. 마이크로소프트가 발송했습니다공지, 최신 패치를 업데이트하는 것을 강력히 권장합니다;

도구명칭	해결책
"이터널블루"	연설MS17-010
"에메랄드스레드"	연설MS10-061
"영원한 챔피언"	연설CVE-2017-0146&CVE-2017-0147
"에라틱 고퍼"	Windows Vista 출시 이전에 다뤄진 문제
"에식모롤"	연설MS14-068
"이터널로맨스"	연설MS17-010
"교육받은 학자"	연설MS09-050
"영원한 시너지"	연설MS17-010
"이클립스드윙"	연설MS08-067

2. 현재 알리바바 클라우드 콘솔은 이 취약점에 대한 원클릭 우회 도구도 출시했습니다. 사업장에서 포트 137, 139, 445를 사용하지 않는 경우, [ECS 콘솔] - [보안 그룹 관리] - [규칙 구성]에 로그인하여 한 번의 클릭으로 이 취약점 위험을 우회할 수 있습니다.


3. 보안 그룹의 공용 네트워크 접근 정책을 사용하여 3389 원격 로그인 소스 IP 주소를 제한합니다.

알리바바 클라우드 복구 솔루션: