[Sikkerhetsveiledning] Alibaba Cloud: Windows SMB/RDP fjernkommandoutførelse sårbarhetsreparasjonsveiledning

Kjære Alibaba Cloud-brukere,

Den 14. april 2017 utstedte den utenlandske hackergruppen Shadow Brokers et konfidensielt dokument fra NSA Equation-organisasjonen, som inneholder flere Windows-verktøy for fjernutnyttelse, som kan dekke 70 % av verdens Windows-servere og kan føre til serverinnbrudd.

Én. Omfang av påvirkning:

Kjente berørte versjoner av Windows inkluderer, men er ikke begrenset til:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

To. Undersøkelsesmetode

Verktøyene som er eksponert denne gangen bruker SMB-tjenester og RDP-tjenester for å invadere eksternt, og det er nødvendig å bekrefte om serveren har åpnet portene 137, 139, 445 og 3389.

Feilsøkingsmetoden er som følger:

Telnet-destinasjonsadressen 445 på den offentlige nettverksdatamaskinen, for eksempel: telnet [IP] 445

Tre. Avbøtende tiltak

1. Microsoft har sendt utVarsel, anbefales det sterkt at du oppdaterer den nyeste patchen;

Verktøynavn	Løsning
"EternalBlue"	Adressert avMS17-010
"EmeraldThread"	Adressert avMS10-061
"Evig Mester"	Adressert avCVE-2017-0146&CVE-2017-0147
"ErraticGopher"	Adressert før lanseringen av Windows Vista
"EsikmoRoll"	Adressert avMS14-068
"Evig romantikk"	Adressert avMS17-010
"UtdannetLærd"	Adressert avMS09-050
"Evig Synergi"	Adressert avMS17-010
"EclipsedWing"	Adressert avMS08-067

2. For øyeblikket har Alibaba Cloud Console også lansert et ett-klikks omgåelsesverktøy for denne sårbarheten; hvis du ikke bruker portene 137, 139 eller 445 i virksomheten din, kan du logge inn på [ECS-konsoll] - [Sikkerhetsgruppehåndtering] - [Regelkonfigurasjon] for å bruke verktøyet til å omgå denne sårbarhetsrisikoen med ett klikk.


3. Bruk sikkerhetsgruppens offentlige nettverkstilgangspolicy for å begrense 3389 ekstern innloggingskilde-IP-adresse.

Alibaba skyreparasjonsløsning: