[Урок по безопасности] Alibaba Cloud: обучающее руководство по устранению уязвимостей для удаленного выполнения команд Windows SMB/RDP

Уважаемые пользователи Alibaba Cloud,

14 апреля 2017 года иностранная хакерская группа Shadow Brokers опубликовала конфиденциальный документ от организации NSA Equation, который содержит множество инструментов для удалённых эксплойтов Windows, способных охватывать 70% серверов Windows в мире и приводить к проникновению серверов.

Один. Сфера воздействия:

Известные затронутые версии Windows включают, но не ограничиваются:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Два. Метод исследования

На этот раз использованы инструменты SMB и RDP-сервисы для удаленного вторжения, и необходимо подтвердить, открыл ли сервер порты 137, 139, 445 и 3389.

Метод устранения неполадок следующий:

Адрес назначения telnet 445 на компьютере публичной сети, например: telnet [IP] 445

Три. Меры смягчения последствий

1. Microsoft разослала своиУведомление, настоятельно рекомендуется обновить последний патч;

Название инструмента	Решение
«EternalBlue»	АдресованоMS17-010
«Изумрудная нить»	АдресованоMS10-061
«Вечный чемпион»	АдресованоCVE-2017-0146&CVE-2017-0147
«Непредсказуемый Суслик»	Это было решено до выхода Windows Vista
«ЭсикмоРолл»	АдресованоMS14-068
«Вечная романтика»	АдресованоMS17-010
«Образованный учёный»	АдресованоMS09-050
«Вечная синергия»	АдресованоMS17-010
«Затмённое крыло»	АдресованоMS08-067

2. В настоящее время консоль Alibaba Cloud также выпустила инструмент для обхода этой уязвимости с одним кликом: если вы не используете порты 137, 139 или 445 в вашем бизнесе, вы можете войти в [ECS console] - [Security Group Management] - [Rule Configuration] и использовать инструмент для обхода этой уязвимости одним кликом.


3. Используйте политику доступа к публичной сети группы безопасности для ограничения IP-адреса удалённого входа 3389.

Решение Alibaba Cloud Repair: