[Урок з безпеки] Alibaba Cloud: навчальний посібник з виправлення вразливостей для віддаленого виконання команд Windows SMB/RDP

Шановні користувачі Alibaba Cloud,

14 квітня 2017 року іноземна хакерська група Shadow Brokers оприлюднила конфіденційний документ від організації NSA Equation, який містить кілька інструментів для віддалених експлойтів Windows, здатних покривати 70% серверів Windows у світі та призвести до проникнення на сервер.

Один. Сфера впливу:

Відомі версії Windows, які постраждали, включають, але не обмежуються:

Windows NT、Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0;

Два. Метод дослідження

Цього разу використані інструменти використовують SMB-сервіси та RDP-сервіси для дистанційного вторгнення, і необхідно підтвердити, чи відкрив сервер порти 137, 139, 445 і 3389.

Метод усунення несправностей виглядає так:

Адреса призначення telnet 445 на комп'ютері публічної мережі, наприклад: telnet [IP] 445

Три. Заходи пом'якшення наслідків

1. Microsoft розіслала матеріалПовідомлення, настійно рекомендується оновити останній патч;

Назва інструменту	Розв'язок
"EternalBlue"	ЗвертаєтьсяMS17-010
"Смарагдова нитка"	ЗвертаєтьсяMS10-061
«Вічний чемпіон»	ЗвертаєтьсяCVE-2017-0146&CVE-2017-0147
"Нестабільний Гофер"	Вирішено до виходу Windows Vista
"ЕсікмоРол"	ЗвертаєтьсяMS14-068
«Вічна романтика»	ЗвертаєтьсяMS17-010
"Освічений учений"	ЗвертаєтьсяMS09-050
"EternalSynergy"	ЗвертаєтьсяMS17-010
"ЕкліпсВінг"	ЗвертаєтьсяMS08-067

2. Наразі консоль Alibaba Cloud також випустила інструмент для обходу цієї вразливості одним кліком: якщо ви не використовуєте порти 137, 139 або 445 у своєму бізнесі, ви можете увійти в [ECS console] - [Security Group Management] - [Rule Configuration], щоб одним кліком обійти цей ризик вразливості.


3. Використовуйте політику доступу до публічної мережі групи безпеки для обмеження IP-адреси 3389 для джерела віддаленого входу.

Рішення для ремонту хмари Alibaba: