Server Internet tidak tersedia karena dari serangan SYN berbahaya

Pada komputer yang menjalankan TCP/IP protokol dan yang terhubung Internet, beberapa atau semua layanan jaringan yang diberikan tidak tersedia, dan pesan galat seperti berikut muncul di layar klien jaringan: Gejala ini semua jaringan layanan yang diberikan tidak tersedia juga dapat terjadi pada komputer yang menjalankan sistem operasi selain Windows NT, sebagai contoh, UNIX.

Masalah ini terjadi saat komputer telah menjadi sasaran serangan berbahaya dikenal sebagai TCP/IP "Sin banjir" atau "Serangan SYN."

Pengguna berbahaya dapat menargetkan seluruh mesin, atau layanan TCP khusus seperti layanan web. Serangan ini difokuskan pada protokol TCP yang digunakan oleh semua komputer di Internet, dan tidak khusus untuk sistem operasi Windows NT.

Bagaimana Sin banjir bekerja

SYN banjir bekerja sebagai berikut:

• Permintaan koneksi TCP (SIN) dikirim ke target komputer. Alamat IP sumber dalam paket "palsu" atau diganti dengan alamat yang tidak digunakan di Internet, atau yang milik lain komputer. Penyerang akan mengirim banyak ini TCP SYNs untuk mengikat sebagai banyak sumber daya mungkin pada komputer target.
• Setelah menerima permintaan koneksi, komputer target mengalokasikan sumber daya untuk menangani dan melacak sambungan baru, kemudian merespon dengan "Sin-ACK". Dalam kasus ini, respon dikirim ke "palsu" tidak ada Alamat IP.
• Tidak ada jawaban yang diterima untuk Sin-ACK. A default-dikonfigurasi Windows NT 3.5 x atau 4.0 komputer akan retransmit Sin-ACK 5 kali, dua kali lipat nilai waktu habis setelah retransmission masing-masing. Awal waktu habis nilai adalah tiga detik, jadi mencoba lagi berusaha di 3, 6, 12, 24, dan 48 detik. Setelah yang terakhir retransmission, 96 detik diperbolehkan untuk melewati sebelum komputer menyerah pada menerima tanggapan, dan deallocates sumber daya yang ditetapkan samping sebelumnya untuk sambungan. Total berlalu waktu yang sumber daya yang digunakan adalah 189 detik.

Cara memverifikasi bahwa komputer Anda berada di bawah serangan SYN

Jika Anda mencurigai bahwa komputer Anda adalah target serangan SYN Anda dapat ketik perintah berikut pada prompt perintah untuk melihat koneksi di "SYN_RECEIVED" negara: Perintah ini dapat menyebabkan teks berikut muncul di layar: Jika sejumlah besar sambungan SYN_RECEIVED negara, mungkin bahwa sistem adalah di bawah serangan. Jaringan Analyzer dapat digunakan untuk melacak masalah lebih lanjut, dan mungkin perlu untuk menghubungi penyedia layanan Internet untuk bantuan dalam berusaha untuk jejak sumber.

Efek mengikat sambungan sumber daya bervariasi, tergantung pada TCP/IP stack dan aplikasi yang mendengarkan pada TCP port. Untuk Kebanyakan tumpukan, ada batas jumlah sambungan yang dapat di setengah terbuka (SYN_RECEIVED) negara. Setelah batas dicapai untuk port TCP yang diberikan, komputer target menanggapi dengan reset semua lebih lanjut permintaan sambungan sampai sumber daya dibebaskan.

Mendapatkan pembaruan berikut untuk Windows NT 3.51 atau terbaru layanan paket untuk Windows NT 4.0

Microsoft berkomitmen untuk memberikan perlindungan mungkin terbaik terhadap serangan ini dari dalam Sistem operasi Windows NT dan telah membuat beberapa perubahan untuk TCP/IP yang komponen tersedia untuk pelanggan dalam menanggapi ancaman ini.

Ini kunci global telah dirancang untuk melindungi terhadap serangan dan menetapkan tombol lain disebutkan pada artikel untuk nilai-nilai efektif dikenal. Kunci ini menghindari memiliki rasa administrator tentang yang nilai akan menawarkan yang paling perlindungan. Sangat disarankan bahwa tombol global berikut akan digunakan:

SynAttackProtect
Kunci: Tcpip\Parameters
Tipe nilai: REG_DWORD
Batasan valid: 0, 1, 2
0 (tidak ada synattack perlindungan)
1 (dikurangi retransmission mencoba lagi dan tertunda penciptaan RCE (rute cache entri) jika pengaturan TcpMaxHalfOpen dan TcpMaxHalfOpenRetried puas.)
2 (selain untuk 1 indikasi yang tertunda untuk Winsock dibuat.)

CATATAN: Ketika sistem menemukan dirinya diserang opsi berikut pada setiap soket dapat tidak lagi diaktifkan: sScalable windows (RFC 1323) dan per adaptor dikonfigurasi TCP parameter (awal RTT, ukuran jendela). Hal ini karena Ketika perlindungan berfungsi rute cache entri tidak bertanya sebelum Sin-ACK dikirim dan pilihan Winsock tidak tersedia pada tahap ini sambungan.

Default: 0 (palsu)
Rekomendasi: 2
Keterangan: Synattack perlindungan melibatkan mengurangi jumlah retransmisi untuk Sin-ACKS, yang akan mengurangi waktu yang sumber daya harus tetap dialokasikan. Alokasi rute cache catatan sumber daya tertunda hingga sambungan dibuat. Jika synattackprotect = 2, kemudian Hubungkan pada indikasi untuk Paku Alam tertunda hingga tiga-cara jabat tangan adalah selesai. Juga mencatat bahwa tindakan yang diambil oleh mekanisme perlindungan hanya terjadi jika pengaturan TcpMaxHalfOpen dan TcpMaxHalfOpenRetried melebihi.

CATATAN: Kunci berikut harus hanya diubah jika di atas global kunci telah terbukti efektif atau sumber daya tertentu batas are being hit.

Perubahan yang tercantum di sini: Versi baru dari Tcpip.sys telah diproduksi yang memungkinkan kontrol jumlah kali menanggapi permintaan koneksi TCP (Sin-ACK) akan disiarkan. Kontrol ditangani melalui registri baru parameter: Nilai default untuk parameter ini adalah sekarang 3. The Tabel berikut menunjukkan perilaku Windows NT 4.0 TCP/IP untuk berbagai nilai-nilai ini parameter: Parameter ini mengubah waktu default yang dibutuhkan untuk membersihkan koneksi TCP setengah terbuka dari 189 detik 45 detik, dan menyediakan lebih rinci kontrol administrator. Situs yang di bawah berat serangan mungkin mengatur nilai rendah sebagai sebagai "1". Nilai "0" ini juga berlaku; Namun Jika parameter ini diatur ke 0, Sin-ACKs akan tidak harus ditransmisikan ulang, dan akan waktu keluar dalam 3 detik. Dengan nilai yang rendah ini, sah koneksi usaha dari jauh klien mungkin gagal. NetBT (NetBIOS over TCP/IP) menggunakan TCP port 139 dan digunakan oleh jaringan layanan Microsoft seperti file dan berbagi cetak. Versi 3.51 dan 4.0 NetBT memiliki "penjualan" koneksi blok yang tersedia yang dua ditambah nomor inkremental tergantung pada klien NetBT (seperti redirector, server, dan setiap aplikasi NetBIOS yang berjalan). Pada server yang khas, jumlah ini akan 7-11. Versi baru dari NetBT telah menghasilkan yang secara otomatis mengalokasikan lebih banyak koneksi blok yang diperlukan, dalam cara yang dapat dikonfigurasi.

Pada acara koneksi, itu sekarang cek untuk melihat jika jumlah gratis blok di bawah 2, dan jika demikian, menambahkan "peningkatan" jumlah blok, di mana "kenaikan" dapat dikonfigurasi di registri seperti yang ditunjukkan di sini: Setiap blok koneksi mengkonsumsi 78 byte dari memori. The jumlah blok sambungan yang dapat dialokasikan oleh NetBT adalah juga registri dapat dikonfigurasi: MaxConnBackLog default untuk 1000, tetapi dapat ditetapkan sebagai tinggi sebagai 40.000. Sambungan blok "scavenged", atau daur ulang, ketika Sin-ACK RETRANSMISSION timer berakhir dan TCP gagal usaha sambungan. Windows soket aplikasi seperti server ftp dan Web server memiliki usaha koneksi mereka ditangani oleh Afd.sys. AFD.sys telah diubah untuk mendukung sejumlah besar sambungan dalam keadaan "setengah terbuka" tanpa menyangkal akses untuk klien yang sah. Hal ini dicapai dengan memungkinkan administrator untuk mengkonfigurasi backlog dinamis.

Versi baru AFD.sys mendukung empat parameter registri baru yang dapat digunakan untuk mengendalikan dinamis backlog perilaku.

EnableDynamicBacklog adalah sebuah saklar global untuk mengaktifkan atau menonaktifkan backlog dinamis. Default ke 0 (off), dan pengaturan ini menyediakan tidak ada perubahan dari versi yang ada. Pengaturan untuk 1 memungkinkan baru fitur dinamis backlog. MinimumDynamicBacklog mengendalikan jumlah minimal koneksi gratis diperbolehkan di endpoint mendengarkan. Jika jumlah bebas koneksi tetes di bawah nilai ini, maka thread antri untuk membuat koneksi gratis tambahan. Nilai ini harus tidak dilakukan terlalu besar, sebagai dinamis backlog kode melibatkan setiap kali jumlah koneksi gratis jatuh di bawah nilai ini. Terlalu besar nilai dapat menyebabkan penurunan kinerja. MaximumDynamicBacklog mengendalikan jumlah maksimum "quasi-free" koneksi diperbolehkan di endpoint mendengarkan. "Quasi-free" koneksi termasuk jumlah koneksi gratis ditambah hubungan-hubungan dalam setengah - terhubung negara (SYN_RECEIVED). Tidak ada usaha dilakukan untuk membuat tambahan koneksi gratis jika melakukan begitu akan melebihi nilai ini. DynamicBacklogGrowthDelta mengendalikan jumlah gratis koneksi ke membuat ketika koneksi tambahan diperlukan. Hati-hati dengan nilai ini, sebagai nilai besar bisa mengakibatkan ledakan koneksi gratis Alokasi. MaximumDynamicBacklog,

Windows NT 4.0

Masalah ini telah diperbaiki di Microsoft Windows terbaru NT AS paket layanan untuk Windows NT 4.0. Untuk informasi tentang mendapatkan Paket layanan, permintaan kata berikut pada Basis Pengetahuan Microsoft:

Menambahkan perubahan registri ini mungkin memiliki pengaruh buruk Cluster Microsoft Exchange.

Microsoft Exchange Cluster (Exres.dll) sering memulai koneksi ke port SMTP, IMAP, POP3, dan HTTP untuk menguji ketersediaan. Tes mirip dengan sesi telnet ke port 25, 143, 110, atau 80.

Jika tes berhasil, gugus tahu bahwa layanan tersedia untuk pengguna dan menandai mereka sebagai "Hidup". Jika tes tidak berhasil, Cluster Administrator menandai sumber sebagai offline Cluster Administrator, dan log peristiwa di log aplikasi. Acara ini:

Jenis peristiwa: kesalahan
Sumber peristiwa: MSExchangeCluster
Kategori peristiwa: layanan
ID Peristiwa: 2074
Tanggal: tanggal
Waktu: waktu
Pengguna: N/A
Komputer: nama komputer
Keterangan: SMTP Virtual Server Contoh-(125-VS2-nama): Cluster layanan gagal isalive memeriksa sumber daya.