ID do artigo: 142641 - �ltima revis�o: ter�a-feira, 20 de fevereiro de 2007 - Revis�o: 5.3

Servidor de Internet n�o est� dispon�vel devido a ataques mal-intencionados de SYN

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Exibir Aviso de Isen��o de Tradu��o Autom�tica

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Em um computador que esteja executando o protocolo TCP/IP e que � conectado � Internet, alguns ou todos os servi�os de rede s�o processados n�o est� dispon�veis e mensagens de erro como o seguinte aparecer na tela do cliente de rede:

A conex�o foi redefinida pelo host remoto.

Esse sintoma de todos os servi�os de rede que est� sendo processada n�o est� dispon�vel tamb�m pode ocorrer em um computador que executa um sistema operacional diferente do Windows NT, por exemplo, UNIX.

Voltar para o in�cio

Causa

Esse problema ocorre quando o computador tornou-se o destino de um ataque malicioso conhecido como TCP/IP "Sobrecarga de SYN" ou "SYN Attacks".

Usu�rios mal-intencionados podem direcionar uma m�quina inteira ou um servi�o TCP espec�fico, como servi�os da web. O ataque se concentra no protocolo TCP usado por todos os computadores na Internet e n�o � espec�fico para o sistema operacional Windows NT.

Voltar para o in�cio

Como funciona a sobrecarga de SYN

Sobrecarga de SYN funciona da seguinte maneira:

Uma solicita��o de conex�o TCP (SYN) � enviada para o computador de destino. Endere�o IP de origem no pacote � "falsa" ou substitu�do por um endere�o que n�o est� em uso na Internet ou que pertence a outro computador. Um invasor ser� enviar muitas desses SYNs TCP para obstruir quantos recursos poss�vel no computador de destino.
Ao receber a solicita��o de conex�o, o computador de destino aloca recursos para manipular e controlar a nova conex�o e responde com um "SYN-ACK". Nesse caso, a resposta � enviada para o endere�o IP n�o existente "falso".
Nenhuma resposta � recebida para o SYN-ACK. Padr�o-configurado � Windows NT 3.5x ou 4.0 computador retransmitir� o SYN-ACK 5 vezes, dobrando o valor do tempo limite ap�s cada retransmiss�o. O valor de tempo limite inicial � tr�s segundos, para que as repeti��es s�o tentadas 3, 6, 12, 24 e 48 segundos. Ap�s a �ltima retransmiss�o, 96 segundos t�m permiss�o para passar antes do computador desistir� em receber uma resposta e desaloca os recursos que foram definidos reservado anterior para a conex�o. O tempo total decorrido que recursos est�o em uso � 189 segundos.

Voltar para o in�cio

Como verificar que seu computador est� em um ataque de SYN

Se voc� suspeitar que o computador � o destino de um ataque de SYN, voc� pode digitar o seguinte comando em um prompt de comando para exibir conex�es no estado "SYN_RECEIVED":

netstat - n-p tcp

Este comando pode causar o seguinte texto que aparece na tela:

Conex�es ativas

      Proto  Local Address         Foreign Address       State
      TCP    127.0.0.1:1030        127.0.0.1:1032        ESTABLISHED
      TCP    127.0.0.1:1032        127.0.0.1:1030        ESTABLISHED
      TCP    10.57.8.190:21        10.57.14.154:1256     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1257     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1258     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1259     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1260     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1261     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1262     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1263     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1264     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1265     SYN_RECEIVED
      TCP    10.57.8.190:21        10.57.14.154:1266     SYN_RECEIVED
      TCP    10.57.8.190:4801      10.57.14.221:139      TIME_WAIT

Se um grande n�mero de conex�es est� no estado SYN_RECEIVED, � poss�vel que o sistema est� sob ataque. Um analisador de rede pode ser usado para rastrear o problema ainda mais, e pode ser necess�rio contatar seu provedor para obter assist�ncia na tentativa de rastrear a origem.

O efeito de amarrando recursos de conex�o varia, de acordo com a pilha TCP/IP e escutando na porta TCP de aplicativos. Para a maioria das pilhas, h� um limite no n�mero de conex�es que podem estar no estado semi abertas (SYN_RECEIVED). Quando o limite � alcan�ado para uma determinada porta TCP, o computador de destino responde com uma redefini��o a todas as outras solicita��es de conex�o at� que recursos sejam liberados.

Voltar para o in�cio

Resolu��o

Obter a seguinte atualiza��o para Windows NT 3.51 ou o Service Pack mais recente para Windows NT 4.0

A Microsoft est� comprometida em fornecer a melhor prote��o poss�vel contra esses ataques de dentro do sistema operacional Windows NT e disponibilizou um n�mero de altera��es para o TCP/IP componentes dispon�veis para clientes em resposta a essa amea�a.

Essa chave global tem sido projetado para proteger contra ataques e define as outras chaves mencionadas posteriormente no artigo eficaz de valores conhecidos. Essa chave evita ter a estimativa do administrador sobre quais valores seriam oferecem a prote��o mais. � altamente recomend�vel que as seguintes chaves globais ser usado:

SynAttackProtect
Chave: Tcpip\Parameters
Valor de tipo: REG_DWORD
Intervalo v�lido: 0, 1, 2
0 (nenhuma prote��o de synattack)
1 (reduzido tentativas de retransmiss�o e atrasada cria��o RCE (entrada de cache de rota) se as configura��es de TcpMaxHalfOpen e TcpMaxHalfOpenRetried s�o satisfeitas.)
2 (com 1 que � feita uma indica��o atrasada para Winsock.)

Observa��o : quando o sistema localiza pr�prio sob ataque as seguintes op��es em qualquer soquete n�o pode ser habilitado: sScalable janelas (RFC 1323) e por adaptador configurado par�metros TCP (RTT inicial, tamanho da janela). Isso ocorre porque quando a prote��o est� funcionando a entrada de cache de rota n�o � consultada antes do SYN-ACK � enviado e as op��es de Winsock n�o est�o dispon�veis nesse est�gio da conex�o.

Padr�o: 0 (FALSO)
Recomenda��o: 2
Descri��o: Synattack prote��o envolve a reduzir a quantidade de retransmiss�es para SYN-ACKS que reduzir� o tempo para os quais recursos t�m permane�a alocado. A aloca��o de recursos de entrada de cache de rota est� atrasada at� que uma conex�o � feita. Se synattackprotect = 2, ent�o a conex�o na indica��o para AFD est� atrasada at� que o handshake de tr�s vias seja conclu�do. Observe tamb�m que as a��es executadas pelo mecanismo de prote��o s� ocorrem se as configura��es de TcpMaxHalfOpen e TcpMaxHalfOpenRetried s�o excedidas.

Observa��o : as seguintes chaves devem ser alterados somente se a chave global acima provou para ser ineficaz ou limites de recurso espec�fico s�o sendo atingidos.

As altera��es est�o listadas aqui:

*******************************************************************
*  1. Tcpip.sys times out half-open connections faster            *
*******************************************************************

uma nova vers�o do Tcpip.sys foi produzida que permite o controle do n�mero de vezes que uma resposta a uma conex�o TCP (SYN-ACK) solicita��o ser� retransmitido. Controle � tratado por meio de um novo par�metro de registro:

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \Tcpip
      \Parameters
       \TcpMaxConnectResponseRetransmissions
           Value Type: REG_DWORD
           Valid Range: 0-0xFFFFFFFF
           Default: 2

o valor padr�o para este par�metro agora � 3. A tabela a seguir mostra o comportamento de TCP/IP do Windows NT 4.0 para diversos valores desse par�metro:

Value  Retransmission Times  Elapsed Time  Comments
3      3, 6, and 12 seconds  45 seconds    Cleanup 24 secs after last retx
2      3, and 6 seconds      21 seconds    Cleanup 12 secs after last retx
1      3 seconds             9  seconds    Cleanup 6  secs after last retx

este par�metro altera��es o tempo padr�o que ele leva para limpar uma conex�o de TCP abertas pela metade de 189 segundos a 45 segundos e fornece controle mais granular para o administrador. Um site que est� sob ataque pesado pode definir o valor mais baixo como "1". O valor "0" tamb�m � v�lido; Entretanto se este par�metro for definido como 0, SYN-ACKs n�o ser�o retransmitidos em todos os e ir�o expirar em 3 segundos. Com o valor neste baixo, tentativas de conex�o leg�timas de clientes distantes podem falhar.

*******************************************************************
*  2. NetBT has a Higher, Configurable Backlog                    *
*******************************************************************

NetBT (NetBIOS sobre TCP/IP) usa a porta TCP 139 e � usado pelos servi�os de rede Microsoft, como compartilhamento de arquivos e impressoras. Vers�o 3.51 e 4.0 NetBT tem um registro "posterior" da conex�o de blocos dispon�veis que � dois mais um n�mero incremental dependendo as clientes de NetBT (como o redirecionador, servidor e todos os aplicativos NetBIOS em execu��o). Em um servidor t�pico, esse n�mero ser� 7-11. Uma nova vers�o do NetBT foi produzida que aloca automaticamente mais blocos de conex�o conforme necess�rio, de maneira configur�vel.

Em um evento de conex�o, ele agora verifica ver se o n�mero de blocos livres est� abaixo 2 e, em caso afirmativo, adiciona um n�mero "incrementar" de blocos onde "incrementar" � configur�vel no Registro como mostrado aqui:

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \NetBt
      \Parameters
       \BacklogIncrement
           Value Type: REG_DWORD
           Valid Range: 1-0x14  (1-20 decimal)
           Default: 3

cada bloco conex�o consome 78 bytes de mem�ria. O n�mero total de blocos de conex�o que pode ser alocada por NetBT tamb�m � configur�vel do Registro:

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \NetBt
      \Parameters
       \MaxConnBackLog
           Value Type: REG_DWORD
           Valid Range: 1-0x9c40 (1-40,000 decimal)
           Default: 1000

MaxConnBackLog padr�o � 1000, mas pode ser definido como alto como 40.000. Blocos de conex�o s�o "eliminados" ou reciclados, quando o SYN-ACK retransmiss�o timer expirar e TCP falha a tentativa de conex�o.

*******************************************************************
*  3. Afd.sys has been modified to withstand large numbers of     *
*     "half-open" connections efficiently                         *
*******************************************************************

aplicativos Windows Sockets, como servidores ftp e servidores web tem suas tentativas de conex�o tratadas pelo Afd.sys. Afd.sys foi modificado para dar suporte a grande n�mero de conex�es no estado "abertas pela metade" sem negar acesso a clientes leg�timos. Isso � feito permitindo que o administrador para configurar um registro posterior din�mico.

A nova vers�o do AFD.sys oferece suporte a quatro novos par�metros de registro que podem ser usados para controlar o comportamento de registro posterior din�mico.

EnableDynamicBacklog � uma op��o global para ativar ou desativar registro posterior din�mico. O padr�o � 0 (desativado), e essa configura��o n�o fornece nenhuma altera��o das vers�es existentes. Defini-la como 1 ativa o novo recurso de registro posterior din�mico.

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \AFD
      \Parameters
       \EnableDynamicBacklog
           Value Type: REG_DWORD
           Valid Range: 0,1
           Default: 0
           Suggested value for a system under heavy attack: 1

EnableDynamicBacklog controla o n�mero m�nimo de conex�es livres permitidas em um ponto de extremidade escutando. Se o n�mero de conex�es livres cair abaixo desse valor, um segmento � enfileirado para criar conex�es livres adicionais. Esse valor n�o deve ser feito muito grande, como o c�digo de registro posterior din�mico emprega sempre que o n�mero de conex�es livres ficar abaixo desse valor. Muito grande um valor pode levar a uma redu��o do desempenho.

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \AFD
      \Parameters
       \MinimumDynamicBacklog
           Value Type: REG_DWORD
           Valid Range: 0-0xFFFFFFFF
           Default: 0
           Suggested value for a system under heavy attack: 20

MaximumDynamicBacklog controla o n�mero m�ximo de conex�es "semilivres" permitidas em um ponto de extremidade escutando. Conex�es "Semilivres" incluir o n�mero de conex�es livres mais as conex�es em um estado semi-conectado (SYN_RECEIVED). Nenhuma tentativa � feita para criar conex�es livres adicionais se fazer ent�o excederia esse valor.

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \AFD
      \Parameters
       \MaximumDynamicBacklog
           Value Type: REG_DWORD
           Valid Range: 0-0xFFFFFFFF
           Default: 0
           Suggested value for a system under heavy attack: Memory
           dependent. We recommend that this value does not exceed 20000 (decimal). This prevents exhaustion of the non-paged pool when under attack.

DynamicBacklogGrowthDelta controla o n�mero de conex�es livres a serem criadas quando conex�es adicionais s�o necess�rias. Cuidado com esse valor, como um valor grande pode levar a conex�o livre explosivo aloca��es.

  HKEY_LOCAL_MACHINE
  \SYSTEM
   \CurrentControlSet
    \Services
     \AFD
      \Parameters
       \DynamicBacklogGrowthDelta
           Value Type: REG_DWORD
           Valid Range: 0-0xFFFFFFFF
           Default: 0
           Suggested value for a system under heavy attack: 10 (0xa)

MaximumDynamicBacklog,

Voltar para o in�cio

Para aproveitar as altera��es para Afd.sys, aplicativos Windows Sockets especificamente devem solicitar um registro posterior maior do que o valor configurado para EnableDynamicBacklog quando eles emitem seu chamada listen(). Os aplicativos Microsoft como o Internet Information Server (que tem um registro posterior padr�o de 25) s�o configur�veis. Detalhes espec�ficos do aplicativo est�o dispon�veis da Microsoft Knowledge Base em:

http://support.microsoft.com (http://support.microsoft.com/)

Os drivers modificados para Windows NT 3.51 e instru��es para instal�-los est�o dispon�veis de canais de suporte da Microsoft ou do seguinte local Internet:

FTP://FTP.Microsoft.com/bussys/winnt /winnt-public/fixes/usa/nt351/hotfixes-postsp5/syn-attack

Voltar para o in�cio

Situa��o

Windows NT 4.0

Esse problema foi corrigido no mais recentes Microsoft Windows NT EUA Service Pack para Windows NT 4.0. Para obter informa��es sobre como obter o Service Pack, consulte a palavra seguinte na Base de dados de Conhecimento da Microsoft:

SERVPACK

Voltar para o in�cio

Windows NT 3.51

A Microsoft confirmou que esse problema pode resultar em algum grau de vulnerabilidade de seguran�a no Windows NT vers�o 3.51. Uma corre��o com suporte total agora est� dispon�vel ainda, ele n�o tenha sido totalmente regress�o testado e somente deve ser aplicada aos sistemas determinados como correm o risco de ataque. Por favor Avalie acessibilidade f�sica do sistema, rede e conectividade com a Internet e outros fatores para determinar o grau de risco para seu sistema. Se o seu sistema suficientemente est� em risco, a Microsoft recomenda que aplicar essa corre��o. Caso contr�rio, espere o pr�ximo Windows NT service pack, que ter� essa corre��o. Contate o suporte t�cnico Microsoft para obter mais informa��es.

Voltar para o in�cio

Mais Informa��es

Adicionar essas altera��es no Registro pode ter um efeito adverso em um cluster do Microsoft Exchange.

Cluster do Microsoft Exchange (Exres.dll) inicia com freq��ncia conex�es para as portas de SMTP, IMAP, POP3 e o HTTP para testar a disponibilidade. Os testes s�o semelhantes a uma sess�o telnet para porta 25, 143, 110 ou 80.

Se os testes forem bem-sucedidos, o cluster saber� que os servi�os est�o dispon�veis para usu�rios e os marca como "Alive". Se os testes n�o s�o bem-sucedidos, o administrador de cluster marca o recurso como off-line no administrador de cluster e registra um evento no log do aplicativo. O evento �:

Tipo de evento: erro
Origem do evento: MSExchangeCluster
Categoria do evento: servi�os
IDENTIFICA��O de evento: 2074
Data: date
Tempo: time
Usu�rio: N/d
Computador: computer name
Descri��o: SMTP inst�ncia do servidor virtual-(125-VS2-NAME): servi�o de cluster falhou isalive verificando o recurso.

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows NT Server 3.51
Microsoft Windows NT Server 4.0 Standard Edition
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Standard Edition (32-bit x86)

Voltar para o in�cio

kbmt kbnetwork KB142641 KbMtpt

Voltar para o in�cio

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine Translation ou MT), n�o tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em portugu�s a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradu��o autom�tica n�o � sempre perfeita, podendo conter erros de vocabul�rio, sintaxe ou gram�tica. A Microsoft n�o � respons�vel por incoer�ncias, erros ou preju�zos ocorridos em decorr�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualiza��es freq�entes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 142641� (http://support.microsoft.com/kb/142641/en-us/ )

Voltar para o in�cio