Makale numaras�: 890710 - Son G�zden Ge�irme: 03 Aral�k 2007 Pazartesi - G�zden ge�irme: 8.3

Bir WINS g�venlik sorunundan korunma

Bu makalenin ge�erli oldu�u �r�nleri g�r�n.

Sistem �pucuBu makale, kulland��n�zdan farkl� bir i�letim sistemine y�neliktir. Sizinle ilgili olmayabilecek makale i�eri�i devre d�� b�rak�ld�.

Hepsini a� | Hepsini kapa

G�R��

Microsoft Windows Internet Adland�rma Hizmeti'nde (WINS) bulundu�u bildirilen bir g�venlik sorununu ara�t�r�yoruz. Bu g�venlik sorunu Microsoft Windows NT Server 4.0, Microsoft Windows NT Server 4.0 Terminal Server Edition, Microsoft Windows 2000 Server ve Microsoft Windows Server 2003'� etkiler. G�venlik sorunu Microsoft Windows 2000 Professional, Microsoft Windows XP ve Microsoft Windows Millennium Edition'� etkilemez.

Daha fazla bilgi

Varsay�lan olarak, Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server veya Windows Server 2003'e WINS y�klenmez. Varsay�lan olarak, Microsoft Small Business Server 2000 ve Microsoft Windows Small Business Server 2003'te WINS y�kl�d�r ve �al��r durumdad�r. Varsay�lan olarak, Microsoft Small Business Server'�n t�m s�r�mlerinde, WINS bile�eninin ileti�im ba�lant� noktalar�n�n Internet eri�imi engellenir ve WINS yaln�zca yerel a�da kullan�labilir.

Bu g�venlik sorunu, a�a��daki ko�ullar�n do�ru olmas� durumunda WINS sunucusu g�venli�inin bir sald�rgan taraf�ndan uzaktan a��lmas�na olanak verebilir:

Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server veya Windows Server 2003'te WINS sunucu rol�n� y�klemek �zere varsay�lan yap�land�rmay� de�i�tirdiniz.
Microsoft Small Business Server 2000 veya Microsoft Windows Small Business Server 2003 �al��t�r�yorsunuz ve bir sald�rgan yerel a��n�za eri�ebiliyor.

Bilgisayar�n�z�n bu olas� g�venlik a��na kar�� korunmas�na yard�mc� olmak i�in a�a��daki ad�mlar� izleyin:

G�venlik duvar�nda 42 numaral� TCP ve 42 numaral� UDP ba�lant� noktalar�n� engelleyin.

Bu ba�lant� noktalar� uzak WINS sunucusuyla ba�lant� ba�latmak i�in kullan�l�r. G�venlik duvar�nda bu ba�lant� noktalar�n� engellerseniz, g�venlik duvar�n�n arkas�ndaki bilgisayarlar�n bu a�� kullanmalar�n� engellemeye yard�mc� olursunuz. 42 numaral� TCP ba�lant� noktas� ve 42 numaral� UDP ba�lant� noktas�, varsay�lan WINS �o�altma ba�lant� noktalar�d�r. Internet'ten gelen t�m istenmeyen ileti�imin engellenmesi �nerilir.
Internet Protokol� g�venli�i (IPsec) kullanarak, WINS sunucusu �o�altma ortaklar� aras�ndaki trafi�in korunmas�na yard�mc� olun. Bunu yapmak i�in a�a��daki se�eneklerden birini kullan�n.

Dikkat Her WINS altyap�s� benzersiz oldu�u i�in, bu de�i�iklikler altyap�n�zda beklenmeyen etkilere neden olabilir. Bu hafifletme y�ntemini kullanmay� se�meden �nce, bir risk analizi yapman�z �nerilir. Bu hafifletmeyi �retime sokmadan �nce de tam bir s�nama ger�ekle�tirmeniz �nerilir.
- Se�enek 1: IPSec filtrelerini el ile yap�land�rma
  IPSec filtrelerini el ile yap�land�r�n ve a�a��daki Microsoft Bilgi Bankas� makalesinde yer alan y�nergeleri izleyerek herhangi bir IP adresinden sisteminizin IP adresine g�nderilmi� olan t�m paketleri engelleyen bir engelleme filtresi ekleyin:
  813878� (http://support.microsoft.com/kb/813878/ ) IPsec kullan�larak belirli a� protokolleri ve ba�lant� noktalar� nas�l engellenir (Bu ba�lant�, bir k�sm� veya tamam� �ngilizce olan i�eri�e i�aret edebilir)
  IPSec'i Windows 2000 Active Directory etki alan� ortam�n�zda kullan�r ve IPSec ilkenizi Grup �lkesi kullanarak da��t�rsan�z, etki alan� ilkesi yerel olarak tan�mlanm�� t�m ilkeleri ge�ersiz k�lar. Bu da, bu se�ene�in istedi�iniz paketleri engellemesini �nler.
  
  Sunucular�n�z�n bir Windows 2000 etki alan�ndan veya sonraki bir s�r�m�nden IPSec ilkesi al�p almad�klar�n� belirlemek i�in, 813878 numaral� Bilgi Bankas� makalesinin �Bir IPSec ilkesinin atanm�� olup olmad��n� belirleme� b�l�m�ne bak�n.
  
  Etkili bir yerel IPSec ilkesi olu�turabilece�inizi belirledi�inizde, IPSeccmd.exe arac�n� veya IPSecpol.exe arac�n� kar��dan y�kleyin.
  
  A�a��daki komutlar 42 numaral� TCP ve 42 numaral� UDP ba�lant� noktalar�na gelen ve giden trafi�i engeller.
  
  Not Bu komutlarda kullan�lan %IPSEC_Komutu% Ipsecpol.exe (Windows 2000'de) veya Ipseccmd.exe (Windows Server 2003'te) dosyas�na kar��l�k gelir.
  %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� TCP Ba�lant� Noktas�na Gelen T�m Trafi�i Engelle Kural�" -f *=0:42:TCP -n BLOCK %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� UDP Ba�lant� Noktas�na Gelen T�m Trafi�i Engelle Kural�" -f *=0:42:UDP -n BLOCK %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� TCP Ba�lant� Noktas�ndan Giden T�m Trafi�i Engelle Kural�" -f 0=*:42:TCP -n BLOCK %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� UDP Ba�lant� Noktas�ndan Giden T�m Trafi�i Engelle Kural�" -f 0=*:42:UDP -n BLOCK
  A�a��daki komut, �ak��an bir ilke yoksa IPSec ilkesini hemen etkinle�tirir. Bu komut, 42 numaral� TCP ba�lant� noktas� ve 42 numaral� UDP ba�lant� noktas� i�in t�m gelen/giden paketleri engellemeye ba�lar. B�ylece, bu komutlar�n �al��t�r�ld�� sunucu ile herhangi bir WINS �o�altma orta�� aras�nda olu�an WINS �o�altmalar� etkin bi�imde engellenir.
  %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" �x
  Bu IPSec ilkesini etkinle�tirdikten sonra a�da sorunlar ya�arsan�z, a�a��daki komutlar� kullanarak atanm�� ilkeyi kald�r�p ilkeyi silebilirsiniz:
  %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -y %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -o
  Belirli WINS �o�altma ortaklar� aras�nda WINS �o�altmas�na izin vermek i�in, bu engelleme kurallar�n�n yerine izin verme kurallar� kullanmal�s�n�z. �zin verme kurallar�, yaln�zca g�venilen WINS �o�altma ortaklar�n�z�n IP adreslerini belirtmelidir.
  
  A�a��daki komutlar� kullanarak, WINS �o�altmas�n� Engelle IPSec ilkesini, belirli IP adreslerinin WINS �o�altmas�n� Engelle ilkesini kullanan sunucuyla ileti�im kurmas�na izin verecek bi�imde g�ncelle�tirebilirsiniz.
  
  Not Bu komutlarda %IPSEC_Komutu% Ipsecpol.exe (Windows 2000'de) veya Ipseccmd.exe (Windows Server 2003'te) arac� yerine ve %IP% de �o�altma ger�ekle�tirmek istedi�iniz uzak WINS sunucusunun IP adresi yerine kullan�l�r.
  %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� Ba�lant� Noktas�na %IP% Adresinden Gelen TCP Trafi�ine �zin Ver Kural�" -f %IP%=0:42:TCP -n PASS %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� Ba�lant� Noktas�na %IP% Adresinden Gelen UDP Trafi�ine �zin Ver Kural�" -f %IP%=0:42:UDP -n PASS %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� Ba�lant� Noktas�ndan %IP% Adresine Giden TCP Trafi�ine �zin Ver Kural�" -f 0=%IP%:42:TCP -n PASS %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -r "42 Numaral� Ba�lant� Noktas�ndan %IP% Adresine Giden UDP Trafi�ine �zin Ver Kural�" -f 0=%IP%:42:UDP -n PASS
  �lkeyi hemen atamak i�in, a�a��daki komutu kullan�n:
  %IPSEC_Komutu% -w REG -p "WINS �o�altmas�n� Engelle" -x
- Se�enek 2: Bir komut dosyas� �al��t�r�p IPSec filtrelerini otomatik olarak yap�land�rma
  Ba�lant� noktalar�n� engellemek �zere bir IPSec ilkesi olu�turan WINS �o�altma Engelleyicisi komut dosyas�n� kar��dan y�kleyin ve �al��t�r�n. Bunu yapmak i�in �u ad�mlar� izleyin:
  1. .exe dosyalar�n� kar��dan y�klemek ve ay�klamak i�in a�a��daki ad�mlar� izleyin:
    1. WINS �o�altma Engelleyicisi komut dosyas�n� kar��dan y�kleyin.
      
      A�a��daki dosya Microsoft Y�kleme Merkezi'nden y�klenebilir:
      
      Bu resmi kapatBu resmi a�
      WINS �o�altma Engelleyicisi komut dosyas� paketini �imdi kar��dan y�kle. (http://www.microsoft.com/downloads/details.aspx?FamilyId=20F8DF98-7EEE-4293-B80A-C34BB1208828&amp;amp;displaylang=en)
      
      Yay�n Tarihi: 2 Aral�k 2004
      
      Microsoft Destek dosyalar�n� kar��dan y�kleme hakk�nda ek bilgi i�in, Microsoft Bilgi Bankas�'ndaki makaleyi g�r�nt�lemek �zere a�a��daki makale numaras�n� t�klat�n:
      119591� (http://support.microsoft.com/kb/119591/ ) Microsoft Destek Dosyalar� �evrimi�i Hizmetler'den Nas�l Al�n�r (Bu makale, hen�z �evrilmemi� �ngilizce i�eri�e ba�lant�lar i�erebilir).
      Microsoft bu dosyada vir�s taramas� yapm��t�r. Microsoft, dosyan�n kullan�ma sunuldu�u tarihteki en g�ncel vir�s tarama yaz�l�m�n� kullanm��t�r. Dosya, �zerinde herhangi bir yetkisiz de�i�iklik yap�lmas�n� engellemeye yard�m eden geli�tirilmi� g�venli�e sahip sunucularda depolan�r.
      WINS �o�altma Engelleyicisi komut dosyas�n� bir diskete kar��dan y�kl�yorsan�z, bi�imlendirilmi� bo� bir disket kullan�n. WINS �o�altma Engelleyicisi komut dosyas�n� sabit diskinize y�kl�yorsan�z, dosyay� kaydetmek ve ay�klamak i�in ge�ici bir klas�r olu�turun.
      
      Dikkat Dosyalar� do�rudan Windows klas�r�n�ze y�klemeyin. Bu eylem, bilgisayar�n�z�n d�zg�n �al��abilmesi i�in gerekli olan dosyalar�n �zerine yazabilir.
    2. Dosyay� y�kledi�iniz klas�rde bulun ve kendi ba��na ay�klanan .exe dosyas�n� �ift t�klat�p i�eri�ini ge�ici bir klas�re ay�klay�n. �rne�in, i�eri�i C:\Temp klas�r�ne ay�klay�n.
  2. Bir komut istemi a��n ve dosyalar�n ay�kland�� dizine gidin.
  3. Uyar�
    - WINS sunucular�n�za vir�s bula�m�� olabilece�inden ��pheleniyorsan�z, ama hangi WINS sunucular�nda vir�s oldu�undan veya ge�erli WINS sunucunuzda vir�s bulunup bulunmad��ndan emin de�ilseniz, 3. ad�mda IP adreslerini girmeyin. Ancak, Kas�m 2004 itibariyle, bu sorundan etkilenmi� bir m��teri bulunmamaktad�r. Bu nedenle, sunucular�n�z beklendi�i gibi �al��yorsa, anlat�ld�� bi�imde devam edin.
    - IPsec'i yanl�� kurarsan�z, �irket a��n�zda �nemli WINS �o�altma sorunlar�na neden olabilirsiniz. IPSec g�venlik hususlar� hakk�nda ek bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:
      http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/sag_ipsecsec_con.mspx (http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/sag_ipsecsec_con.mspx)
    Block_Wins_Replication.cmd dosyas�n� �al��t�r�n. 42 numaral� TCP ba�lant� noktas� ve 42 numaral� UDP ba�lant� noktas�ndaki gelen ve giden trafi�i engelleme kurallar� olu�turmak i�in, istedi�iniz se�ene�i belirlemeniz istendi�inde 1. se�ene�i se�mek �zere 1 yaz�p ENTER tu�una bas�n.
    1. se�enek belirlendikten sonra, komut dosyas� g�venilen WINS �o�altma sunucular�n�n IP adreslerini girmenizi ister.
    
    Girdi�iniz her IP adresi, 42 numaral� TCP ba�lant� noktas� ve 42 numaral� UDP ba�lant� noktas�n� engelleme ilkesinin d��nda b�rak�l�r. IP adresleri bir d�ng� halinde sorulur ve diledi�iniz say�da IP adresi girebilirsiniz. WINS �o�altma ortaklar�n�n t�m IP adreslerini bilmiyorsan�z, komut dosyas�n� daha sonra yeniden �al��t�rabilirsiniz. G�venilen WINS �o�altma ortaklar�n�n IP adreslerini girmeye ba�lamak i�in, istedi�iniz se�ene�i belirlemeniz istendi�inde 2. se�ene�i se�mek �zere 2 yaz�n ve ENTER tu�una bas�n.
    
    G�venlik g�ncelle�tirmesini da��tt�ktan sonra, IPSec ilkesini kald�rabilirsiniz. Bunu yapmak i�in komut dosyas�n� �al��t�r�n. �stedi�iniz se�ene�i belirlemeniz istendi�inde 3. se�ene�i se�mek �zere 3 yaz�n ve ENTER tu�una bas�n.
    
    IPSec ve filtreleri uygulama hakk�nda ek bilgi i�in, Microsoft Bilgi Bankas�'ndaki makaleyi g�r�nt�lemek �zere a�a��daki makale numaras�n� t�klat�n:
    313190� (http://support.microsoft.com/kb/313190/ ) Windows 2000'de IPsec IP filtre listeleri nas�l kullan�l�r (Bu ba�lant�, bir k�sm� veya tamam� �ngilizce olan i�eri�e i�aret edebilir)
Gerekmiyorsa WINS hizmetini kald�r�n.

WINS hizmeti art�k gerekmiyorsa, a�a��daki ad�mlar� izleyerek kald�r�n. Bu ad�mlar Windows 2000, Windows Server 2003 ve bu i�letim sistemlerinin sonraki s�r�mleri i�in ge�erlidir. Windows NT Server 4.0 i�in, �r�n belgelerinde bulunan yordam� izleyin.

�nemli �o�u kurulu� a��nda, tek etiket ya da d�z ad kayd� ve ��z�mleme i�levlerinin ger�ekle�tirilebilmesi i�in WINS gerekmektedir. Y�neticiler, a�a��daki ko�ullar do�ru olmad�� s�rece WINS hizmetini kald�rmamal�d�r:
- Y�netici WINS hizmetini a�dan kald�rman�n etkilerini �ok iyi bilmelidir.
- Y�netici, ayn� i�levleri tam nitelenmi� etki alan� adlar� ve DNS etki alan� sonekleri kullanarak sa�layacak bi�imde DNS'yi yap�land�rm�� olmal�d�r.
Ayr�ca, bir y�netici a�da payla��lan kaynaklar� sa�lamaya devam edecek bir sunucudan WINS i�levlerini kald�r�yorsa, sistemi yerel a�daki DNS gibi ad di�er ��z�mleme hizmetlerini kullanacak bi�imde yeniden yap�land�rmal�d�r.

WINS hakk�nda daha fazla bilgi i�in, a�a��daki Microsoft Web sitesini ziyaret edin:
http://technet2.microsoft.com/WindowsServer/en/library/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e1033.mspx?mfr=true (http://technet2.microsoft.com/WindowsServer/en/library/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e1033.mspx?mfr=true)
NETBIOS veya WINS ad ��z�mlemesine ve gereksinim duyup duymad��n�z� belirleme DNS yap�land�rmas� hakk�nda daha fazla bilgi i�in, a�a��daki Microsoft Web sitesini ziyaret edin:
http://technet2.microsoft.com/windowsserver/en/library/55F0DFC8-AFC9-4096-82F4-B8345EAA1DBD1033.mspx (http://technet2.microsoft.com/windowsserver/en/library/55F0DFC8-AFC9-4096-82F4-B8345EAA1DBD1033.mspx)
WINS hizmetini kald�rmak i�in �u ad�mlar� izleyin:
1. Denetim Masas�'nda Program Ekle veya Kald�r'� a��n.
2. Windows Bile�enlerini Ekle/Kald�r'� t�klat�n.
3. Windows Bile�en Sihirbaz� sayfas�nda, Bile�enler'in alt�nda A� Hizmetleri'ni t�klat�n, sonra da Ayr�nt�lar'� t�klat�n.
4. Windows Internet Adland�rma Hizmeti (WINS) onay kutusunu t�klat�p temizleyerek WINS'yi kald�r�n.
5. Ekrandaki y�nergeleri izleyerek Windows Bile�en Sihirbaz�'n� tamamlay�n.

D�zenli g�ncelle�tirme i�lemlerinin bir par�as� olarak, bu g�venlik sorununu gideren bir g�ncelle�tirme �zerinde �al��lmaktad�r. G�ncelle�tirme uygun bir kalite d�zeyine eri�ti�inde, Windows Update arac�l��yla yay�mlanacakt�r.

Sorundan etkilendi�inize inan�yorsan�z �r�n Destek Hizmetleri'ne ba�vurabilirsiniz. G�venlik g�ncelle�tirmesi sorunlar� ve vir�slerle ilgili yard�m almak i�in, Kuzey Amerika'da �r�n Destek Hizmetleri'ne ba�vurmak �zere a�a��daki PC Safety telefon numaras�n� kullanabilirsiniz:

1-866-PCSAFETY

Not Bu g�r��me i�in �cret al�nmaz.

Uluslararas� m��teriler, �r�n Destek Hizmetleri'ne a�a��daki Microsoft Web sitesinde listelenen y�ntemlerden birini kullanarak ba�vurmal�d�r:

http://support.microsoft.com/?LN=tr (http://support.microsoft.com/?ln=tr)