Beschreibung des neuen Features zum Schutz vor Arbeitsspeicherdruck für TCP-Stack

Gilt für
Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Vista Business Windows Vista Enterprise Windows Vista Home Basic Windows Vista Home Premium Windows Vista Starter Windows Vista Ultimate

EINFÜHRUNG

In diesem Artikel wird ein neues Feature zum Schutz vor Arbeitsspeicherdruck für TCP-Stapel beschrieben. Dieses neue Feature wird durch das Sicherheitsupdate 967723 bereitgestellt.

Weitere Informationen

Das Feature zum Schutz vor Arbeitsspeicherdruck besteht aus drei Sicherheitseinstellungen. Zu diesen Einstellungen gehören der Speicherdruckschutz (Memory Pressure Protection, MPP), Profile und Portausnahmen.

Die MPP-Einstellung

Die MPP-Einstellung definiert das Feature und umfasst die folgenden beiden Aktivitäten, wenn ein Angriff erkannt wird:

  • Beenden Sie die vorhandenen TCP-Verbindungen.
  • Verwerfen eingehender SYN-Anforderungen.

Ein Administrator kann die MPP-Einstellung mithilfe von netsh-Befehlen aktivieren oder deaktivieren. Wenn der Administrator die MPP-Einstellung aktiviert oder deaktiviert, wird dieses Feature aktiviert oder deaktiviert.

Die Einstellung "Profile"

Mithilfe der Profilfunktion kann der Administrator zwischen öffentlichen und nicht öffentlichen Schnittstellen unterscheiden. Wenn eine Schnittstelle auf den Domänencontroller zugreifen kann, weist dies darauf hin, dass die Schnittstelle in die Domäne eingebunden ist oder dass der Administrator eine Schnittstelle als privat konfigurieren kann. Das Profilfeature ist nur in Windows Vista und Windows Server 2008 verfügbar.

Die Profileinstellung bestimmt die Fähigkeit des Computers, TCP-Verbindungen zu beenden und eingehende SYN-Anforderungen über die mit der Domäne verbundene Schnittstelle und die private Schnittstelle zu verwerfen, wenn der Computer mit wenig Arbeitsspeicher angegriffen wird. Unter Windows Server 2003 muss ein Administrator Registrierungseinträge verwenden, um das MPP-Feature auf einer bestimmten Schnittstelle zu deaktivieren. Weitere Informationen finden Sie im Abschnitt "Konfigurieren dieser Einstellungen in Windows Server 2003". Standardmäßig ist die Einstellung "Profile" aktiviert. Wenn diese Einstellung aktiviert ist, hat der Administrator entschieden, TCP-Verbindungen zu beenden oder SYNs auf der mit der Domäne verbundenen Schnittstelle und der privaten Schnittstelle unter keinen Umständen zu löschen. Wenn der Administrator TCP-Verbindungen beenden und bei einem Angriff SYNs auf der mit der Domäne verbundenen Schnittstelle und der privaten Schnittstelle löschen möchte, muss die Profileinstellung deaktiviert werden.

Hinweis Wenn die MPP-Einstellung aktiviert ist und ein Angriff erkannt wird, kann der Administrator nicht aufhören, Verbindungen an öffentlichen Schnittstellen zu beenden, selbst wenn die Profileinstellung aktiviert ist. Die Profileinstellungsfunktion ist auf mit Domänen verbundene und private Schnittstellen ausgerichtet. In diesen Fällen kann ein Administrator jedoch die Portausnahmeeinstellung verwenden, um bestimmte Ports an öffentlichen Schnittstellen von MPP-Aktionen auszuschließen.

Die Einstellung für die Portausnahme

Die Einstellung für die Port-Ausnahme ermöglicht es dem Administrator, portspezifische Ausnahmen vorzunehmen. Wenn die MPP-Einstellung aktiviert ist, ist das Feature zum Schutz der Speicherauslastung standardmäßig für Verbindungen an allen Ports aktiviert. Wenn ein Angriff erkannt wird, werden je nach MPP- und Profiles-Einstellungen möglicherweise die bestehenden Verbindungen beendet oder eingehende SYNs verworfen. Ein Administrator kann jedoch Ausnahmen für Verbindungen an bestimmten Ports festlegen, indem er sie in der Portausnahmeliste angibt.

Notizen

  • Die Port-Ausnahmeliste ist eine einzelne globale Liste und gilt für alle Schnittstellen und IP-Adressen.
  • Die Einstellung für die Port-Ausnahme tritt in Kraft, bevor eine TCP-Verbindung über den Port hergestellt wird. Es wird empfohlen, alle Einstellungen für MPP zu konfigurieren, bevor Sie die Serveranwendungen starten.

Standardwerte für diese Einstellungen auf den Servern und auf den Clients

Einstellung Standardwerte auf Servern Standardwerte auf Clients
MPP (MPP) Aktiviert Disabled
Profil Aktiviert Aktiviert
Port-Ausnahme Keine Ausnahmen Keine Ausnahmen

Hinweis: Wenn diese Einstellungen geändert werden und ein Administrator die Standardeinstellungen rückgängig machen möchte, kann der Administrator den folgenden Netsh-Befehl verwenden:

netsh int tcp resetNote Lesen Sie den Abschnitt "Bekannte Probleme", bevor Sie den Befehl netsh int tcp reset verwenden.

Konfigurieren dieser Einstellungen in Windows Vista

Ein Administrator kann Netsh-Befehle verwenden, um die Einstellungen für MPP, Profile und Portausnahmen zur Laufzeit zu aktualisieren. Diese Einstellungen bestimmen, ob eine TCP-Verbindung ein Kandidat für das Pruning ist oder nicht. Diese Auswertung wird durchgeführt, wenn der Transmission Control Block dieser TCP-Verbindung erstellt wird, abhängig von den Einstellungen zu diesem Zeitpunkt.

  • netsh int tcp reset
    Setzt die Sicherheitseinstellungen zusammen mit den anderen TCP-Einstellungen zurück. Diese Sicherheitseinstellungen umfassen die Einstellungen MPP, Profil, Portausnahme und Verbindungsratenbegrenzung.

  • netsh int tcp show security
    Zeigt die aktuell angewendeten Sicherheitseinstellungen für MPP, Profile und Portausnahmen an, falls vorhanden.

  • netsh int tcp set security mpp=[enabled|disabled|default]
    Schaltet die MPP-Einstellungen um.

  • netsh int tcp set security Profiles=[enabled|disabled|default]
    Schaltet die Einstellung "Profile" um.

  • netsh int tcp set security startport=<x> numberofports=<y+1> mpp=[enabled|disabled|default]
    Gibt die Port-Ausnahmen für den Portbereich von x bis x+y an. Sie sollten sicherstellen, dass x und x+y im gültigen Portbereich (0 - 65535) liegen.

    Beispiele

    • Fügen Sie eine Portbereichsausnahme hinzu:
      Geben Sie an der Eingabeaufforderung den folgenden Befehl ein, und drücken Sie anschließend die EINGABETASTE:

      netsh int tcp set security startport=5000 numberofports=10 mpp=disabledDieser Befehl deaktiviert das MPP-Feature für die Ports 5000 bis 5009 (beide einschließlich).

    • Löschen Sie eine Portbereichsausnahme:
      Geben Sie an der Eingabeaufforderung den folgenden Befehl ein, und drücken Sie anschließend die EINGABETASTE:

      netsh int tcp set security startport=5000 numberofports=10 mpp=enableThis command löscht den Ausnahmeeintrag, der im ersten Beispiel hinzugefügt wurde.

      Hinweis: Überlappende Portbereiche und Unterbereiche werden nicht vom Befehl netsh int tcp set security behandelt.

Konfigurieren dieser Einstellungen in Windows Server 2003

In Windows Server 2003 müssen Sie diese Einstellungen mithilfe der Registrierung konfigurieren.

Konfigurieren der MPP-Einstellung in Windows Server 2003

Wichtig: Dieser Abschnitt bzw. die Methoden- oder Aufgabenbeschreibung enthält Hinweise zum Ändern der Registrierung. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:

322756 Sichern und Wiederherstellen der Registrierung in Windows

Verwenden Sie zum Aktivieren oder Deaktivieren der MPP-Einstellung die folgenden Registrierungseinträge.
Hinweis: Die folgenden Registrierungseinträge sind standardmäßig nicht verfügbar. Sie müssen sie erstellen, um sie zu ändern. Obwohl die Registrierungseinträge nicht vorhanden sind, ist die MPP-Einstellung standardmäßig aktiviert, und kein Port ist davon ausgenommen.

  • Internetprotokoll, Version 4 (IPv4):
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnableMPP

  • Internetprotokoll, Version 6 (IPv6):
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\EnableMPP

Sie können z. B. die folgenden Schritte ausführen, um die MPP-Einstellung auf IPv4 zu deaktivieren:

  1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.

  2. Klicken Sie auf den folgenden Registrierungsunterschlüssel:

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

  3. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf DWORD-Wert.

  4. Geben Sie "EnableMPP" ein, und drücken Sie anschließend die EINGABETASTE.

  5. Klicken Sie mit der rechten Maustaste auf "EnableMPP", und klicken Sie dann auf "Ändern".

  6. Geben Sie im Feld "Wertdaten" den Wert "0" ein, und klicken Sie dann auf "OK".

  7. Beenden Sie den Registrierungs-Editor.

  8. Starten Sie den Computer neu.

Notizen

  • Wenn Sie die MPP-Einstellung wieder aktivieren möchten, legen Sie den DWORD-Wert für den Registrierungseintrag "EnableMPP" auf 1 fest, und starten Sie dann den Computer neu.

  • Mit den gleichen Schritten können Sie den folgenden Registrierungseintrag für die MPP-Einstellung auf IPv6 konfigurieren:

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\EnableMPP

Konfigurieren der MPP-Einstellung für eine bestimmte Schnittstelle in Windows Server 2003

Wichtig: Dieser Abschnitt bzw. die Methoden- oder Aufgabenbeschreibung enthält Hinweise zum Ändern der Registrierung. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:

322756 Sichern und Wiederherstellen der Registrierung in Windows

Hinweis Unter Windows Server 2003 ist das MPP-Feature standardmäßig auf allen Schnittstellen aktiviert.

Verwenden Sie die folgenden Registrierungsunterschlüssel, um die MPP-Einstellung für eine bestimmte Schnittstelle zu aktivieren oder zu deaktivieren:

  • IPv4:
    <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters\Interfaces\GUID>\DisableMPPOnIF
  • IPv6:
    <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip6\Parameters\Interfaces\GUID>\DisableMPPOnIF

Sie können z. B. die folgenden Schritte ausführen, um die MPP-Einstellung für eine bestimmte IPv4-Schnittstelle zu deaktivieren:

  1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.

  2. Klicken Sie auf den folgenden Registrierungsunterschlüssel:

    <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters\Interfaces\-GUID>

  3. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf DWORD-Wert.

  4. Geben Sie "DisableMPPOnIF" ein, und drücken Sie die EINGABETASTE.

  5. Klicken Sie mit der rechten Maustaste auf "DisableMPPOnIF", und klicken Sie dann auf "Ändern".

  6. Geben Sie in das Feld Wert den Wert 1 ein und klicken Sie auf OK.

  7. Beenden Sie den Registrierungs-Editor.

  8. Starten Sie den Computer neu.

Hinweis: Mit den gleichen Schritten können Sie den folgenden Registrierungsunterschlüssel für die MPP-Einstellung für eine bestimmte IPv6-Schnittstelle konfigurieren:

<HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip6\Parameters\Interfaces\GUID>\DisableMPPOnIF

Konfigurieren der Einstellung für Portausnahmen in Windows Server 2003

Wichtig: Dieser Abschnitt bzw. die Methoden- oder Aufgabenbeschreibung enthält Hinweise zum Ändern der Registrierung. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:

322756 Sichern und Wiederherstellen der Registrierung in Windows

Verwenden Sie die folgenden Registrierungseinträge, um die Portausnahmen für den Portbereich von x bis y anzugeben:

  • IPv4:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\MPPExcludedPorts

  • IPv6:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\MPPExcludedPorts

Sie können beispielsweise die folgenden Schritte ausführen, um die Portausnahmen für den Portbereich von xxxx bis yyyy unter IPv4 anzugeben:

  1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.

  2. Klicken Sie auf den folgenden Registrierungsunterschlüssel:

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

  3. Zeigen Sie im Menü "Bearbeiten " auf "Neu", und klicken Sie dann auf "Mehrfacher Zeichenfolgenwert".

  4. Geben Sie MPPExcludedPorts ein, und drücken Sie die EINGABETASTE.

  5. Klicken Sie mit der rechten Maustaste auf MPPExcludedPorts, und klicken Sie dann auf Ändern.

  6. Geben Sie im Feld "Wertdaten " den Portbereich im Format xxxx-yyyy (z. B. 5000-5010) ein, und klicken Sie dann auf OK.

  7. Beenden Sie den Registrierungs-Editor.

  8. Starten Sie den Computer neu.

Notizen

  • Sie müssen den Portbereich im Format xxxx-yyyy angeben, wobei xxxx und yyyy im gültigen Portbereich liegen. Der Bereich umfasst die Start- und Endwerte.

  • Mit den folgenden Schritten können Sie den folgenden Registrierungsunterschlüssel für die Portausnahmeeinstellung auf IPv6 konfigurieren:

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\MPPExcludedPorts

  • In dieser Liste können maximal 12 Portbereiche angegeben werden. Zusätzliche Bereiche werden ignoriert, und Ausnahmen werden nicht angewendet.

Bekannte Probleme

  • Unter Windows Vista SP2 und Windows Server 2008 SP2 wird die Grenze der Verbindungsrate durch den Befehl netsh int tcp reset beeinflusst.

    Vor der Installation dieses Sicherheitsupdates werden die TCP-Einstellungen mit dem Befehl netsh int tcp reset zurückgesetzt. Dazu gehören Chimneyparameter, explizite Überlastungsbenachrichtigung (Explicit Congestion Notification, ECN), automatische Optimierung von Empfangsfenstern, zusammengesetztes TCP (CTCP) und Zeitstempel. Nach der Installation dieses Sicherheitsupdates setzt der Befehl netsh int tcp reset auch die Sicherheitseinstellungen zurück, einschließlich MPP, Profile und Einstellungen zur Begrenzung der Verbindungsrate. Auch wenn MPP- und Profile-Einstellungen erwartet werden, erfolgt das Zurücksetzen der Einstellung zur Begrenzung der Verbindungsrate zur Laufzeit. Um die Begrenzung der Verbindungsrate erneut festzulegen, müssen Sie den Registrierungsunterschlüssel ändern. Weitere Informationen zur Einstellung zur Begrenzung der Verbindungsrate finden Sie im folgenden Artikel der Microsoft Knowledge Base:

    969710 Aktivieren des Grenzwerts für halboffene TCP-Verbindungen in Windows Vista mit Service Pack 2 und Windows Server 2008 mit Service Pack 2

  • Wenn Sie im Windows Server 2003 Sicherheitsupdate 967723 und dann IPv6 installieren, enthält das Ereignisprotokoll Informationen, die den folgenden Informationen für die IPv6-Ereignis-ID 4229 ähneln:

    Die Beschreibung für Ereignis-ID 4229 aus der Quelle Tcpip6 wurde nicht gefunden. Entweder ist die Komponente, die dieses Ereignis auslöst, auf Ihrem lokalen Computer nicht installiert, oder die Installation ist beschädigt. Sie können die Komponente auf dem lokalen Computer installieren oder reparieren.

    Würde das Ereignis von einem anderen Computer stammen, hätten die Anzeigeinformationen zusammen mit dem Ereignis gespeichert werden müssen.

    Das Ereignis beinhaltet die folgenden Informationen:

    Die Nachrichtenressource ist vorhanden, aber die Nachricht wurde in der Zeichenfolge/Nachrichtentabelle nicht gefundenUm dieses Problem zu beheben, müssen Sie das Update neu installieren oder die folgenden Registrierungsunterschlüssel manuell hinzufügen:

    • Fügen Sie in Windows Server 2003 SP2 unter HKLM\System\CCS\Services\eventlog\System\tcpipv6\EventMessageFile die Zeichenfolge %systemroot%system32\w03a3409.dll hinzu.
    • Fügen Sie in Windows Server 2003 SP1 unter HKLM\System\CCS\Services\eventlog\System\tcpipv6\EventMessageFile die Zeichenfolge %systemroot%system32\w03a2409.dll hinzu
    • Fügen Sie im Windows Server 2003 die Zeichenfolge %systemroot%system32\ws03res.dll unter HKLM\System\CCS\Services\eventlog\System\tcpipv6\EventMessageFile hinzu.