Deaktivieren eingehender UDP für Azure-Dienste

Der monlist-Dienst in NTP bietet die Möglichkeit, Abfragen für Debugging-Informationen auszuführen und sollte nur vorübergehend für das Debuggen eines Dienstproblems aktiviert werden. Er kann auch für UDP-Reflection-Angriffe verwendet werden. In NTP-Daemon-Paketen (NTPD), die älter als 4.2.8 sind, ist dieser Dienst standardmäßig aktiviert.  Benutzer sollten dieser Anleitung folgen:

• Benutzer, die „monlist“ benötigen, sollten eine NSG so konfigurieren, dass der Zugriff ausschließlich auf die erforderlichen IP-Adressen beschränkt ist.

• Benutzer, die „monlist“ nicht benötigen und  Linux-NTPD-Pakete älter als Version 4.2.8 verwenden, sollten das Paket auf eine aktuelle Version aktualisieren und sicherstellen, dass „monlist“ nicht aktiviert ist. Benutzer, die das Paket nicht auf eine neuere Version aktualisieren können, müssen den Dienst mit Hilfe der folgenden Korrekturschritte konfigurieren:

1. Prüfen Sie die Version des NTPD-Pakets:

#sudo -i ntpq -c rv

1. Verwenden Sie die folgenden Schritte, wenn die Version des NTPD-Pakets älter als 4.7p26 ist:

#vi /etc/ntp.conf

1. Sofern sie nicht bereits vorhanden sind , fügen Sie die folgenden Zeilen hinzu:

restrict -4 default kod nomodify notrap nopeer noquery

restrict -6 default kod nomodify notrap nopeer noquery

1. Starten Sie den NTP-Dienst neu:

# service ntp restart [Debian/ Ubuntu]

# service ntpd restart [Redhat/ Centos]

Das Ausführen einer gegenüber dem Internet geöffneten rekursiven DNS-Auflösung kann zu einem UDP-Angriff auf den eigenen Dienst eines Benutzers und den anderer Benutzer führen. Benutzer sollten abwägen, ob ein DNS-Dienst tatsächlich ausgeführt werden muss.  Wenn dies nicht der Fall ist, sollten sie entweder jeglichen Zugriff auf Port 53 blockieren oder den DNS-Dienst deinstallieren, indem sie die für das Betriebssystem und die DNS-Implementierung geltenden Anweisungen befolgen.

Benutzer, die die Ausführung eines DNS-Dienstes zur Bereitstellung einer autoritativen Namensauflösung benötigen, aber auf die rekursive DNS-Auflösung verzichten können, sollten diese Funktion deaktivieren, indem sie die für ihr Betriebssystem und ihre DNS-Implementierung geltenden Anweisungen befolgen (wie weiter unten in diesem Artikel beschrieben). Darüber hinaus empfehlen wir in allen Fällen dringend, den Zugriff auf Port 53 in Ihrer NSG auf die konkreten IP-Adressen zu beschränken, die für den Betrieb Ihres Dienstes mit den geringsten Berechtigungen erforderlich sind.

Windows: Deaktivieren der Einstellung der rekursiven DNS-Auflösung auf dem DNS-Server für Windows Server 2012, 2016

1. Öffnen Sie den DNS-Manager (wählen Sie Start, zeigen Sie auf Verwaltungstools und wählen Sie dann DNS).

2. Klicken Sie in der Konsolenstruktur mit der rechten Maustaste auf den entsprechenden DNS-Server, und wählen Sie dann Eigenschaften.

3. Wählen Sie die Registerkarte Erweitert aus.

4. Vergewissern Sie sich, dass unter Server-Optionen das Kontrollkästchen Rekursion deaktivieren aktiviert ist.

5. Starten Sie den DNS-Dienst neu (mithilfe der Anwendung Dienste in der Systemsteuerung).

Linux: Deaktivieren der DNS-Rekursion auf Ihrem Bind-Server

1. Verbinden Sie sich mit Ihrem Server über SSH (Secure Shell) unter Verwendung Ihrer Root-Zugangsdaten.

2. Überprüfen Sie nach der Verbindung mit Ihrem Server Ihre „named.conf“-Datei auf DNS-Rekursion und ermitteln Sie die Einstellungen:
   

   cat /etc/named.conf | grep "recursion"

3. Öffnen Sie die Datei „named.conf“ mithilfe eines beliebigen Texteditors, und überprüfen Sie die Einstellungen auf Rekursion mithilfe des folgenden Befehls:
   

   #vi /etc/named.conf

4. Ändern Sie nur die Einstellungen für die externe DNS-Rekursion, und suchen Sie den Abschnitt, der mit“„extern“ bezeichnet ist.” Wenn der Abschnitt nicht vorhanden ist, können Sie die folgenden Zeilen zu Ihrer named.conf-Datei hinzufügen, um die externe DNS-Rekursion zu deaktivieren. Fügen Sie die folgenden Zeilen in den Abschnitt “Optionen” ein:
   

   allow-transfer {"none";};

   allow-recursion {"none";};

   recursion no;

   Wenn der Abschnitt „extern“ bereits vorhanden ist, können Sie die darin enthaltenen Einstellungen ändern, indem Sie je nach Bedarf den Wert Rekursion in yes oder no ändern.

5. Speichern Sie die Datei nach der Konfiguration Ihrer Änderungen.

6. Starten Sie den DNS-Server neu, damit die Änderungen wirksam werden. Führen Sie den folgenden Befehl aus, um Ihren DNS-Dienst neu zu starten:
   

   service named restart

   Hinweis: Wenn Sie einen anderen proprietären DNS-Server verwenden, schlagen Sie in der entsprechenden Produktdokumentation nach, um die rekursive DNS-Einstellung zu deaktivieren.

Benutzer sollten besonders gefährdete eingehende UDP-Ports schließen, indem sie die Hinweise in diesem Abschnitt befolgen. Wir empfehlen Benutzern, eingehende Verbindungen aus dem Internet auf allen UDP-Ports zu blockieren.

Benutzer, die einen bestimmten UDP-Port für das Internet öffnen müssen, sollten nur diesen speziellen Port öffnen und den eingehenden Zugang auf die IP-Bereiche beschränken, die unbedingt erforderlich sind (d. h. UDP-Ports sollten nicht gegenüber dem gesamten Internet exponiert werden).

Um die UDP-Ports zu schließen, können Benutzer eine oder beide der folgenden Aktionen ausführen:

• Aktualisierung der ARM-Vorlage, um eingehende UDP zu deaktivieren. Dies erfordert die erneute Bereitstellung von NSG-Vorlagen. Dadurch ist jedoch sichergestellt, dass zukünftige Bereitstellungen , die diese Vorlage verwenden, über die korrekten Sicherheitseinstellungen verfügen.

• Aktualisierung der NSG-Regeln zur Beschränkung des Netzzugangs. Siehe Azure Portal, Azure Powershell, Azure CLI.

Ressourcen: Informationen zu NSGs, Manage Network Security Group (NSG)

1. Installieren Sie Nmap.

2. Überprüfen Sie die Firewalleinstellungen, um sicherzustellen, dass Sie ausgehenden UDP-Datenverkehr zur Ausführung des Scans zulassen.

3. Folgen Sie den Nmap-Anweisungen in diesem Abschnitt, um zu erfahren, wie man einen Scan durchführt. Benutzer können auch die Zenmap-GUI verwenden (das Symbol wird auf dem Desktop angezeigt, wenn Windows Nmap installiert ist).

   1. Erstellen Sie eine .csv-Datei mit einer Liste von IP-Adressen, die nach einem bestimmten Port (z. B. Port 69) gescannt werden sollen.

   2. Führen Sie den Befehl Nmap aus. Sie können diese Optionen hinzufügen: -sUV (UDP ports) -T4 -p {port to scan} -Pn {treat all hosts as online} -iL {input list} -oL {output list} & (optional flag to run in background):
      
      nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &
      

   3. Überprüfen Sie die Ports, die am häufigsten bei Reflection-Angriffen verwendet werden:
      
      nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   4. Überprüfen Sie die Ergebnisse, um offene Ports zu identifizieren.

1. Installieren Sie Nmap über den Paketmanager oder von https://nmap.org/download.html.

Ubuntu/Debian :

sudo apt-get update
sudo apt-get install nmap

Redhat/CentOS:

yum update
yum install nmap [Redhat/ Centos]

1. Verwenden Sie die folgenden Nmap-Befehle, um bekannte UDP-Ports zu überprüfen:

   1. Erstellen Sie eine .csv-Datei mit einer Liste von IP-Adressen, die nach einem bestimmten Port (z. B. Port 69) gescannt werden sollen.

   2. Laden Sie die .csv-Datei mithilfe des Befehls pscp auf Ihre Linux-VM hoch:
      
      pscp filename.csv admin@remotehost:filename.csv

   3. Führen Sie den Befehl sudo nmap aus und fügen Sie folgende Optionen hinzu -sUV (UDP ports) -T4 -p {port to scan} -Pn {treat all hosts as online} -iL {input list} -oL {output list} & (optional flag to run in background):
      
      sudo nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &

   4. Überprüfen Sie die Ports, die am häufigsten bei Reflection-Angriffen verwendet werden:
      
      sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   5. Laden Sie nach Abschluss des Prozesses die Datei mithilfe des Befehls pscp herunter.

   6. Überprüfen Sie die Ergebnisse, um offene Ports zu identifizieren.
      

Führen Sie einen Windows-Scan über die Befehlszeile aus. Schließen Sie dazu alle Ports.

Hinweis Da es sich um einen Nmap-UDP-Scan handelt, kann „open|filtered“ als „closed“ interpretiert werden.

Mit dem folgenden Befehl wird ein Windows-Scan ausgeführt:

C:\Users\user\DeskTop>nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 23.36.53.224

Führen Sie einen Linux-Scan für 1.1.1.1 durch. Öffnen Sie dazu DNS. Beachten Sie, dass DNS-Port 53 nicht als „open|filtered“ angezeigt wird, da dies bedeuten würde, dass der Port geschlossen ist. Die anderen Ports werden jedoch als „open|filtered“ angezeigt. Dies bedeutet an, dass sie geschlossen sind.

Mit dem folgenden Befehl wird ein Linux-Scan ausgeführt:

testuser@testUbuntu:~$ sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 1.1.1.1

So suchen Sie nach offenen rekursiven DNS-Resolvern:

nmap -sUV -Pn -T4 -p 53 --script=dns-recursion -iL <input_file> -oX <output_file>

Für eine einzelne IP-Adresse:

nmap –sU –p53 –script=dns-recursion <Public IP address>

NTPD-Paketversionen, die älter sind als 4.2.8 sind anfällig für UDP-Reflection-Angriff durch einen monlist-Befehl. Wenn “restrict noquery” konfiguriert ist, wird ein monlist-Reflection-Angriff unterbunden.

Nmap-Skript zur Identifizierung der Sicherheitsanfälligkeit:

nmap -sUV -Pn -T4 -p 123 --script= ntp-monlist -iL <input_file> -oX <output_file>

Für eine einzelne IP-Adresse:

nmap -sU -pU:123 -Pn -n --script=ntp-monlist <Public IP address>

nmap -sU -p389 -v -n -Pn <Public IP address>

Öffentlich exponierte LDAP-Informationen anzeigen:

nmap -p 389 --script ldap-rootdse <Public IP address>

Diese Konfiguration wird nicht empfohlen. Wenn der Benutzer jedoch über einen davon abhängigen Dienst verfügt, sollte er zusätzliche Sicherheit schaffen, indem er die Signierung gemäß der folgenden Anleitung verwendet:

• https://support.microsoft.com/de-de/help/935834/how-to-enable-ldap-signing-in-windows-server

• ​https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV190023

Benutzer sollten die folgenden Dokumente verwenden, um die Zeitsynchronisierung für ihre Azure-VMs zu konfigurieren. Wenn der Benutzer ein gefährdetes Paket für Linux oder Windows NTPD verwendet, sollte er auf die aktuelle Version aktualisieren.

• https://docs.microsoft.com/de-de/azure/virtual-machines/windows/time-sync#opt-in-for-host-only-time-sync

• https://docs.microsoft.com/de-de/azure/virtual-machines/linux/time-sync

Erfahren Sie, wie Sie mithilfe von Azure Network Watcher Fehler beheben können: https://docs.microsoft.com/de-de/azure/network-watcher/network-watcher-connectivity-overview

Nein. Dies sind die Standardports für die UDP-Dienste. Allerdings können die Dienste entweder auf einer anderen Port-Nummer lauschen oder der Server kann hinter einem Load Balancer liegen, der den Port von einem anderen Quell-Port weiterleitet.

Siehe UDP-Verstärkung: https://www.us-cert.gov/ncas/alerts/TA14-017A