Comment désactiver le trafic UDP entrant pour les services Azure

Le service monlist dans NTP permet d’exécuter des requêtes à des fins de débogage et ne doit être activé temporairement que pour déboguer un problème lié au service. Il peut également être utilisé pour réaliser des attaques UDP par rebond. Dans les packages NTP Daemon (NTPD) antérieurs à la version 4.2.8, ce service est activé par défaut. Les utilisateurs doivent suivre les instructions ci-dessous :

• Les utilisateurs qui ont besoin de monlist doivent configurer un groupe de sécurité réseau (NSG) pour autoriser l’accès aux adresses IP requises uniquement.

• Les utilisateurs qui n’ont pas besoin de monlist et qui utilisent un package Linux NTPD antérieur à la version 4.2.8 doivent mettre à jour ce package à la version actuelle et veiller à ce que monlist ne soit pas activé. Les utilisateurs qui ne parviennent pas à mettre à jour le package à une version plus récente doivent configurer le service en suivant la procédure de correction ci-dessous :

1. Vérifiez la version du package NTPD :

#sudo -i ntpq -c rv

1. Si la version du package NTPD est antérieure à 4.7p26, exécutez la commande suivante :

#vi /etc/ntp.conf

1. Ajoutez les lignes ci-dessous, si elles n’existent pas encore :

restrict -4 default kod nomodify notrap nopeer noquery

restrict -6 default kod nomodify notrap nopeer noquery

1. Redémarrez le service NTP :

# service ntp restart [Debian/ Ubuntu]

# service ntpd restart [Redhat/ Centos]

L’exécution d’un programme de résolution DNS récursif ouvert à Internet peut provoquer une attaque UDP sur le service d’un utilisateur et d’autres utilisateurs. Les utilisateurs doivent déterminer la nécessité d’exécuter un service DNS. Si cette exécution n’est pas nécessaire, ils doivent refuser l’accès au port 53 ou désinstaller le service DNS en suivant les instructions correspondant à leur système d’exploitation et à l’implémentation DNS.

Les utilisateurs qui nécessitent l’exécution d’un service DNS pour assurer la résolution de noms de référence, mais pas la récursivité DNS, doivent désactiver cette fonctionnalité en suivant les instructions correspondant à leur système d’exploitation et à l’implémentation DNS (fournies plus loin dans cet article). De plus, dans tous les cas, il est vivement recommandé que l’accès au port 53 dans le groupe de sécurité réseau soit restreint à l’ensemble d’adresses IP nécessaires pour exploiter le service au moyen de privilèges minimum.

Windows : désactiver le paramètre de résolution DNS récursive sur le serveur DNS pour Windows Server 2012, 2016

1. Ouvrez le Gestionnaire DNS (sélectionnez Démarrer, pointez sur Outils d’administration, puis sélectionnez DNS).

2. Dans l’arborescence de la console, cliquez avec le bouton droit sur le serveur DNS correspondant, puis cliquez sur Propriétés.

3. Sélectionnez l’onglet Avancé.

4. Dans les options du serveur, veillez à ce que la case à cocher Désactiver la récursivité soit activée.

5. Redémarrez le service DNS (à partir du panneau de configuration Services).

Linux : désactiver la récursivité DNS sur le serveur Bind

1. Connectez-vous au serveur par SSH (Secure Shell) à l’aide des informations d’identification root.

2. Une fois la connexion au serveur établie, vérifiez la présence de récursivité DNS dans le fichier named.conf, et recherchez les paramètres :
   

   cat /etc/named.conf | grep "recursion"

3. Ouvrez le fichier named.conf dans un éditeur de texte, puis vérifiez les paramètres de récursivité à l’aide de la commande suivante :
   

   #vi /etc/named.conf

4. Modifiez les paramètres de récursivité DNS externe uniquement, puis recherchez la section nommée « external ». Si cette section n’est pas disponible, vous pouvez ajouter les lignes suivantes au fichier named.conf pour désactiver la récursivité DNS externe. Insérez les lignes suivantes dans la section « options » :
   

   allow-transfer {"none";};

   allow-recursion {"none";};

   recursion no;

   Si la section externe est déjà présente, modifiez ses paramètres en remplaçant la valeur recursion par yes (oui) ou no (non), selon vos besoins.

5. Après avoir apporté les modifications souhaitées, enregistrez le fichier.

6. Redémarrez le serveur DNS pour que les modifications soient prises en compte. Exécutez la commande suivante pour redémarrer le service DNS :
   

   service named restart

   Remarque : si vous utilisez un autre serveur DNS propriétaire, consultez la documentation produit correspondante pour désactiver le paramètre de récursivité DNS.

Les utilisateurs doivent fermer les ports UDP entrants à risque élevé en suivant les instructions fournies dans cette section. Il est recommandé que les utilisateurs ferment les connexions entrantes à partir d’Internet sur tous les ports UDP.

Les utilisateurs qui doivent ouvrir un port UDP spécifique à Internet ne doivent ouvrir que ce port et restreindre l’accès entrant aux plages IP qui sont strictement nécessaires (ne pas exposer les ports UDP à l’ensemble d’Internet).

Pour fermer les ports UDP, les utilisateurs peuvent effectuer l’une et/ou l’autre des opérations suivantes :

• Mettre à jour le modèle ARM pour désactiver le trafic UDP entrant. Cette opération nécessite le redéploiement du modèle NSG. Elle garantit toutefois que les déploiements ultérieurs qui utiliseront ce modèle auront les paramètres de sécurité corrects.

• Mettre à jour les règles NSG pour restreindre l’accès réseau. Voir Portail Azure, Azure PowerShell, Azure CLI.

Ressources : Informations sur les groupes de sécurité réseau (NSG), Gérer les groupes de sécurité réseau (NSG)

1. Installez Nmap.

2. Vérifiez les paramètres du pare-feu pour vous assurer d’autoriser le trafic UDP sortant pour exécuter l’analyse.

3. Suivez les instructions relatives à Nmap dans cette section pour effectuer une analyse. Les utilisateurs peuvent également faire appel à l’interface utilisateur graphique Zenmap (l’icône est installée sur le Bureau lors de l’installation de Windows Nmap).

   1. Créez un fichier .csv contenant la liste d’adresses IP à analyser pour un port spécifique (par exemple, port 69).

   2. Exécutez la commande Nmap. Vous pouvez inclure les options suivantes : -sUV (ports UDP) -T4 -p {port à analyser} -Pn {considérer tous les hôtes comme étant en ligne} -iL {liste d’entrée} -oL {liste de sortie} & (indicateur facultatif pour exécution en arrière-plan) :
      
      nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &
      

   3. Vérifiez les ports qui sont le plus souvent utilisés dans les attaques par rebond :
      
      nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   4. Consultez les résultats pour identifier les ports ouverts éventuels.

1. Installez Nmap par le biais du gestionnaire de package ou à partir de https://nmap.org/download.html.

Ubuntu / Debian :

sudo apt-get update
sudo apt-get install nmap

Redhat / CentOS :

yum update
yum install nmap [Redhat/ Centos]

1. Utilisez les commandes Nmap suivantes pour vérifier les ports UDP connus :

   1. Créez un fichier .csv contenant la liste d’adresses IP à analyser pour un port spécifique (par exemple, port 69).

   2. Téléchargez le fichier .csv vers votre machine virtuelle Linux à l’aide de la commande pscp :
      
      pscp filename.csv admin@remotehost:filename.csv

   3. Exécutez la commande sudo nmap en incluant les options suivantes : -sUV (ports UDP) -T4 -p {port à analyser} -Pn {considérer tous les hôtes comme étant en ligne} -iL {liste d’entrée} -oL {liste de sortie} & (indicateur facultatif pour exécution en arrière-plan) :
      
      sudo nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &

   4. Vérifiez les ports qui sont le plus souvent utilisés dans les attaques par rebond :
      
      sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   5. Une fois le processus terminé, téléchargez le fichier à l’aide de la commande pscp.

   6. Consultez les résultats pour identifier les ports ouverts éventuels.
      

Exécutez une analyse Windows à partir de la ligne de commande quand tous les ports sont fermés.

Remarque Étant donné qu’il s’agit d’une analyse Nmap UDP, l’état « open|filtered » peut être interprété comme « fermé ».

La commande suivante permet d’exécuter une analyse Windows :

C:\Users\user\DeskTop>nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 23.36.53.224

Exécutez une analyse Linux pour la version 1.1.1.1 quand le service DNS est ouvert. Notez que le port DNS 53 n’indique pas « open|filtered », car cet état signale que le port est fermé. Toutefois, les autres ports sont accompagnés de l’état « open|filtered », qui indique qu’ils sont fermés.

La commande suivante permet d’exécuter une analyse Linux :

testuser@testUbuntu:~$ sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 1.1.1.1

Pour analyser les programmes de résolution DNS récursifs ouverts :

nmap -sUV -Pn -T4 -p 53 --script=dns-recursion -iL <input_file> -oX <output_file>

Pour une seule adresse IP :

nmap –sU –p53 –script=dns-recursion <Public IP address>

Les packages NTPD dont la version est antérieure à 4.2.8 sont vulnérables aux attaques UDP par rebond par le biais d’une commande monlist. Si la fonctionnalité « restrict noquery » est configurée, une attaque monlist par rebond ne fonctionnerait pas.

Script Nmap permettant d’identifier la vulnérabilité :

nmap -sUV -Pn -T4 -p 123 --script= ntp-monlist -iL <input_file> -oX <output_file>

Pour une seule adresse IP :

nmap -sU -pU:123 -Pn -n --script=ntp-monlist <Public IP address>

nmap -sU -p389 -v -n -Pn <Public IP address>

Afficher les informations LDAP exposées publiquement :

nmap -p 389 --script ldap-rootdse <Public IP address>

Il ne s’agit pas d’une configuration recommandée. Toutefois, si vous avez un service dépendant, vous devez renforcer la sécurité en utilisant la signature conformément aux instructions suivantes :

• https://support.microsoft.com/fr-fr/help/935834/how-to-enable-ldap-signing-in-windows-server

• ​https://portal.msrc.microsoft.com/fr-fr/security-guidance/advisory/ADV190023

Vous devez consulter les documents suivants pour savoir comment configurer la synchronisation de l’heure pour vos machines virtuelles Azure. Si vous utilisez un package vulnérable pour Linux ou Windows NTPD, vous devez effectuer une mise à jour à la version actuelle.

• https://docs.microsoft.com/fr-fr/azure/virtual-machines/windows/time-sync#opt-in-for-host-only-time-sync

• https://docs.microsoft.com/fr-fr/azure/virtual-machines/linux/time-sync

Apprenez à résoudre les problèmes à l’aide d’Azure Network Watcher : https://docs.microsoft.com/fr-fr/azure/network-watcher/network-watcher-connectivity-overview.

Non. Il s’agit des ports standard pour les services UDP. Toutefois, les services peuvent écouter un autre numéro de port ou le serveur peut exister derrière un équilibreur de charge qui effectue un transfert de port à partir d’un autre port source.

Consultez la page suivante : https://www.us-cert.gov/ncas/alerts/TA14-017A.