Zaštita od sigurnosnog problema s WINS-om

UVOD

Istražujemo izvješća o sigurnosnom problemu sa servisom Microsoft Windows Internet Name Service (WINS). Taj sigurnosni problem utječe na Microsoft Windows NT Server 4.0, Microsoft Windows NT Server 4.0 Terminal Server Edition, Microsoft Windows 2000 Server i Microsoft Windows Server 2003. Taj sigurnosni problem ne utječe na Microsoft Windows 2000 Professional, Microsoft Windows XP ili Microsoft Windows Millennium Edition.

Dodatne informacije

Wins po zadanom nije instaliran u sustavima Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server ili Windows Server 2003. Wins se po zadanom instalira i izvodi na sustavima Microsoft Small Business Server 2000 i Microsoft Windows Small Business Server 2003. Prema zadanim postavkama, u svim verzijama sustava Microsoft Small Business Server komunikacijski priključci komponente WINS blokirani su s interneta, a WINS je dostupan samo na lokalnoj mreži.

Taj sigurnosni problem može napadaču omogućiti daljinski ugrožavanje WINS poslužitelja ako je ispunjen jedan od sljedećih uvjeta:

• Promijenili ste zadanu konfiguraciju da biste instalirali ulogu WINS poslužitelja u sustavima Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server ili Windows Server 2003.

• Koristite Microsoft Small Business Server 2000 ili Microsoft Windows Small Business Server 2003, a napadač ima pristup vašoj lokalnoj mreži.

Da biste zaštitili računalo od te potencijalne ranjivosti, slijedite ove korake:

1. Blokirajte TCP priključak 42 i UDP priključak 42 na vatrozidu.
   
   
   Ti se priključci koriste za pokretanje veze s udaljenim WINS poslužiteljem. Ako blokirate te priključke na vatrozidu, sprječavate računala koja se nalaze iza tog vatrozida da pokušaju koristiti tu ranjivost. TCP priključak 42 i UDP priključak 42 zadani su WINS priključci za replikaciju. Preporučujemo da blokirate svu dolaznu neželjenu komunikaciju s interneta.

2. Pomoću sigurnosti internetskog protokola (IPsec) zaštitite promet između partnera za replikaciju poslužitelja WINS. Da biste to učinili, koristite jednu od sljedećih mogućnosti.
   
   Oprez Budući da je svaka WINS infrastruktura jedinstvena, te promjene mogu imati neočekivane učinke na vašu infrastrukturu. Preporučujemo da prije implementacije tog ublažavanja izvršite analizu rizika. Preporučujemo i da dovršite testiranje prije nego što ovo ublažavanje umetnete u produkciju.
   

   • 1. mogućnost: ručno konfigurirajte filtre IPSec
     Ručno konfigurirajte filtre IPSec, a zatim slijedite upute u sljedećem članku Iz Microsoftove baze znanja da biste dodali filtar bloka koji blokira sve pakete s bilo koje IP adrese u IP adresu sustava:

     813878 Blokiranje određenih mrežnih protokola i priključaka pomoću servisa IPSec Ako koristite IPSec
     
     u okruženju domene servisa Active Directory sustava Windows 2000 i implementirate pravilnik IPSec pomoću servisa pravilnik grupe, pravilnik domene nadjačava sve lokalno definirane pravilnike. Ta pojava sprječava tu mogućnost da blokira željene pakete.
     
     Da biste utvrdili primaju li poslužitelji PRAVILNIK IPSec s domene sustava Windows 2000 ili novije verzije, pročitajte odjeljak "Određivanje je li dodijeljen pravilnik IPSec" u članku baze znanja 813878.
     
     Kada ste utvrdili da možete stvoriti učinkovit lokalni IPSec pravilnik, preuzmite alat IPSeccmd.exe ili alat IPSecpol.exe IPSec.
     
     Sljedeće naredbe blokiraju dolazni i odlazni pristup TCP priključku 42 i UDP priključku 42.
     
     Napomena U tim se naredbama %IPSEC_Command% odnosi na Ipsecpol.exe (u sustavu Windows 2000) ili Ipseccmd.exe (na Windows Server 2003).

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound TCP Port 42 Rule" -f *=0:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound UDP Port 42 Rule" -f *=0:42:UDP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound TCP Port 42 Rule" -f 0=*:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound UDP Port 42 Rule" -f 0=*:42:UDP -n BLOCK 
     

     Sljedeća naredba odmah stupa na snagu pravilnika IPSec ako ne postoji sukobljeni pravilnik. Ova naredba će početi blokirati sve dolazne/odlazne TCP priključke 42 i UDP priključak 42 paketa. Time se sprječava pojavljivanje replikacije wins između poslužitelja na kojem su te naredbe pokrenute i svih partnera za replikaciju WINS.

     %IPSEC_Command% -w REG -p "Block WINS Replication" –x 

     Ako naiđete na probleme na mreži nakon omogućivanja pravilnika IPSec, možete poništiti dodjelu pravilnika, a zatim izbrisati pravilnik pomoću sljedećih naredbi:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -y 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -o 

     Da bi replikacija funkcije WINS funkcionirala između određenih partnera za replikaciju WINS, morate nadjačati ova pravila bloka s pravilima dopuštenja. Pravila dopuštenih moraju navesti SAMO IP adrese pouzdanih partnera za replikaciju wins.
     
     
     Pomoću sljedećih naredbi možete ažurirati pravilnik Block WINS Replication IPSec da biste dopustili komunikaciju određenih IP adresa s poslužiteljem koji koristi pravilnik za replikaciju block WINS.
     
     Napomena U tim se naredbama %IPSEC_Command% odnosi na Ipsecpol.exe (u sustavu Windows 2000) ili Ipseccmd.exe (u sustavu Windows Server 2003), a %IP% odnosi se na IP adresu udaljenog WINS poslužitelja s kojim želite replicirati.

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound TCP Port 42 from %IP% Rule" -f %IP%=0:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound UDP Port 42 from %IP% Rule" -f %IP%=0:42:UDP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound TCP Port 42 to %IP% Rule" -f 0=%IP%:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound UDP Port 42 to %IP% Rule" -f 0=%IP%:42:UDP -n PASS 
     

     Da biste pravilnik odmah dodijelili, koristite sljedeću naredbu:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -x

   • 2. mogućnost: pokrenite skriptu da biste automatski konfigurirali IPSec
     filtre Preuzmi, a zatim pokrenite skriptu WINS Replication Blocker koja stvara IPSec pravilnik za blokiranje priključaka. Da biste to učinili, slijedite ove korake:
     

     1. Da biste preuzeli i izdvojili .exe datoteke, slijedite ove korake:
        

        1. Preuzmite skriptu WINS Replication Blocker.
           
           Sljedeća datoteka dostupna je za preuzimanje iz Microsoftova centra za preuzimanje:
           
           preuzmite paket skripte WINS Replication Blocker.
           
           Datum izdanja: 2. prosinca 2004
           
           . Dodatne informacije o preuzimanju datoteka Microsoftove podrške kliknite sljedeći broj članka u Microsoftovoj bazi znanja:

           119591 Kako nabaviti datoteke Microsoftove podrške mrežni servisi
           Microsoft je skenirao ovu datoteku radi virusa. Microsoft je koristio najnoviji softver za otkrivanje virusa koji je bio dostupan na datum objave datoteke. Datoteka se pohranjuje na poslužitelje poboljšane sigurnosti koji sprječavaju neovlaštene promjene datoteke.
           

           Ako skriptu WINS Replication Blocker preuzimate na disketu, koristite formatirani prazan disk. Ako na tvrdi disk preuzimate skriptu WINS Replication Blocker, stvorite novu mapu u koju ćete privremeno spremiti datoteku i izdvojiti je.
           
           
           Oprez Ne preuzimajte datoteke izravno u mapu sustava Windows. Ova akcija može prebrisati datoteke potrebne da bi računalo ispravno funkcioniralo.

        2. Pronađite datoteku u mapi u koju ste je preuzeli, a zatim dvokliknite datoteku koja se sama izdvaja .exe da biste izdvojili sadržaj u privremenu mapu. Primjerice, izdvojite sadržaj u C:\Temp.

     2. Otvorite naredbeni redak, a zatim se pomaknite u direktorij u koji se izdvajaju datoteke.

     3. Upozorenje

        • Ako sumnjate da su WINS poslužitelji zaraženi, ali niste sigurni koji su WINS poslužitelji ugroženi ili je vaš trenutni WINS poslužitelj ugrožen, nemojte unositi IP adrese u 3. koraku. Međutim, od studenoga 2004. nismo svjesni klijenata na koje je taj problem utjecanje. Stoga, ako poslužitelji funkcionira na očekivani način, nastavite na način opisan.

        • Ako ste pogrešno postavili IPsec, na mreži tvrtke možete uzrokovati ozbiljne probleme s replikacijskim programom WINS.

        Pokrenite Block_Wins_Replication.cmd datoteku. Da biste stvorili tcp priključak 42 i UDP priključak 42 pravila ulaznog i izlaznog bloka, upišite 1,
        a zatim pritisnite ENTER da biste odabrali mogućnost 1 kada se od vas zatraži da odaberete željenu mogućnost.

        Kada odaberete mogućnost 1, skripta će od vas zatražiti da unesete IP adrese pouzdanih WINS poslužitelja replikacije.
        
        
        Svaka IP adresa koju unesete izuzeta je iz pravilnika o blokiranju TCP priključka 42 i UDP priključka 42. Od vas će se zatražiti da u petlji unesete koliko god IP adresa želite. Ako ne znate sve IP adrese partnera za replikaciju WINS, možete ponovno pokrenuti skriptu u budućnosti. Da biste počeli unositi IP adrese pouzdanih wins partnera za replikaciju, upišite 2 , a zatim pritisnite ENTER da biste odabrali mogućnost 2 kada se od vas zatraži da odaberete željenu mogućnost.
        
        
        Nakon implementacije sigurnosnog ažuriranja možete ukloniti pravilnik IPSec. Da biste to učinili, pokrenite skriptu. Upišite 3, a zatim pritisnite ENTER da biste odabrali mogućnost 3 kada se od vas zatraži da odaberete željenu mogućnost.
        
        Dodatne informacije o IPsecu i načinu primjene filtara potražite u članku iz Microsoftove baze znanja pod sljedećim brojem:
        
        

        313190 Korištenje ip filtara IP popisa ip adresa u sustavu Windows 2000
        
        

3. Uklonite WINS ako vam nije potreban.
   
   Ako vam WINS više nije potreban, slijedite ove korake da biste ga uklonili. Ovi se koraci odnose na Windows 2000, Windows Server 2003 i novije verzije tih operacijskih sustava. Za Windows NT Server 4.0 slijedite postupak obuhvaćen dokumentacijom proizvoda.
   
   Važno Mnoge tvrtke ili ustanove zahtijevaju wins za izvođenje funkcija registracije i razlučivosti pojedinačnih naljepnica ili plošnih naziva na mreži. Administratori ne bi trebali ukloniti WINS osim ako je ispunjen jedan od sljedećih uvjeta:
   

   • Administrator u potpunosti razumije učinak uklanjanja WINS-a koji će imati na njihovoj mreži.

   • Administrator je konfigurirao DNS tako da pruža ekvivalentne funkcije pomoću potpuno kvalificiranih naziva domena i nastavaka DNS domene.

   Osim toga, ako administrator uklanja funkciju WINS s poslužitelja koji će nastaviti pružati zajedničke resurse na mreži, administrator mora ispravno konfigurirati sustav da bi upotrijebio preostale servise za razrješavanja naziva, kao što je DNS na lokalnoj mreži.
   
   Dodatne informacije o programu WINS potražite na sljedećem Microsoftovu web-mjestu:

   http://technet2.microsoft.com/WindowsServer/en/library/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e1033.mspx?mfr=true Dodatne informacije o tome kako utvrditi je li vam potrebna razlučivost naziva NETBIOS ili WINS i konfiguracija DNS-a potražite na sljedećem Microsoftovu web-mjestu:

   http://technet2.microsoft.com/windowsserver/en/library/55F0DFC8-AFC9-4096-82F4-B8345EAA1DBD1033.mspxDa biste uklonili WINS, slijedite ove korake:
   

   1. U Upravljačka ploča otvorite Dodavanje ili uklanjanje programa.

   2. Kliknite Dodaj/ukloni komponente sustava Windows.
      

   3. Na stranici Čarobnjak za komponente sustava Windows uodjeljku
      Komponente kliknite Mrežni servisi, a zatim Detalji.

   4. Klikom poništite potvrdni okvir Windows Internet Naming Service (WINS) da biste uklonili WINS.

   5. Slijedite upute na zaslonu da biste dovršili čarobnjak za komponente sustava Windows.

Radimo na ažuriranju radi rješavanja tog sigurnosnog problema u sklopu našeg redovitog postupka ažuriranja. Kada ažuriranje dosegne odgovarajuću razinu kvalitete, ažuriranje ćemo pružiti putem Windows Update.


Ako mislite da je to utjecalo na vas, obratite se službi za podršku za proizvode.

Međunarodni korisnici trebali bi se obratiti servisima podrške za proizvode na bilo koji način naveden na sljedećem Microsoftovu web-mjestu:

http://support.microsoft.com