Bagaimana cara membantu melindungi terhadap masalah keamanan WINS

PENDAHULUAN

Kami telah menyelidiki laporan masalah keamanan dengan Microsoft Windows Layanan nama Internet (WINS). Masalah keamanan ini mempengaruhi Microsoft Windows NT Server 4.0, Microsoft Windows NT Server 4.0 Terminal Server Edition, Microsoft Windows 2000 Server, dan Microsoft Windows Server 2003. Masalah keamanan ini tidak mempengaruhi Microsoft Windows 2000 Professional, Microsoft Windows XP atau Microsoft Windows Millennium Edition.

Informasi lebih lanjut

Secara asali, WINS tidak diinstal pada Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server, atau Windows Server 2003. Secara asali, WINS diinstal dan dijalankan di Microsoft Small Business Server 2000 dan Microsoft Windows Small Business Server 2003. Secara default, di semua versi Microsoft Small Business Server WINS komponen komunikasi Port diblokir dari Internet, dan WINS tersedia hanya di jaringan lokal.

Masalah keamanan ini dapat memungkinkan seorang penyerang dari jauh membahayakan WINS server jika salah satu kondisi berikut benar:

• Anda telah mengubah konfigurasi default untuk menginstal peran server WINS pada Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server, atau Windows Server 2003.

• Anda menjalankan Microsoft Small Business Server 2000 atau Microsoft Windows Small Business Server 2003, dan penyerang memiliki akses ke jaringan lokal Anda.

Untuk membantu melindungi komputer Anda dari kerentanan kemungkinan ini, ikuti langkah-langkah berikut:

1. Blok TCP port 42 dan UDP port 42 pada firewall.
   
   
   Port ini digunakan untuk memulai sambungan dengan server WINS jarak jauh. Jika Anda memblokir Port ini di firewall, Anda membantu mencegah komputer yang ada firewall yang mencoba untuk menggunakan kerentanan ini. TCP port 42 dan UDP port 42 adalah WINS replikasi port default. Kami menyarankan memblokir semua komunikasi tidak diminta masuk dari Internet.

2. Gunakan keamanan protokol Internet (IPsec) untuk membantu melindungi lalu lintas antara WINS server replikasi mitra. Untuk melakukannya, gunakan salah satu dari opsi berikut ini.
   
   Hati-hati Karena setiap WINS infrastruktur unik, perubahan ini mungkin memiliki efek yang tak terduga pada infrastruktur Anda. Kami sangat menyarankan Anda untuk melakukan analisis risiko sebelum Anda memilih untuk menerapkan mitigasi ini. Kami juga menyarankan Anda melakukan pengujian selesai sebelum Anda menempatkan ini mitigasi ke produksi.
   

   • Opsi 1: Secara manual mengkonfigurasi filter IPSec
     Secara manual mengkonfigurasi filter IPSec, dan kemudian ikuti petunjuk di artikel Pangkalan Pengetahuan Microsoft berikut ini untuk menambahkan filter blok yang memblokir Semua paket dari alamat IP ke alamat IP sistem Anda:

     813878 cara memblokir Port dan protokol jaringan tertentu dengan menggunakan IPSec
     
     Jika Anda menggunakan IPSec di lingkungan domain direktori aktif Windows 2000 dan Anda menyebarkan kebijakan IPSec Anda dengan menggunakan kebijakan grup, kebijakan domain mengesampingkan kebijakan lokal tertentu. Kejadian ini mencegah opsi ini dari memblokir paket yang Anda inginkan.
     
     Untuk menentukan apakah server Anda akan menerima kebijakan IPSec dari domain Windows 2000 atau versi yang lebih baru, lihat bagian "Memastikan apakah kebijakan IPSec ditetapkan" di artikel Basis Pengetahuan 813878.
     
     Apabila Anda telah menentukan bahwa Anda dapat membuat kebijakan IPSec efektif lokal, download alat IPSeccmd.exe atau alat IPSecpol.exe.
     
     Perintah berikut ini memblokir akses masuk dan keluar ke TCP port 42 dan UDP port 42.
     
     Catatan Dalam perintah ini,IPSEC_Command% mengacu Ipsecpol.exe (pada Windows 2000) atau Ipseccmd.exe (di Windows Server 2003).

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound TCP Port 42 Rule" -f *=0:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound UDP Port 42 Rule" -f *=0:42:UDP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound TCP Port 42 Rule" -f 0=*:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound UDP Port 42 Rule" -f 0=*:42:UDP -n BLOCK 
     

     Perintah berikut membuat kebijakan IPSec efektif segera jika ada konflik kebijakan. Perintah ini akan mulai memblokir semua masuk/keluar TCP port 42 dan paket UDP port 42. Ini secara efektif mencegah WINS replikasi dari terjadi antara server yang perintah ini dijalankan pada dan mitra replikasi WINS apa pun.

     %IPSEC_Command% -w REG -p "Block WINS Replication" –x 

     Jika Anda mengalami masalah pada jaringan setelah mengaktifkan kebijakan IPSec, Anda dapat unassign kebijakan dan kemudian Hapus kebijakan dengan menggunakan perintah berikut ini:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -y 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -o 

     Untuk mengizinkan WINS replikasi fungsi antara khusus WINS replikasi mitra Anda harus mengganti aturan blok dengan memungkinkan aturan. Aturan Izinkan harus menentukan alamat IP Anda WINS replikasi mitra terpercaya saja.
     
     
     Anda dapat menggunakan perintah berikut ini untuk memperbarui kebijakan blok WINS replikasi IPSec untuk mengizinkan alamat IP tertentu untuk berkomunikasi dengan server yang menggunakan kebijakan replikasi blok WINS.
     
     Catatan Dalam perintah ini,IPSEC_Command% mengacu pada Ipsecpol.exe (pada Windows 2000) atau Ipseccmd.exe (di Windows Server 2003), danIP% merujuk ke alamat IP server WINS jarak jauh yang Anda inginkan untuk mereplikasi dengan.

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound TCP Port 42 from %IP% Rule" -f %IP%=0:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound UDP Port 42 from %IP% Rule" -f %IP%=0:42:UDP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound TCP Port 42 to %IP% Rule" -f 0=%IP%:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound UDP Port 42 to %IP% Rule" -f 0=%IP%:42:UDP -n PASS 
     

     Untuk menetapkan kebijakan segera, gunakan perintah berikut ini:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -x

   • Opsi 2: Menjalankan skrip untuk secara otomatis mengkonfigurasi filter IPSec
     Mengunduh dan menjalankan skrip WINS replikasi Pemblokir yang membuat kebijakan IPSec untuk memblokir Port. Untuk melakukannya, ikuti langkah-langkah berikut:
     

     1. Untuk men-download dan ekstrak berkas .exe, ikuti langkah-langkah berikut:
        

        1. Download WINS replikasi Pemblokir skrip.
           
           Berkas berikut tersedia untuk diunduh dari Pusat Unduhan Microsoft:
           
           Download paket script WINS replikasi Pemblokir sekarang.
           
           Tanggal rilis: 2 November 2004
           
           Untuk informasi tambahan tentang cara mengunduh berkas Microsoft Support, klik nomor artikel berikut ini untuk melihat artikel di Pangkalan Pengetahuan Microsoft:

           119591 cara mendapatkan berkas dukungan Microsoft dari layanan daring
           Microsoft telah memindai file ini dari virus. Microsoft menggunakan perangkat lunak pendeteksi virus terbaru telah tersedia pada tanggal berkas diposting. Berkas tersebut disimpan di server aman yang membantu mencegah segala perubahan tidak sah terhadap berkas.
           

           Jika Anda men-download script WINS replikasi Pemblokir untuk floppy disk, gunakan disk kosong yang telah diformat. Apabila Anda men-download script WINS replikasi Pemblokir ke hard disk Anda, Buat folder baru untuk sementara menyimpan berkas untuk mengekstrak berkas dari.
           
           
           Hati-hati Jangan mengunduh berkas secara langsung ke folder Windows Anda. Tindakan ini dapat menimpa berkas yang diperlukan untuk komputer Anda untuk beroperasi dengan benar.

        2. Cari berkas di folder yang Anda download, dan kemudian klik dua kali berkas .exe mandiri mengekstrak untuk mengekstrak konten ke folder sementara. Sebagai contoh, mengekstrak konten untuk C:\Temp.

     2. Buka prompt perintah, dan kemudian Pindahkan ke direktori di mana berkas diekstrak.

     3. Peringatan

        • Jika Anda menduga bahwa server WINS mungkin terinfeksi, tetapi Anda tidak yakin apa server WINS terganggu atau apakah Anda saat ini server WINS diretas, tidak memasukkan alamat IP di langkah 3. Namun, pada bulan November 2004, kami tidak mengetahui semua pelanggan yang telah dipengaruhi oleh masalah ini. Oleh karena itu, jika server yang berfungsi seperti yang diharapkan, Lanjutkan seperti yang dijelaskan.

        • Jika Anda salah mengatur IPsec, Anda mungkin mengalami masalah serius WINS replikasi di jaringan korporat Anda.

        Jalankan berkas Block_Wins_Replication.cmd. Untuk membuat TCP port 42 dan UDP port 42 blok masuk dan keluar aturan, ketik
        1 dan kemudian tekan ENTER untuk memilih opsi 1 ketika Anda diminta untuk memilih opsi yang Anda inginkan.

        Setelah Anda memilih opsi 1, skrip akan meminta Anda memasukkan alamat IP server replikasi WINS yang terpercaya.
        
        
        Setiap alamat IP yang Anda masukkan dibebaskan dari port TCP memblokir 42 dan port UDP 42 kebijakan. Anda diminta di sebuah loop, dan Anda dapat memasukkan alamat IP yang diperlukan. Jika Anda tidak tahu semua alamat IP WINS replikasi mitra, Anda dapat menjalankan skrip lagi di masa mendatang. Untuk mulai memasukkan alamat IP terpercaya WINS replikasi mitra, ketik 2 dan kemudian tekan ENTER untuk memilih opsi 2 saat Anda diminta untuk memilih opsi Anda inginkan.
        
        
        Setelah Anda menyebarkan pembaruan keamanan, Anda dapat menghapus kebijakan IPSec. Untuk melakukannya, jalankan skrip. Ketik 3 dan kemudian tekan ENTER untuk memilih opsi 3 saat Anda diminta untuk memilih opsi yang Anda inginkan.
        
        Untuk informasi tambahan tentang IPsec dan tentang bagaimana menerapkan filter, klik nomor artikel berikut ini untuk melihat artikel di Pangkalan Pengetahuan Microsoft:
        
        

        313190 bagaimana cara menggunakan daftar filter IPsec IP pada Windows 2000
        
        

3. Hapus WINS jika Anda tidak perlu.
   
   Jika Anda tidak lagi memerlukan WINS, ikuti langkah-langkah berikut untuk menghapusnya. Langkah-langkah ini berlaku untuk Windows 2000, Windows Server 2003 dan versi yang lebih baru dari sistem operasi tersebut. Untuk Windows NT Server 4.0, ikuti prosedur yang disertakan dalam dokumentasi produk.
   
   Penting Banyak organisasi memerlukan WINS untuk menjalankan satu label atau fungsi pendaftaran dan resolusi nama flat pada jaringan mereka. Administrator tidak boleh menghapus WINS kecuali jika salah satu dari kondisi berikut ini benar:
   

   • Administrator sepenuhnya memahami efek yang menghapus WINS ini akan memiliki pada jaringan mereka.

   • Administrator telah mengkonfigurasi DNS untuk menyediakan fungsionalitas yang sama dengan menggunakan nama domain yang memenuhi syarat dan sufiks domain DNS.

   Selain itu, jika administrator telah menghapus WINS fungsionalitas dari server yang akan tetap menyediakan sumber yang dipakai bersama pada jaringan, administrator harus benar mengkonfigurasi sistem untuk menggunakan layanan resolusi nama lainnya seperti DNS lokal jaringan.
   
   Untuk informasi selengkapnya tentang WINS, kunjungi situs Web Microsoft berikut ini:

   http://technet2.microsoft.com/WindowsServer/en/library/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e1033.mspx?mfr=trueUntuk informasi lebih lanjut tentang cara menentukan apakah Anda memerlukan resolusi nama NETBIOS atau WINS dan Konfigurasi DNS, kunjungi situs Web Microsoft berikut ini:

   http://technet2.microsoft.com/windowsserver/en/library/55F0DFC8-AFC9-4096-82F4-B8345EAA1DBD1033.mspxUntuk menghapus WINS, ikuti langkah-langkah berikut:
   

   1. Di Panel kontrol, buka Tambah atau Hapus Program.

   2. Klik Tambah/Hapus Komponen Windows.
      

   3. Pada halaman Wisaya komponen Windows, di bawah
      Komponen, klik Layanan jaringan, dan kemudian klik rincian.

   4. Klik untuk mengosongkan kotak centang Internet penamaan layanan Windows (WINS) untuk menghapus WINS.

   5. Ikuti petunjuk di layar untuk menyelesaikan Wisaya komponen Windows.

Kami sedang berupaya pembaruan untuk mengatasi masalah keamanan ini sebagai bagian dari proses pemutakhiran reguler kami. Ketika pembaruan yang telah mencapai tingkat yang sesuai untuk kualitas, kami akan memberikan pembaruan melalui Pemutakhiran Windows.


Jika Anda yakin bahwa Anda telah dipengaruhi, hubungi layanan dukungan produk.

Pelanggan internasional harus menghubungi layanan dukungan produk dengan menggunakan salah satu metode yang tercantum di situs Web Microsoft berikut:

http://support.microsoft.com