Azure サービスの受信 UDP を無効にする方法

NTP の monlist サービスにはデバッグ情報のクエリを実行する機能がありますが、サービスの問題をデバッグする場合に、一時的にのみ有効にすることをお勧めします。 また、UDP リフレクション攻撃を仕掛けるために使用される可能性があります。 4.2.8 より前の NTP デーモン (NTPD) パッケージでは、このサービスは既定で有効です。  次のガイダンスに従うことをお勧めします。 

• monlist が必要なユーザーは、必要な IP アドレスのみへのアクセスを許可するように NSG を構成することをお勧めします。

• monlist を必要とせず、バージョン 4.2.8 より前の Linux NTPD パッケージを実行しているユーザーは、パッケージを最新のバージョンに更新し、monlist が有効ではないことを確認します。  パッケージを新しいバージョンに更新できない場合は、次の改善手順を実行してサービスを構成する必要があります。

1. NTPD パッケージのバージョンを確認します。

#sudo -i ntpq -c rv

1. NTPD パッケージのバージョンが 4.7p26 よりも前の場合は、次の手順を実行します。

#vi /etc/ntp.conf

1. 次の行が存在しない場合は追加します。

restrict -4 default kod nomodify notrap nopeer noquery

restrict -6 default kod nomodify notrap nopeer noquery

1. NTP サービスを再起動します。

# service ntp restart [Debian/ Ubuntu]

# service ntpd restart [Redhat/ Centos]

インターネットに開かれた DNS 再帰リゾルバーを実行すると、お客様自身のサービスと他のユーザーのサービスに対して UDP 攻撃が発生する可能性があります。 実際に DNS サービスを実行する必要があるかどうかを評価することをお勧めします。 評価しない場合は、ポート 53 に対するすべてのアクセスを拒否するか、オペレーティング システムと DNS 実装に固有の手順に従って DNS サービスをアンインストールすることをお勧めします。   

正式な名前解決機能を提供するために DNS サービスを実行する必要があり、DNS 再帰は必要ではない場合は、(この資料で後述するように) オペレーティング システムと DNS 実装に固有の手順に従って、この機能を無効にする必要があります。 さらに、どのような場合でも、NSG のポート 53 に対するアクセスを、サービスの運用に必要な特定の IP アドレス セットに制限し、最小限の特権を持たせることを強くお勧めします。  

Windows: Windows Server 2012、2016 用の DNS サーバーで DNS 再帰リゾルバー設定を無効にする

1. DNS マネージャーを開きます ([スタート] を選択し、[管理ツール] をポイントして [DNS] を選択します)。

2. コンソール ツリーで目的の DNS サーバーを右クリックし、[プロパティ] をクリックします。

3. [詳細設定] タブを選択します。

4. [サーバー オプション] で、[再帰を無効にする] チェック ボックスがオンであることを確認します。

5. ([サービス] コントロール パネルから) DNS サービスを再起動します。

Linux: バインド サーバーで DNS 再帰を無効にする

1. ルート資格情報を使用して、SSH (Secure Shell) 経由でサーバーに接続します。

2. サーバーに接続した後、named.conf ファイルに DNS 再帰がないか確認し、設定を調査します。
   

   cat /etc/named.conf | grep "recursion"

3. 任意のテキスト エディターを使用して named.conf ファイルを開き、次のコマンドを使用して再帰の設定を確認します。 
   

   #vi /etc/named.conf

4. 外部 DNS 再帰のみの設定を変更し、“external” という名前のセクションを見つけます。セクションを使用できない場合は、次の行を named.conf ファイルに追加して、外部 DNS 再帰を無効にすることができます。  “options” セクションに次の行を追加します。 
   

   allow-transfer {"none";};

   allow-recursion {"none";};

   recursion no;

   既に外部セクションがある場合は、必要に応じて recursion 値を yes または no に変更することで設定を変更できます。  

5. 変更を構成したら、ファイルを保存します。

6. DNS サーバーを再起動して変更を有効にします。 次のコマンドを実行して、DNS サービスを再起動します。
   

   service named restart

   注: 他の独自の DNS サーバーを使用している場合は、各製品のドキュメントを参照して、DNS 再帰設定を無効にしてください。

このセクションのガイダンスに従って、危険性の高い受信 UDP ポートを閉じることをお勧めします。  すべての UDP ポートでインターネットからの受信接続を閉じることをお勧めします。

インターネットへの特定の UDP ポートを開く必要がある場合は、そのポートのみを開き、受信アクセスを厳密に必要な IP 範囲のみに制限するようにします (つまり、インターネット全体に UDP ポートを公開しないでください)。 

UDP ポートを閉じるには、次のいずれかまたは両方のアクションを実行します。

• ARM テンプレートを更新して、受信 UDP を無効にします。 これには、NSG テンプレートの再デプロイが必要です。  ただし、このテンプレートを使用する今後のデプロイでは、正しいセキュリティ設定が確実に行われるようになります。

• ネットワーク アクセスを制限するように NSG 規則を更新します。 Azure portal、Azure Powershell、Azure CLI の資料を参照してください。

リソース: NSG に関する情報、ネットワーク セキュリティ グループ (NSG) の管理

1. Nmap をインストールします。

2. 送信 UDP トラフィックによるスキャンの実行がファイアウォール設定で許可されていることを確認します。

3. スキャンの実行方法については、このセクションの Nmap の手順に従ってください。  また、Zenmap GUI を使用することもできます (Windows Nmap のインストール時にアイコンがデスクトップにインストールされます)。

   1. 特定のポート (ポート 69 など) をスキャンする IP アドレス リストを含む .csv ファイルを作成します。

   2. Nmap コマンドを実行します。   次のオプションを含めることができます。   -sUV (UDP ポート) -T4 -p {スキャンするポート} -Pn {すべてのホストをオンラインとして扱う} -iL {入力リスト} -oL {出力リスト} および (バックグラウンドで実行する省略可能なフラグ):
      
      nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &
      

   3. リフレクション攻撃で最もよく使用されるポートを確認します。
      
      nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   4. 結果を確認し、開いているポートを特定します。

1. パッケージ マネージャーまたは https://nmap.org/download.html から Nmap をインストールします。

Ubuntu / Debian:

sudo apt-get update
sudo apt-get install nmap

Redhat / CentOS:

yum update
yum install nmap [Redhat/ Centos]

1. 次の Nmap コマンドを使用して、既知の UDP ポートを確認します。

   1. 特定のポート (ポート 69 など) をスキャンする IP アドレス リストを含む .csv ファイルを作成します。

   2. pscp コマンドを使用して、.csv ファイルを Linux VM にアップロードします。
      
      pscp filename.csv admin@remotehost:filename.csv

   3. -sUV (UDP ポート) -T4 -p {スキャンするポート} -Pn {すべてのホストをオンラインとして扱う} -iL {入力リスト} -oL {出力リスト} および (バックグラウンドで実行する省略可能なフラグ) オプションを使用して sudo nmap コマンドを実行します。 
      
      sudo nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &

   4. リフレクション攻撃で最もよく使用されるポートを確認します。
      
      sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   5. プロセスが完了したら、pscp コマンドを使用してファイルをダウンロードします。

   6. 結果を確認し、開いているポートを特定します。
      

すべてのポートを閉じて、コマンド ラインから Windows スキャンを実行します。

注: これは Nmap UDP スキャンであるため、"open|filtered" は "closed" と解釈できます。 

次のコマンドを実行すると、Windows スキャンが実行されます。 

C:\Users\user\DeskTop>nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 23.36.53.224

DNS を開いて、1.1.1.1 の Linux スキャンを実行します。 "open|filtered" はポートが閉じていることを示すため、DNS ポート 53 には表示されません。 ただし、他のポートには "open|filtered" と表示されます。 これは、それらのポートが閉じていることを示します。

次のコマンドを実行すると、Linux スキャンが実行されます。

testuser@testUbuntu:~$ sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 1.1.1.1

開いている DNS 再帰リゾルバーをスキャンするには:

nmap -sUV -Pn -T4 -p 53 --script=dns-recursion -iL <input_file> -oX <output_file>

1 つの IP アドレスの場合:

nmap –sU –p53 –script=dns-recursion <Public IP address>

 4.2.8   より前の NTPD パッケージ バージョンは、monlist コマンドを介した UDP リフレクション攻撃に対して脆弱です。 “restrict noquery” が構成されている場合、monlist リフレクション攻撃は機能しません。

脆弱性を特定する Nmap スクリプト:

nmap -sUV -Pn -T4 -p 123 --script= ntp-monlist -iL <input_file> -oX <output_file>

1 つの IP アドレスの場合:

nmap -sU -pU:123 -Pn -n --script=ntp-monlist <Public IP address>

nmap -sU -p389 -v -n -Pn <Public IP address>

公開されている LDAP 情報の表示:

nmap -p 389 --script ldap-rootdse <Public IP address>

これは推奨される構成ではありません。 ただし、依存するサービスがある場合は、次のガイダンスに従い、署名を使用してセキュリティを強化する必要があります。

• https://support.microsoft.com/ja-jp/help/935834/how-to-enable-ldap-signing-in-windows-server

• ​https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV190023

Azure VM 用に時刻同期を構成する方法については、以下のドキュメントを参照してください。 Linux または Windows NTPD の脆弱なパッケージを使用している場合は、最新のバージョンに更新することをお勧めします。 

• https://docs.microsoft.com/ja-jp/azure/virtual-machines/windows/time-sync#opt-in-for-host-only-time-sync

• https://docs.microsoft.com/ja-jp/azure/virtual-machines/linux/time-sync

Azure Network Watcher を使用してトラブルシューティングする方法については、https://docs.microsoft.com/ja-jp/azure/network-watcher/network-watcher-connectivity-overview を参照してください。 

いいえ。これらは、UDP サービスの標準のポートです。 ただし、サービスが別のポート番号をリッスンしているか、別のソース ポートからポート転送するロード バランサーの背後にサーバーが存在している可能性があります。

UDP 増幅に関する資料 https://www.us-cert.gov/ncas/alerts/TA14-017A (英語情報) を参照してください。