Azure 서비스용 인바운드 UDP를 사용하지 않도록 설정하는 방법

NTP의 monlist 서비스는 디버깅 정보의 쿼리를 실행할 수 있는 기능을 제공하며, 서비스 문제를 해결하기 위해서만 임시로 사용되어야 합니다. UDP 리플렉션 공격을 수행하는 데에도 사용될 수 있습니다. 4.2.8보다 이전의 NTPD(NTP 디먼) 패키지에서 이 서비스는 기본적으로 사용하도록 설정되어 있습니다.  사용자는 다음 지침을 따라야 합니다.

• monlist가 필요한 사용자는 NSG를  꼭 필요한 IP 주소에 대해서만 액세스를 허용하도록 구성해야 합니다.

• monlist가 필요하지 않고 4.2.8보다 이전의 Linux NTPD 패키지를 실행하는 사용자는 패키를 현재 버전으로 업데이트하고 monlist를 사용하고 있지 않는지 확인해야 합니다. 패키지를 새 버전으로 업데이트할 수 없는 사용자는 다음 수정 단계를 이용하여 서비스를 구성해야 합니다.

1. NTPD 패키지 버전을 확인합니다.

#sudo -i ntpq -c rv

1. NTPD 패키지 버전이 4.7p26보다 이전인 경우 다음 단계를 수행합니다.

#vi /etc/ntp.conf

1. 아직 존재하지 않는다면 다음 줄을 추가합니다.

restrict -4 default kod nomodify notrap nopeer noquery

restrict -6 default kod nomodify notrap nopeer noquery

1. NTP 서비스를 다시 시작합니다.

# service ntp restart [Debian/ Ubuntu]

# service ntpd restart [Redhat/ Centos]

인터넷에 개방된 DNS 재귀 확인자를 실행하면 사용자의 자체 서비스와 다른 사용자의 서비스에 UDP 공격을 유발할 수 있습니다. 사용자는 실제로 DNS 서비스가 실행 중인지 확인해야 합니다. 실행 중이 아니라면 포트 53에 대한 모든 액세스를 거부하거나, 해당 운영 체제 및 DNS 구현에 해당하는 지침에 따라 DNS 서비스를 제거해야 합니다.

권한 이름을 확인하기 위해 DNS 서비스를 실행할 필요는 없지만 DNS 재귀가 필요하지 않은 사용자는 해당 운영 체제 및 DNS 구현에 해당하는 지침(본 문서의 후반부에 명시)에 따라 이 기능을 사용하지 않도록 설정해야 합니다. 또한, Microsoft는 어떤 경우이든 NSG에서 포트 53에 액세스할 때 최소 권한으로 서비스를 작동하는 데 필요한 특정 IP 집합으로 제한할 것을 강력히 권장합니다.

Windows: Windows Server 2012, 2016의 DNS 서버에서 DNS 재귀 확인자를 사용하지 않음

1. DNS 관리자를 엽니다(시작을 선택하고 관리 도구를 가리킨 후 DNS를 선택).

2. 콘솔 트리에서 해당 DNS 서버를 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.

3. 고급 탭을 선택합니다.

4. 서버 옵션에서 재귀 사용 안 함 확인란이 선택되어 있는지 확인합니다.

5. DNS 서비스를 다시 시작합니다(서비스 제어판에서).

Linux: Bind 서버에서 DNS 재귀 사용 안 함

1. 루트 자격 증명을 사용하여 SSH(Secure Shell)를 통해 서버에 연결합니다.

2. 서버에 연결한 후 named.conf 파일에서 DNS 재귀를 확인하고 설정을 조사합니다.
   

   cat /etc/named.conf | grep "recursion"

3. 아무 텍스트 편집기를 사용하여 named.conf 파일을 열고 다음 명령으로 재귀 설정을 확인합니다.
   

   #vi /etc/named.conf

4. 확장 DNS 재귀의 설정만 변경하고, 이름이 “external”인 섹션을 찾습니다. 섹션이 없다면 다른 줄을 named.conf 파일에 추가하여 확장 DNS 재귀를 사용하지 않도록 설정할 수 있습니다. “옵션” 섹션에 다른 줄을 삽입합니다.
   

   allow-transfer {"none";};

   allow-recursion {"none";};

   recursion no;

   이미 외부 섹션이 있다면 필요에 따라 재귀 값을 예 또는 아니요로 변경하여 설정을 변경할 수 있습니다.

5. 변경한 후 파일을 저장합니다.

6. 변경 내용이 적용되도록 DNS 서버를 다시 시작합니다. 다음 명령을 실행하여 DNS 서버를 다시 시작합니다.
   

   service named restart

   참고: 다른 자체 DNS 서버를 사용하고 있다면 해당 제품 설명서를 참조하여 DNS 재귀 설정을 사용하지 않도록 설정합니다.

사용자는 이 섹션의 다름 지침에 따라 고위험 인바운드 UDP 포트를 닫아야 합니다. Microsoft는 모든 UDP 포트에서 인터넷 인바운드 연결을 닫는 것을 권장합니다.

특정 UDP 포트를 인터넷에 개방해야 하는 사용자는 해당 포트만 열고, 꼭 필요한 IP 범위로 인바운드 액세스를 제한해야 합니다(즉, UDP 포트를 인터넷 전체에 노출하지 않음).

UDP 포트를 닫기 위해 사용자는 다음 조치 중 하나 또는 둘 다를 수행할 수 있습니다.

• 인바운드 UDP를 사용하지 않도록 ARM 템플릿을 업데이트합니다. 이렇게 하려면 NSG 템플릿을 다시 배포해야 합니다. 하지만, 이 템플릿을 사용하는 향후의 배포에 정확한 보안 설정이 있는지 확인합니다.

• NSG 규칙을 업데이트하여 네트워크 액세스를 제한합니다.  Azure Portal, Azure Powershell, Azure CLI를 참조합니다.

리소스: NSG에 관한 정보 , NSG(네트워크 보안 그룹) 관리

1. Nmap를 설치합니다.

2. 스캔을 실행하기 위해 아웃바운드 UDP 트래픽을 허용하도록 방화벽 설정을 확인합니다.

3. 스캔 방법에 관한 이 섹션의 Nmap 지침에 따릅니다. 사용자는 Zenmap GUI를 사용할 수도 있습니다(Windows Nmap가 설치된 경우 아이콘이 바탕 화면에 설치되어 있음).

   1. 특정 포트(예:  Port 69)를 스캔하기 위해 IP 주소 목록이 있는 .csv 파일을 만듭니다.

   2. Nmap 명령을 실행합니다. 이 옵션을 포함할 수 있습니다. -sUV (UDP ports) -T4 -p {스캔할 포트} -Pn {모든 포트를 온라인으로 취급} -iL {입력 목록} -oL {출력 목록} 및 (백그라운드에서 실행하는 선택적 플래그):
      
      nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &
      

   3. 리플렉션 공격에 주로 사용되는 포트를 확인합니다.
      
      nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   4. 열린 포트를 식별하기 위해 결과를 검토합니다.

1. 패키지 관리자를 통해 또는 https://nmap.org/download.html에서 Nmap를 설치합니다.

Ubuntu / Debian :

sudo apt-get update
sudo apt-get install nmap

Redhat / CentOS:

yum update
yum install nmap [Redhat/ Centos]

1. 다음 Nmap 명령을 사용하여 알려진 UDP 포트를 확인합니다.

   1. 특정 포트(예: Port 69)를 스캔하기 위해 IP 주소 목록이 있는 .csv 파일을 만듭니다.

   2. pscp 명령을 사용하여 .csv 파일을 Linux VM에 업로드합니다.
      
      pscp filename.csv admin@remotehost:filename.csv

   3. 옵션 -sUV (UDP ports) -T4 -p {스캔할 포트} -Pn {모든 포트를 온라인으로 취급} -iL {입력 목록} -oL {출력 목록}을 포함한 sudo nmap 명령 실행 및 (백그라운드에서 실행하는 선택적 플래그):
      
      sudo nmap -sUV -T4 -Pn -p 69 -iL filename.csv -oX filename.xml &

   4. 리플렉션 공격에 주로 사용되는 포트를 확인합니다.
      
      sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 -iL filename.csv -oX filename.xml &

   5. 프로세스가 완료되면 pscp 명령을 사용하여 파일을 다운로드합니다.

   6. 열린 포트를 식별하기 위해 결과를 검토합니다.
      

모든 포트를 닫고 명령줄에서 Windows 스캔을 실행합니다.

참고 이것은 Nmap UDP 스캔이기 때문에 "open|filtered"가 "닫힘"으로 해석될 수 있습니다.

다음 명령이 Windows 스캔을 실행합니다.

C:\Users\user\DeskTop>nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 23.36.53.224

DNS를 열고 1.1.1.1에 대해 Linux 스캔을 실행합니다. DNS 포트 53에서 해당 포트가 닫혀 있다고 표시할 수 있기 때문에 "open|filtered"를 표시하지 않습니다. 하지만, 다른 포트는 "open|filtered"로 표시됩니다. 이것은 닫혀 있다는 것을 나타냅니다.

다음 명령이 Linux 스캔을 실행합니다.

testuser@testUbuntu:~$ sudo nmap -sUV -T4 -Pn -p17,19,53,69,111,123,137,161,389,1900,5353,11211 1.1.1.1

열린 DNS 재귀 확인자를 스캔하는 방법:

nmap -sUV -Pn -T4 -p 53 --script=dns-recursion -iL <input_file> -oX <output_file>

단일 IP 주소의 경우:

nmap –sU –p53 –script=dns-recursion <Public IP address>

4. 2.8보다 이전의 NTPD 패키지 버전은  monlist 명령을 통해 UDP 리플렉션 공격에 취약합니다. “restrict noquery”가 구성된 경우 monlist 리플렉션 공격이 성공하지 못합니다.

취약성을 식별하는 Nmap 스크립트:

nmap -sUV -Pn -T4 -p 123 --script= ntp-monlist -iL <input_file> -oX <output_file>

단일 IP 주소의 경우:

nmap -sU -pU:123 -Pn -n --script=ntp-monlist <Public IP address>

nmap -sU -p389 -v -n -Pn <Public IP address>

공개적으로 노출된 LDAP 정보 표시:

nmap -p 389 --script ldap-rootdse <Public IP address>

권장하는 구성이 아닙니다. 그러나, 사용자에 독립된 서비스가 있다면 다음 지침에 따라 서명을 사용하여 보안을 강화해야 합니다.

• https://support.microsoft.com/ko-kr/help/935834/how-to-enable-ldap-signing-in-windows-server

• ​https://portal.msrc.microsoft.com/ko-kr/security-guidance/advisory/ADV190023

사용자는 Azure VM의 시간 동기화를 구성하는 방법에 관한 다음 문서를 참조할 수 있습니다. 사용자가 Linux 또는 Windows NTPD의 취약한 패키지를 사용할 경우 현재 버전으로 업데이트해야 합니다.

• https://docs.microsoft.com/ko-kr/azure/virtual-machines/windows/time-sync#opt-in-for-host-only-time-sync

• https://docs.microsoft.com/ko-kr/azure/virtual-machines/linux/time-sync

Network Watcher를 사용하여 문제를 해결하는 방법 배우기: https://docs.microsoft.com/ko-kr/azure/network-watcher/network-watcher-connectivity-overview

아니요. 이것은 UDP 서비스용 표준 포트입니다. 하지만, 서비스가 다른 포트 번호에서 수신하거나, 서버가 다른 소스 포트에서 포팅하는 부하 분산 장치 뒤에 존재할 수 있습니다.

UDP 증폭 참조: https://www.us-cert.gov/ncas/alerts/TA14-017A