WINS güvenlik sorununa karşı korunmaya yardımcı olun

GİRİŞ

Microsoft Windows İnternet Ad Hizmeti (WINS) ile ilgili bir güvenlik sorununa ilişkin raporları araştırıyoruz. Bu güvenlik sorunu Microsoft Windows NT Server 4.0, Microsoft Windows NT Server 4.0 Terminal Server Edition, Microsoft Windows 2000 Server ve Microsoft Windows Server 2003'i etkiler. Bu güvenlik sorunu Microsoft Windows 2000 Professional, Microsoft Windows XP veya Microsoft Windows Millennium Edition'ı etkilemez.

Daha Fazla Bilgi

Varsayılan olarak, WINS Windows NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server veya Windows Server 2003'te yüklü değildir. Varsayılan olarak, WINS Microsoft Small Business Server 2000 ve Microsoft Windows Small Business Server 2003'te yüklenir ve çalışır. Varsayılan olarak, Microsoft Small Business Server'ın tüm sürümlerinde WINS bileşeni iletişim bağlantı noktaları İnternet'ten engellenir ve WINS yalnızca yerel ağda kullanılabilir.

Bu güvenlik sorunu, aşağıdaki koşullardan biri doğruysa bir saldırganın WINS sunucusunun güvenliğini uzaktan aşmasını mümkün hale getirir:

• WINDOWS NT Server 4.0, Windows NT Server 4.0 Terminal Server Edition, Windows 2000 Server veya Windows Server 2003'e WINS sunucusu rolünü yüklemek için varsayılan yapılandırmayı değiştirdiniz.

• Microsoft Small Business Server 2000 veya Microsoft Windows Small Business Server 2003 kullanıyorsunuz ve bir saldırganın yerel ağınıza erişimi var.

Bilgisayarınızın bu olası güvenlik açığına karşı korunmasına yardımcı olmak için şu adımları izleyin:

1. Güvenlik duvarında TCP bağlantı noktası 42 ve UDP bağlantı noktası 42'yi engelleyin.
   
   
   Bu bağlantı noktaları, uzak bir WINS sunucusuyla bağlantı başlatmak için kullanılır. Güvenlik duvarında bu bağlantı noktalarını engellerseniz, güvenlik duvarının arkasındaki bilgisayarların bu güvenlik açığını kullanmayı denemesini önlemeye yardımcı olursunuz. TCP bağlantı noktası 42 ve UDP bağlantı noktası 42 varsayılan WINS çoğaltma bağlantı noktalarıdır. İnternet'ten gelen tüm istenmeyen iletişimi engellemenizi öneririz.

2. WINS sunucusu çoğaltma iş ortakları arasındaki trafiği korumaya yardımcı olması için İnternet Protokolü güvenliğini (IPsec) kullanın. Bunu yapmak için aşağıdaki seçeneklerden birini kullanın.
   
   Dikkat Her WINS altyapısı benzersiz olduğundan, bu değişikliklerin altyapınız üzerinde beklenmeyen etkileri olabilir. Bu risk azaltmayı uygulamayı seçmeden önce bir risk analizi gerçekleştirmenizi kesinlikle öneririz. Ayrıca, bu azaltmayı üretime geçirmeden önce tam test gerçekleştirmenizi kesinlikle öneririz.
   

   • Seçenek 1: IPSec filtrelerini el ile yapılandırma IPSec filtrelerini
     el ile yapılandırın ve ardından aşağıdaki Microsoft Bilgi Bankası makalesindeki yönergeleri izleyerek sisteminizin IP adresine herhangi bir IP adresinden gelen tüm paketleri engelleyen bir engelleme filtresi ekleyin:

     813878 IPSec
     
     kullanarak belirli ağ protokollerini ve bağlantı noktalarını engelleme Windows 2000 Active Directory etki alanı ortamınızda IPSec kullanıyorsanız ve IPSec ilkenizi grup ilkesi kullanarak dağıtıyorsanız, etki alanı ilkesi yerel olarak tanımlanan tüm ilkeleri geçersiz kılar. Bu durum, bu seçeneğin istediğiniz paketleri engellemesini engeller.
     
     Sunucularınızın Bir Windows 2000 etki alanından mı yoksa daha sonraki bir sürümden mi IPSec ilkesi aldığını belirlemek için Bilgi Bankası makalesindeki "IPSec ilkesinin atanıp atanmadığını belirleme" bölümüne bakın 813878.
     
     Etkili bir yerel IPSec ilkesi oluşturabileceğinizi belirlediyseniz, IPSeccmd.exe aracını veya IPSecpol.exe aracını indirin.
     
     Aşağıdaki komutlar 42 numaralı TCP bağlantı noktasına ve UDP bağlantı noktası 42'ye gelen ve giden erişimi engeller.
     
     Not Bu komutlarda %IPSEC_Command%, Ipsecpol.exe (Windows 2000'de) veya Ipseccmd.exe (Windows Server 2003'te) anlamına gelir.

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound TCP Port 42 Rule" -f *=0:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Inbound UDP Port 42 Rule" -f *=0:42:UDP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound TCP Port 42 Rule" -f 0=*:42:TCP -n BLOCK 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Block All Outbound UDP Port 42 Rule" -f 0=*:42:UDP -n BLOCK 
     

     Aşağıdaki komut, çakışan bir ilke yoksa IPSec ilkesini hemen etkili hale getirir. Bu komut tüm gelen/giden TCP bağlantı noktası 42 ve UDP bağlantı noktası 42 paketlerini engellemeye başlar. Bu, bu komutların çalıştırıldığı sunucu ile tüm WINS çoğaltma iş ortakları arasında WINS çoğaltmasının gerçekleşmesini etkili bir şekilde engeller.

     %IPSEC_Command% -w REG -p "Block WINS Replication" –x 

     Bu IPSec ilkesini etkinleştirdikten sonra ağda sorunlarla karşılaşırsanız, aşağıdaki komutları kullanarak ilkenin atamasını kaldırıp ilkeyi silebilirsiniz:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -y 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -o 

     WINS çoğaltmanın belirli WINS çoğaltma iş ortakları arasında çalışmasına izin vermek için bu engelleme kurallarını izin verme kurallarıyla geçersiz kılmanız gerekir. İzin verme kuralları yalnızca güvenilen WINS çoğaltma iş ortaklarınızın IP adreslerini belirtmelidir.
     
     
     Wins Çoğaltmasını Engelle IPSec ilkesini, belirli IP adreslerinin WINS Çoğaltmasını Engelle ilkesini kullanan sunucuyla iletişim kurmasına izin verecek şekilde güncelleştirmek için aşağıdaki komutları kullanabilirsiniz.
     
     Not Bu komutlarda %IPSEC_Command%, Ipsecpol.exe (Windows 2000'de) veya Ipseccmd.exe (Windows Server 2003'te) ve %IP% ise çoğaltmak istediğiniz uzak WINS sunucusunun IP adresine başvurur.

     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound TCP Port 42 from %IP% Rule" -f %IP%=0:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Inbound UDP Port 42 from %IP% Rule" -f %IP%=0:42:UDP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound TCP Port 42 to %IP% Rule" -f 0=%IP%:42:TCP -n PASS 
     %IPSEC_Command% -w REG -p "Block WINS Replication" -r "Allow Outbound UDP Port 42 to %IP% Rule" -f 0=%IP%:42:UDP -n PASS 
     

     İlkeyi hemen atamak için aşağıdaki komutu kullanın:

     %IPSEC_Command% -w REG -p "Block WINS Replication" -x

   • Seçenek 2: IPSec filtrelerini
     otomatik olarak yapılandırmak için bir betik çalıştırın bağlantı noktalarını engellemek için bir IPSec ilkesi oluşturan WINS Çoğaltma Engelleyicisi betiğini indirin ve çalıştırın. Bunu yapmak için şu adımları izleyin:
     

     1. .exe dosyalarını indirmek ve ayıklamak için şu adımları izleyin:
        

        1. WINS Çoğaltma Engelleyicisi betiğini indirin.
           
           Aşağıdaki dosya Microsoft İndirme Merkezi'nden indirilebilir:
           
           WINS Çoğaltma Engelleyicisi betik paketini şimdi indirin.
           
           Sürüm Tarihi: 2 Aralık 2004
           
           Microsoft Desteği dosyalarını indirme hakkında ek bilgi için, Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere aşağıdaki makale numarasını tıklatın:

           119591 Microsoft'un bu dosyayı virüs taramasına çevrimiçi hizmetler
           Microsoft destek dosyalarını edinme. Microsoft, dosyanın yayımlandığı tarihte kullanılabilen en güncel virüs algılama yazılımını kullandı. Dosya, dosyada yapılan yetkisiz değişiklikleri önlemeye yardımcı olan, güvenliği iyileştirilmiş sunucularda depolanır.
           

           WINS Çoğaltma Engelleyicisi betiğini bir diskete indiriyorsanız, biçimlendirilmiş boş bir disk kullanın. WINS Çoğaltma Engelleyicisi betiğini sabit diskinize indiriyorsanız, dosyayı geçici olarak kaydetmek ve dosyasından ayıklamak için yeni bir klasör oluşturun.
           
           
           Dikkat Dosyaları doğrudan Windows klasörünüze indirmeyin. Bu eylem, bilgisayarınızın düzgün çalışması için gereken dosyaların üzerine yazabilir.

        2. dosyayı indirdiğiniz klasörde bulun ve sonra içeriği geçici bir klasöre ayıklamak için kendi kendine ayıklanan .exe dosyasına çift tıklayın. Örneğin, içeriği C:\Temp olarak ayıklayın.

     2. Bir komut istemi açın ve dosyaların ayıklandığı dizine gidin.

     3. Uyarı

        • WINS sunucularınıza virüs bulaşmış olduğundan şüpheleniyorsanız, ancak hangi WINS sunucularının gizliliğinin aşıldığından veya geçerli WINS sunucunuzun gizliliğinin tehlikeye girip girmediğinden emin değilseniz, 3. adıma hiçbir IP adresi girmeyin. Ancak, Kasım 2004 itibariyle bu sorundan etkilenen hiçbir müşteriden haberdar değiliz. Bu nedenle, sunucularınız beklendiği gibi çalışıyorsa, açıklandığı gibi devam edin.

        • IPsec'i yanlış ayarladıysanız, şirket ağınızda ciddi WINS çoğaltma sorunlarına neden olabilirsiniz.

        Block_Wins_Replication.cmd dosyasını çalıştırın. TCP bağlantı noktası 42 ve UDP bağlantı noktası 42 gelen ve giden blok kurallarını oluşturmak için, 1 yazın
        ve istediğiniz seçeneği belirlemeniz istendiğinde 1 seçeneğini seçmek için ENTER tuşuna basın.

        1. seçeneği belirledikten sonra betik, güvenilen WINS çoğaltma sunucularının IP adreslerini girmenizi ister.
        
        
        Girdiğiniz her IP adresi, engelleyen TCP bağlantı noktası 42 ve UDP bağlantı noktası 42 ilkesinden muaf tutulur. Bir döngüde istenir ve gerektiğinde çok sayıda IP adresi girebilirsiniz. WINS çoğaltma iş ortaklarının tüm IP adreslerini bilmiyorsanız, betiği gelecekte yeniden çalıştırabilirsiniz. Güvenilen WINS çoğaltma iş ortaklarının IP adreslerini girmeye başlamak için 2 yazın ve istediğiniz seçeneği belirlemeniz istendiğinde 2. seçeneği seçmek için ENTER tuşuna basın.
        
        
        Güvenlik güncelleştirmesini dağıttığınızda IPSec ilkesini kaldırabilirsiniz. Bunu yapmak için betiği çalıştırın. İstediğiniz seçeneği belirlemeniz istendiğinde 3 seçeneğini seçmek için 3 yazın ve ENTER tuşuna basın.
        
        IPsec ve filtreleri uygulama hakkında ek bilgi için, Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere aşağıdaki makale numarasını tıklatın:
        
        

        313190 Windows 2000'de IPsec IP filtre listelerini kullanma
        
        

3. İhtiyacınız yoksa WINS'i kaldırın.
   
   ARTıK WINS'e ihtiyacınız yoksa, kaldırmak için bu adımları izleyin. Bu adımlar, bu işletim sistemlerinin Windows 2000, Windows Server 2003 ve sonraki sürümleri için geçerlidir. Windows NT Server 4.0 için, ürün belgelerinde yer alan yordamı izleyin.
   
   Önemli Birçok kuruluş, ağlarında tek etiket veya düz ad kaydı ve çözümleme işlevleri gerçekleştirmek için WINS gerektirir. Yöneticiler, aşağıdaki koşullardan biri doğru olmadığı sürece WINS'i kaldırmamalıdır:
   

   • Yönetici, WINS'i kaldırmanın kendi ağı üzerindeki etkisini tam olarak anlar.

   • Yönetici, DNS'yi tam etki alanı adlarını ve DNS etki alanı soneklerini kullanarak eşdeğer işlevselliği sağlayacak şekilde yapılandırdı.

   Ayrıca, bir yönetici ağdaki paylaşılan kaynakları sağlamaya devam edecek bir sunucudan WINS işlevselliğini kaldırıyorsa, yöneticinin sistemi yerel ağda DNS gibi kalan ad çözümleme hizmetlerini kullanacak şekilde doğru şekilde yeniden yapılandırması gerekir.
   
   WINS hakkında daha fazla bilgi için aşağıdaki Microsoft Web sitesini ziyaret edin:

   http://technet2.microsoft.com/WindowsServer/en/library/2e0186ba-1a09-42b5-81c8-3ecca4ddde5e1033.mspx?mfr=true NETBIOS veya WINS ad çözümlemesine ve DNS yapılandırmasına ihtiyacınız olup olmadığını belirleme hakkında daha fazla bilgi için aşağıdaki Microsoft Web sitesini ziyaret edin:

   http://technet2.microsoft.com/windowsserver/en/library/55F0DFC8-AFC9-4096-82F4-B8345EAA1DBD1033.mspxWINS'i kaldırmak için şu adımları izleyin:
   

   1. Denetim Masası'da Program Ekle veya Kaldır'ı açın.

   2. Windows Bileşenleri Ekle/Kaldır'a tıklayın.
      

   3. Windows Bileşenleri Sihirbazı sayfasındakiBileşenler'in altında
      Ağ Hizmetleri'ne ve ardından Ayrıntılar'a tıklayın.

   4. WINS'yi kaldırmak için Windows Internet Adlandırma Hizmeti (WINS) onay kutusunu temizlemek için tıklatın.

   5. Windows Bileşenleri Sihirbazı'nı tamamlamak için ekrandaki yönergeleri izleyin.

Düzenli güncelleştirme sürecimizin bir parçası olarak bu güvenlik sorununu gidermek için bir güncelleştirme üzerinde çalışıyoruz. Güncelleştirme uygun bir kalite düzeyine ulaştığında, güncelleştirmeyi Windows Update aracılığıyla sağlayacağız.


Etkilendiğinize inanıyorsanız Ürün Destek Hizmetleri'ne başvurun.

Uluslararası müşteriler, aşağıdaki Microsoft Web sitesinde listelenen herhangi bir yöntemi kullanarak Ürün Destek Hizmetleri'ne başvurmalıdır:

http://support.microsoft.com