24-08-05 09:33
Kako zaštiti mrežu od širenja crva Zotob
piše VEDRAN TURKALJ
Cisco je prije nekoliko dana bio ponukan izdati sigurnosnu obavijest u vezi Microsoft ranjivosti vezane uz crva ZOTOB odnosno neku od njegovih varijanti, iako ranjivost nije strogo vezana uz Cisco, a sve kako bi se što više smanjilo širenje zaraze novim crvom. Kao što je poznato, crv se širi preko dobro poznatog TCP porta 445 – ovaj su port za svoje širenje svojedobno koristili i crvi Sasser i Korgo. Port TCP/445 je već duže vrijeme zabranjen na CARNet-ovim modemskim ulazima, vezi prema Geant mreži i CIX-u. Opasnost od ovog crva je kod Microsofta označena kao kritična, jer na zaraženom računalu otvara backdoor i omogućava napadaču kontrolu nad računalom.
Cisco je izvijestio da novi crvi povećavaju promet na portu 445 i još nekim portovima, ovisno o varijanti crva. Simptomi su najčešće povećano opterećenje procesora i odbacivanje paketa na ulaznim sučeljima usmjerivača. Svakako je potrebno zakrpati MS Windows računala na kojima su pokrenuti Cisco softverski proizvodi (kao što su CiscoWorks i sl.), a i manji broj samih Ciscovih programa (od kojih je najpoznatiji CallManager).
NIJE potrebno nadograđivati usmjerivače i ostale mrežne uređaje - za njih su izdane neke preporuke za ublažavanje i blokiranje širenja crva. Preporukama je potrebno pristupiti oprezno zato što blokiranje navedenih portova može utjecati na funkcionalnost kao što je npr. dijeljenje datoteka između MS Windows računala.
Detektiranje širenja crva u mreži najlakše je zapaziti korištenjem NetFlowa, odnosno naredbom >show ip cache flow | include 01BD. Prije korištenja NetFlowa on mora biti prethodno omogućen na sučelju naredbom (config-if)#ip route-cache flow. Osim toga može se koristiti i >show access-lists za prikaz broja paketa, a nije preporučljivo dodati log za port 445 u pristupnim listama jer to može preopteretiti usmjerivač u slučaju velikog prometa.
Simptom prisutnosti crva u mreži je povećan promet na vatrozidima, usmjerivačima i prospojnicima, koji dalje može dovesti do nestabilnog rada mreže.
Ukoliko koristite Cisco Intrusion Detection System ili Intrusion Prevention System, potrebno je izvršiti ažuriranje istog datotekom S185 koja sadrži potrebne podatke o crvu.
Filtriranje tranzitnog i graničnog mrežnog prometa trebalo bi vršiti na ulazu/izlazu u mrežu.
Primjeri pristupnih listi:
Filtriranje dolaznog prometa
!
! ZOTOB.(A-F)/BOZARI.(A,B)/WORM_RBOT.CBQ
! Blokiranje prvotnog skeniranja
! Oprez kod blokiranja TCP porta 445 da ne bi blokirali i legitimne
! konekcije
access-list 101 deny tcp any any eq 445
!
! ZOTOB.(A-C)
! Blokira stvaranje udaljene ljuske
access-list 101 deny tcp any any eq 8888
!
! ZOTOB.D
! Blokira stvaranje udaljene ljuske
access-list 101 deny tcp any any eq 7778
!
! ZOTOB.E/BOZORI.A
! Blokira stvaranje udaljene ljuske
access-list 101 deny tcp any any eq 8594
!
! ZOTOB.F/BOZORI.B
! Blokira stvaranje udaljene ljuske
access-list 101 deny tcp any any eq 8563
!
! WORM_RBOT.CBQ
! Blokira stvaranje udaljene ljuske
access-list 101 deny tcp any any eq 7778
!
! Ovdje ide ostatak pristupne liste
!
access-list 101 permit ip any any
!
Filtriranje odlaznog prometa
!
!ZOTOB.(A-C)
!
! Blokiranje odlaznih FTP zahtijeva za napad na FTP server gdje
! postoji HAHA.exe datoteka uz dozvoljene legitimne konekcije
!
access-list 110 permit tcp <blok dozvoljenih mrežnih adresa> <wildcard> any eq 33333 established
access-list 110 deny tcp any any eq 33333
!
! Blokiranje odlaznih IRC pokušaja
access-list 110 deny tcp any any eq 8080
!
! ZOTOB.D
! Blokiranje odlaznih IRC pokušaja
! Oprez da ne bi blokirali i legitimne IRC konekcije
!
access-list 110 deny tcp any any eq 6667
!
! Blokiranje odlaznih FTP zahtijeva za napad na FTP server gdje
! postoji HAHA.exe datoteka uz dozvoljene legitimne konekcije
access-list 110 permit tcp <blok dozvoljenih mrežnih adresa> <wildcard> any eq 11173 established
access-list 110 deny tcp any any eq 11173
!
! WORM_RBOT.CBQ/ZOTOB.(E,F)/BOZORI.(A,B)
! Blokira odlazne TFTP konekcije
access-list 110 permit udp <blok dozvoljenih mrežnih adresa> <wildcard> <dozvoljeni TFTP serveri> <wildcard> eq 69
access-list 110 deny udp any any eq 69
!
! Blokira odlazno širenje ZOTOB.(A-F)/BOZARI.(A,B)/WORM_RBOT.CBQ
!
! Oprez kod blokiranja TCP porta 445 da ne bi blokirali i legitimne
! konekcije
access-list 110 deny tcp any any eq 445
access-list 110 deny tcp any any eq 7778
access-list 110 deny tcp any any eq 8888
access-list 110 deny tcp any any eq 8594
access-list 110 deny tcp any any eq 8563
access-list 110 deny tcp any any eq 7778
!
! Ovdje ide ostatak pristupne liste
!
access-list 110 permit ip any any
!
! Primijenite pristupne liste na sučelja
interface <ime sučelja>
ip access-group 101 in
ip access-group 110 out
!
Više informacija potražite na ovim linkovima:
http://www.cisco.com/en/US/products/sw/voicesw/ps556/products_security_notice09186a00804f51de.html
http://sistemac.carnet.hr/index.php?&id=89&backPID=3&tt_news=534&cHash=0eb6a68c88
http://sistemac.carnet.hr/index.php?&id=89&backPID=3&tt_news=536&cHash=4c126ecd58
Za registrirane Cisco korisnike:
http://www.cisco.com/en/US/customer/about/security/intelligence/05_08_zotob_worm.html
http://www.cisco.com/tacpage/sw-center/ciscosecure/ids/crypto
|
