質問: linuxシステムの「wannacry」:自分をどのように保護しますか? rapid7の記事 によると、脆弱な samba のバージョンがいくつかあり、linuxシステムでリモートでコードを実行できます。 wannacryランサムワームはwindowsシステムに影響を与え、簡単に識別できましたが、明確な修正手順により、samba脆弱性はlinuxおよびunixシステムに影響を及ぼし、適切な改善策を入手または展開するために技術的に大きな障害となる可能性があります。 cve-2017-7494 3.5.0以降のすべてのバージョンのsambaは、リモートコード実行の脆弱性に対して脆弱であり、悪意のあるクライアントが共有ライブラリを書き込み可能な共有にアップロードし、サーバーにそれをロードして実行させる可能性があります。 考えられる攻撃シナリオ:次の2つの要素から始めます。 sambaの脆弱性 修正されていません 一部のlinuxディストリビューションではまだです。 一部のlinuxカーネルバージョン(たとえば、4.8.0-41-generic ubuntuカーネルのcve-2017-7308)には、パッチが適用されていないローカル権限昇格の脆弱性があります。 攻撃者は、ローカルのエクスプロイト脆弱性を使用してlinuxマシンにアクセスし、権限を昇格させてルートアクセスを取得し、このモックアップに似た、将来起こり得るランサムウェアをインストールすることができます wannacry ransomware for linux 。更新最新の記事 "警告!ハッカーが" sambacryの欠陥 "を使用してlinuxシステムをハッキングする" sambacryの欠陥を使用してlinuxマシンに感染させる方法を示しています。 kaspersky lab の研究者チームによって設定されたハニーポットが、sambacryの脆弱性を悪用して暗号通貨マイニングソフトウェアをlinuxコンピューターに感染させるマルウェアキャンペーンを捕獲したため、予測は非常に正確であることが判明しました。 別のセキュリティ研究者、omri ben bassatが同じキャンペーンを独自に発見し、それを "eternalminer"と名付けました。 研究者によると、未知のハッカーグループが、sambaの欠陥が公表されてからわずか1週間後にlinux pcのハイジャックを開始し、「monero」デジタル通貨をマイニングする暗号通貨マイニングソフトウェアである「cpuminer」のアップグレードバージョンをインストールしました。 攻撃者は、sambacryの脆弱性を利用して脆弱なマシンを侵害した後、標的のシステムで2つのペイロードを実行します。 inaebsgb.so —攻撃者へのリモートアクセスを提供する逆シェル。 cblrwuocc.so —暗号通貨マイニングユーティリティ-cpuminerを含むバックドア。 2017年7月18日に投稿されたtrendlabレポート: linuxユーザーがsambacryを悪用して新しい脅威としてアップデートするように促されている 攻撃されないようにlinuxシステムを保護するにはどうすればよいですか?
回答: sambaサーバーを実行している私たちのほとんどは、おそらくそれをlan内、ファイアウォールの背後で実行しており、そのポートを直接外部に公開していません。あなたがそうするならそれはひどい慣習であり、openvpnのようなシンプルで効果的で無料の(ビールやスピーチのような)vpnソリューションがある場合は許されないものです。 smbは、オープンインターネットを念頭に置いて設計されていません(つまり、tcp/ipはそのプロトコルの補足としても提供されていました)。そのように扱う必要があります。追加の提案は、実際のファイルでファイアウォールルールを実行することですすべてのローカル(および最終的にはvpn)ネットワークアドレスのみをホワイトリストに登録する共有ホストsmbポート(139/tcp、445/tcp、137/udpおよび138/udp)。また、ユースケースが許す場合は、sambaを非特権で実行することを検討する必要があります(たとえば、sambaのエイリアスではないrootユーザーとして)。この設定では、nt aclの制限とposix aclの制限を組み合わせるのはそれほど簡単ではないことを理解していますが、特定の設定でそれが可能であれば、それで問題ありません。最後に、そのような「ロックダウン」があっても、可能な場合はパッチを適用し(nasそこにそれができない可能性があるため))、特定のかどうかをテストすることをお勧めしますユースケースはnt pipe supportをnoに設定します。