Microsoft вновь призывает отключить SMBv1 на серверах Exchange: уязвимости в протоколе позволяют распространять зловреды

В начале февраля 2020 года команда Microsoft Exchange Team вновь дополнительно напомнила ^[1] системным администраторам о необходимости отключения тридцатилетнего протокола SMBv1 на серверах Exchange 2013/2016/2019 в Windows Server 2008 R2, Windows Server 2012 и выше.

SMB ^[2] (Server Message Block) – сетевой протокол для удаленного доступа к файлам и принтерам. Именно он используется при подключении ресурсов через servernamesharename. Протокол изначально работал поверх NetBIOS, используя порты UDP 137, 138 и TCP 137, 139. С выходом Windows 2000 стал работать напрямую, используя порт TCP 445. SMB используется также для входа в домен Active Directory и работы в нем.

«Чтобы обеспечить лучшую защиту вашей организации Exchange от новейших угроз (например, от вредоносных программ Emotet, TrickBot или WannaCry), мы рекомендуем отключить SMBv1, если он включен на вашем сервере Exchange (2013/2016/2019), так как вы теряете ключевые средства защиты, предлагаемые более поздними версиями SMB-протокола», — советуют специалисты Microsoft.

Протокол SMBv1 имеет проблемы с безопасностью, которые были исправлены в более новых его версиях. Например, в SMBv2 и SMBv3 имеется шифрование, добавлены проверки целостности перед аутентификацией для предотвращения атак типа man-in-the-middle (MiTM), включено блокирование небезопасной гостевой аутентификации.

Microsoft пояснила, что в настоящее время уязвимости в протоколе SMBv1 до сих пор активно используются в таких эксплойтах, как EternalBlue ^[3] и EternalRomance. Также атаки через SMBv1 широко распространены через зловредов и малварей типа TrickBot, Emotet, WannaCry, Retefe, NotPetya, Olympic Destroyer.

Инструкция ^[4] от Microsoft, как проверять, включать и отключать протоколы SMBv1, SMBv2 и SMBv3 в разных версиях ОС Windows.

Microsoft с 2016 года просит ^[5] системных администраторов отказываться от поддержки SMBv1, предупреждая каждые несколько месяцев, что использование этого протокола в организациях сейчас небезопасно.

Автор: denis-19

Источник ^[6]