مقابله با ویروسها به وسیله ISA Server
برای جلوگیری از حملات ساسر باید كلیه پورتهایی را كه ساسر از آن استفاده میكند را بلوك كنید. شماره پورتهای مورد استفاده توسط ساسر 445 ، 5556 و 9996 است و همگی با پروتكلTCPكار میكنند.
در موقع استفاده ازISA2004بصورت پیش فرض این پورتها بلوك شده اند. هرچند كه اگر سروری داشته باشید كه روالی برای پورت ها داشته باشد، این سرور در معرض خطر است. در ضمن ممكن است بیشتر در معرض خطر باشید وقتیكه یكExchangeServer در یكDMZداشته باشید.زیرا این پورت باید بین محدودهDMZ و شبكه داخلی باز باشد. البته شما نیازی به باز گذاشتن پورتی كه بین شبكه خارجی وDMZ قراردارد ندارید و احتمال بروز خطر را تا حد زیادی كاهش میدهید.
سیاست پیش فرض برای فایروالISA2004 از انتشار ساسر در شبكه جلوگیری میكند زیرا ساسر برای انتشار نیاز بهOutbound FTPدارد. اگر فایروال شما طوری طراحی شده كه تمام مسیرهای خروجی آن باز باشد باید برای پورتهای اشاره شده حتما" روال دسترسی مناسبی تعریف كنید.
برای جلوگیری از حملات ساسر از خارج از محدوده شبكه این عوامل ممكن است مفید باشند:
- برای پورتهای گفته شده حتما" روال های دسترسی تعریف كنید.بستن پورتTCP 445 در جهت خروجی از ترافیكCIFSخروجی جلوگیری می كند و بستن پورتهای5556 و9996 در جهت خروجی از امكان استفاده از یك كامپیوترویروسی به عنوان سرورFTP وانتشار كرم ساسر جلوگیری می كند.
- تعریف فایروال روی ایستگاه كاری برای جلوگیری از عملكرد خرابكارانه ساسر. برای این روش كاری حتما" باید روی كامپیوترClient یك فایروال نصب كرده باشید. توجه داشته باشید كه تمامClient هایی كه سیستم عاملWindowsدارند باید فایروال نصب كرده باشند. اگر تمام راه های خروجی دسترسی تعریف شده داشته باشند باعث جلوگیری از انتشار كرم ساسر خواهد شد.
كامپیوتری كه به عنوانISA Firewall عمل می كند هم بسیار آسیب پذیر است برای جلوگیری از حملات داخلی توسط ساسر به خودISA Serverبه هیچ وجه روال دسترسی برای ارتباط با كامپیوترهای شبكه محلی با پورت های گفته شده ایجاد نكنید.
روش بستن ارتباط خروجی روی پورتهای شناسایی شده
1- از كنسول مدیریت، منویMicrosoft Internet Security and Acceleration Sever 2004
را بازكنید و روی نام سرورExpandكنید و رویFirewall Policyكلیك كنید.
2- رویTab مربوط بهTasks درTask Paneكلیك كنید.
3- در صفحهWelcome to the new access Rule Wizardدر جعبه نوشتاریAccess Rule Nameوارد كنیدBlock Sasser Outboundو رویNextكلیك كنید.
4- در صفحهRule ActionوضعیتDenyرا انتخاب كنید و كلیدNextرا بزنید.
5- در صفحه پروتكل انتخابSelected Protocolsرا از لیستThis Rule Applies toانتخاب كنیدو دكمهAddرا بزنید.
6- در صفحه مربوط بهAdd protocolsرویNew كلیك كنید پروتكل را انتخاب كنید.
7- در صفحه مربوط بهWelcome to the New Protocol Definition WizardجملهSasser Outboundرا در جعبع متنProtocol Definition Name وارد كنید و رویNew كلیك كنید.
8- در صفحهPrimary Connection InformationرویNew كلیك كنید.
9- در جعبه متنNew/Edit Protocol Definitionنوع پروتكل راTCPانتخاب كنید.در اینجا همچنینDirectionراOutbound انتخاب نموده و پورتها را از445تا445انتخاب كرده كلیدOK را بزنید.
10- برای پورتهای9996 و5556 از ردیف 9 تكرار كنید.
11- در صفحهNew Protocol Definition Informationتمام پورت های تعریف شده دیده می شوند و می توانید رویNextكلیك كنید.
12- در صفحهSecondary connectionsرویNo كلیك كنید و سپسNextرا بزنید.
13-برای تكمیل عملیات در صفحهCompleting the New Protocol Definition WizardرویFinishكلیك كنید.
14- در جعبه محاوره ایAdd protocolsروی فولدرUser-definedكلیك كرده و رویSasser Outboundدوبار كلیك كنید و سپسCloseرا بزنید.
15- در صفحهProtocolsرویNextكلیك كنید.
16- در صفحهAccess Rule SourceكلیدAddرا بزنید.
17- در جعبه محاوره ایAdd Network Entities روی فولدرNetwork Sets كلیك كنید و سپس رویAll Protected Networksدوبار كلیك كنید. وCloseرا بزنید.
18- در صفحهAccess rule SourcesرویNextبزنید.
19- در صفحهAccess Rule DestinationsكلیدAddرا بزنید.
20- در جعبه محاوره ایAdd Network Entitiesروی فولدرNetworks بزنید وExternalرا دوبار كلیك كنید وCloseرا بزنید.
21- در صفحهUser Setsحالت پیش فرضAll Usersرا انتخاب وNextرا بزنید.
22- در صفحه مربوط بهCompleting the New Access Rule WizardكلیدFinishرا بزنید.
23- قاعدهBlock Sasser Outboundرا به بالای لیست انتقال دهید.
24- برای ثبت تغییرات انجام شده رویApplyكلیك كنید.
25- در جعبه محاوره ایApply New ConfigurationكلیدOk را انتخاب كنید.
روش تنظیم فایروال مربوط به ایستگاه كاری برای بلوك كردن عملكرد ساسر
عملكرد مشكوك ساسر در این مرحله بنامavserve وavserve2شناخته شده است.
توجه داشته باشیدعملكرد ساسر با نام های متفاوت انجام میشود مراحل بعدی كه توضیح داده خواهد شد 100% موثر نیست ولی اتصالات ایجاد شده توسطavserveوavserve2را بلوك خواهد كرد.
1- از كنسول مدیریت، منویMicrosoft Internet Security and Acceleration Sever 2004
را بازكنید و روی نام سرورExpandكنید و حالتConfigurationرا انتخاب كنید.
2- رویGeneralكلیك كنید.
3- رویDefine Firewall Client Settingsدر قسمتDetails paneكلیك كنید
4- در جعبه محاوره ایFirewall Client SettingرویTabمربوط بهApplication Settingبزنید.
5- رویTab مربوط بهApplication Settingروی دكمهNewكلیك كنید.
6- در پنجره محاوره ایApplication Entry Setting در جهبه متنApplicationوارد كنید:avserve. در لیستKey وضعیتDisableانتخاب كنید و از لیستValue عدد 1 را انتخابكرده سپسOkرا بزنید.
7- مرحله 5 و 6 را تكراركرده اینبار درApplicationنامavserve2را وارد كنید.
8- در پنجرهFirewall Client Settingبا انتخابOkو سپسApplyمراحل را ثبت كنید.
9- روی پنجرهApply new Configuration كلیدOkرا بزنید.
تنظیم فایروال مربوط بهClientبرایAvserve.exeوAvserve2.exe فقط از رفتار مشكوك روی كامپیوتر آلوده شده جلوگیری میكند.اگر این دستگاه به عنوانSecureNATطراحی شده باشد این تنظیمات دیگر موثر نخواهد بود. ( برای جلوگیری از دسترسیSecureNAT Clientاز طریق سرورISAمطمئن شوید كه هیچ دسترسی ناشناخته ای در مسیر خروجی وجود ندارد).
شماهمچنین میتوانید قابلیت روالBlock Sasser Outboundرا از طریقTelnet روی یك دستگاه كه در شبكه تحت محافظتISA 2004 Firewall است ، كنترل كنید.
1-كنسولMicrosoft Internet Security and Accelerationرا بازكنید و سرور راExpandكنید.و رویMonitoring كنسول كلیك كنید.
2-رویTab مخصوص بهDetailsگزینهLoggingرا انتخاب كنید.
3-رویTabمربوط بهTasksرویلینكStart Queryبزنید.
4-روی یك ایستگاه در یك شبكه محافظت شده ابتداStart و سپسRunرا بزنید. در پنجره متنیOpenدستورcmdرا تایپ كنید وOkنمایید.
5-درPromptتایپ كنید:Telnet 131.107.1.1 5556 وEnterرا بزنید.
6-به كنسولMicrosoft Internet Security and Acceleration Sever 2004 بازگردیدو گزارش مربوط به زمان(real time log) مونیتور كنید. باید متن زیر را در پیغامها ببینید:
Block Sasser Outbound.
10.0.0.2131.107.1.15556Sasser OutboundDenied Connection Block Sasser
Outbound
10.0.0.2131.107.1.15556Sasser OutboundDenied ConnectionBlock Sasser
Outbound.
