首页 > 安全 > 正文

奇安信应对Windows Server 2008停服的解决方案

2020-01-15 16:00:21   来源:奇安信>

微软将于2020年1月14日结束对Windows Server 2008  2008 R2 的支持,这意味着微软官方定期安全更新将结束,数以百万计的服务器将面临更多不可预知的安全风险。
 
根据datanyze的统计数据(采用扫描域名服务统计),中国Windows Server占比约为19.07%,其中Windows Server 2008占有率为15%。

 
而在奇安信椒图事业部的一项抽样调查中(采样约30万台服务器)显示,Windows Server 2008占比高达27%。

 
宣布Windows Server 2008停服的同时,微软提供了两种有局限性的解决方案:

方案1:将业务环境托管到Azure(微软云计算平台),用户迁移环境后可以获得三年的扩展安全更新。
 
方案2:升级到Windows Server 2016,以获得增强的创新技术、内置安全和容器支持。
 
虽然这是解决Windows Server 2008停服最简单直接的方案,但为什么说具有局限性?因为对于内网用户和业务无法中断的用户而言,迁移环境或者升级的成本高、难度大、周期长,如果具备条件客户早已升级到最新系统,何须等到停服。
 
Windows Server 2008停服后的安全风险:

1.     业务风险:Windows Server 2008系统发布至今曝出过1300多个漏洞,平均每年100多个,一旦停服后将再无补丁可打,服务器进入attack free状态,攻击者可以利用最新0day漏洞或新型恶意代码轻松入侵服务器,尤其是远程代码执行类漏洞和提权类漏洞会让服务器瞬间沦陷。

 

2.     合规风险:《网络安全法》、等保2.0、行业法规以及即将出台的《关键信息基础设施安全保护条例》对于服务器安全均有明确要求,尤其是面向公众提供网络信息服务或支撑能源、通信、金融、交通、公共事业等重要行业运行的关键信息基础设施运营者,发生安全事件将承担重大责任。

 
无法迁移或升级的Windows Server 2008用户如何自救?

虽然Windows Server 2008难免还会继续曝出漏洞,但漏洞利用最终落地到主机上产生的行为(文件操作、进程创建、数据库操作、网络连接及监听)是有限的,可以对通过对这些行为进行监控、跟踪及控制,实现应对未知漏洞的防护能力,有效缓解Server 2008停服后带来的安全危机。
 
奇安信云锁服务器安全管理系统(以下简称云锁)正是基于这种攻防对抗理念,通过服务器端轻量级agent,安全加固操作系统及应用,有效检测与抵御已知、未知恶意代码和黑客攻击,四层防护助您对抗Windows Server 2008停服危机。
 
 
第一层防护:系统加固,防御漏洞利用行为

漏洞攻击的入口是对外开放端口,而监听了这些端口的进程,则是漏洞攻击的第一个落脚点。云锁通过系统加固功能,将进程的异常行为(黑客利用漏洞后发起的行为)进行了权限限制,例如:“禁止对外服务进程创建可执行文件”,可以有效防御黑客的漏洞利用行为。
 
系统加固项名称 防护作用
对外服务进程创建可执行文件 限制黑客利用应用漏洞上传或从远程下载后门及提权等程序
对外服务进程执行危险命令 限制黑客利用应用漏洞执行系统命令获取系统信息、添加管理员账户等
对外服务进程执行非正常扩展名可执行文件 阻止黑客通过将可执行文件名修改为jpg等扩展名绕过上传限制,然后执行
对外服务进程创建危险扩展名文件 在Windows系统上,限制黑客利用应用漏洞上传非web类脚本文件,实现白利用
禁止对外服务进程监听原始套接字 限制黑客利用应用漏洞监听原始套接字嗅探网络数据
禁止对外服务进程更改Linux系统配置文件 限制黑客利用应用漏洞修改系统配置文件
禁止对外服务进程添加定时任务 限制黑客利用应用漏洞添加定时任务获取执行权限
禁止对外服务进程修改账户信息 限制黑客利用应用漏洞添加管理员账户
禁止对外服务进程修改系统日志 限制黑客利用应用漏洞删除系统日志
禁止对外服务进程运行隐藏的进程 限制黑客利用应用漏洞执行隐藏进程
禁止对外服务进程编译文件 限制黑客利用应用漏洞通过上传源代码的方式,编译出后门文件
禁止对外服务进程修改SSH认证文件 限制黑客利用文件上传漏洞修改ssh认证文件,进而获取系统登录权限,例如:redis未授权访问漏洞
 
第二层防护:RASP,增强应用自我防护能力

云锁RASP(应用运行时自我保护技术)功能是利用脚本解释引擎(php/java等)本身提供的插件机制,将具有安全防护功能的插件注入到解释引擎内部,通过在特定的行为监控点上埋点,在应用内部完成对流量、文件、命令执行、数据库访问、网络连接等行为的监控及防护,使应用具有自我防护的能力,能基于行为有效检测已知、未知安全威胁。例如最新曝出的Weblogic CVE-2019-2725反序列化0day漏洞,云锁无需升级即可防护。
 
相比传统WAF仅仅基于HTTP协议流量进行过滤,RASP除了监控HTTP协议外,它可以细粒度的监控应用脚本的行为及函数调用上下文信息,同时支持T3、JMX等应用私有协议漏洞的防护。
 
第三层防护:入侵防御

除了漏洞利用防护外,云锁还提供多维度的服务器入侵防御手段:

•  RDP暴力破解防护:防止远程桌面暴力破解。

•  异常登录检测:针对白名单以外IP的登录行为进行告警。

•  远程登录限制:通过配置登录防护规则实现针对IP、用户、时间的远程登录限制。

•  端口扫描防护:针对黑客的端口扫描行为进行识别和阻断。

•  盗取内存密码防护:针对黑客利用minikatz等工具从系统进程lsass内存中dump登录凭证的行为进行阻止,防止黑客在已攻陷服务器上通过该方式读取到管理员密码后,进而对采用相同密码或者登录凭证的其它服务器进行渗透。
 
第四层防护:制定安全基线,全方位安全自检

基于云锁的资产管理功能和基线检查功能,可以定制针对Windows server 2008服务器的基线检查模板,从账户、密码、配置文件、权限、服务等多个层面全面自检服务器安全状态。
 
除了Windows Server 2008停服应对方案外,奇安信集团作为中国规模最大的网络安全公司、奥运史上第一家官方网络安全赞助商,还同时发布了Win7停服方案,并将继续依托服务100多万家客户积累的丰富经验,联合多领域合作伙伴,充分考虑各大应用场景,与客户共同构建更加安全可信的运行环境。
 
更多详细内容,敬请关注奇安信官网发布的专题网站(https://www.qianxin.com/win7Server2008/)及完整报告。



免责声明:本网站(www.365master.com)内容主要来自原创、合作媒体供稿和第三方投稿,凡在本网站出现的信息,均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性,但不保证有关资料的准确性及可靠性,读者在使用前请进一步核实,并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏,概不负任何法律责任。
本网站刊载的所有内容(包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等)版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时,请及时通知本站,予以删除。电话:010-88558043)

相关热词搜索:Windows Server 2008停服

上一篇:F5亚太技术副总裁:2020年IT软件支出将持续增长,安全首当其冲
下一篇:Check Point Fast Track新型安全网关高能效防护第五代高级威胁

扫码关注公众号

扫码订阅杂志

扫码下载2020年《混合多云行业应用调查报告》