Firewall a całkowite zamykanie specyficznych portów
135, 137-139, 445, 1900, 5000
Osobna zapora softwarowa (typu: ZoneAlarm / Kerio / Outpost etc.) nie jest rozwiązaniem wystarczającym w tej materii, gdyż to czym się zajmuje firewall to nie całkowite zamykanie omawianych tu portów lecz jedynie blokowanie do nich dostępu poprzez filtrowanie ruchu sieciowego. To oznacza iż komponenty, które korzystają z tych portów, są nadal uruchomione. W takiej sytuacji firewall musi być cały czas aktywny by ochrona miała miejsce i jesteśmy od tego faktu uzależnieni (chwilowe wyłączenie zapory lub jej wyłożenie się na błędzie jest ekspozycją na zagrożenie). Ponadto zarówno komponenty Windows pracujące na tych portach jak i firewall startują wspólnie podczas uruchamiania komputera, a które z nich zainicjuje się pierwsze (czyli będzie mieć szansę na forsowanie własnych zadań) jest zagadką wynikającą z masy czynników konfiguracyjnych.
Poniżej przedstawiam skrócony opis kluczowych portów wraz z ręczną metodą ich zamykania, która polega na przekonfigurowaniu komponentów Windows. Jest to zagadnienie dla waszej orientacji co się dzieje w systemie. Tych edycji nie trzeba wykonywać ręcznie - programy Windows Worms Doors Cleaner i Seconfig XP przeprowadzają to automatycznie. To wprowadzenie by zrozumieć dlaczego te porty są kluczowe i co te programy prowadzą w celu rozwiązania problemu. Zamknięcie tych portów nie wpływa na szybkość pobierania w programach P2P (eMule, torrent etc.) i proszę tego nie łączyć.
NetBIOS over TCP/IP - NetBIOS przez TCP/IP
137-139
Port 137 UDP - Usługa NetBIOS Name / nazw NetBIOS. Odpowiada za łączenie adresów IP z nazwami komputerów. Kojarzenie nazewnicze typowo odbywa się wg dwóch metod: serwer WINS (Windows Internet Name Service) lub plik LMHOSTS (nie mylić z plikiem HOSTS!). Duża część pakietów UDP blokowanych na firewallach nie ma związku z próbami ataku.
Zagrożenie:
* Pobór przez atakującego informacji o układzie sieci
* Robaki sieciowe szukające otwartych zasobów Windows (cel = port 139TCP)
Port 138 UDP - Usługa NetBIOS Datagram. Komunikacja bezpołączeniowa w formie
datagramów bez potwierdzenia ich dotarcia na miejsce, najczęściej wykorzystywana w trybie rozgłaszania (broadcast). Obsługuje przesył informacji o sieci Windows. Z tych właściwości korzysta usługa Computer Browser / Przeglądarka komputera, która buduje listę komputerów wyświetlaną w Otoczeniu sieciowym. Również usługa Messenger / Posłaniec.
Zagrożenie:
* Atakujący/haker poprzez zafałszowanie pakietów może dodać swój komputer do sieci lokalnej co implikuje iż zostanie zniwelowa różnica zabezpieczeń występująca między komputerami internetowymi a lokalnymi.
* Spam usługi Messenger / Posłaniec.
Port 139 TCP - Usługa NetBIOS Session / sesji NetBIOS (SMB przez NetBIOS). Komunikacja połączeniowa w formie sesji. Odpowiada za właściwą wymianę danych i współdzielenie zasobów plików / drukarek w sieci lokalnej oraz za tworzenie tzw. null-session (mówiąc w skrócie logowanie użytkownika bez nazwy i bez żadnego hasła).
Zagrożenie:
* Port będący celem ataków hackerskich, często skanowany w poszukiwaniu zasobów. Popularna metoda hackowania udostępnianie plików i drukarek to atak typu "brute force" / siłowy, polegający na łamaniu haseł przez sprawdzanie jak największej liczby prawdopodobnych kombinacji.
* Jest to również port, z którego korzysta usługa Messenger / Posłaniec produkując bezpośredni spam w pop-upach.
* Jedna z dróg transportu robaków sieciowych
Skutki uboczne wyłączenia portów NetBIOS (włącznie z 445 = patrz dalej): Przestanie działać Otoczenie sieciowe i funkcja Udostępniania plików i drukarek w sieci oraz inne aspekty sieci Microsoft Networks (nie mylić sobie tego z www, e-mail i tego typu komunikacjami szaraków). W LAN prawdopodobnie NetBIOS jest niezbędny ale zależy to też od tego w jaki sposób LAN rozwiązano. Test bardzo prosty: jeśli po całkowitym zamknięciu portów 137-139 (włącznie z 445) i resecie komputera padnie całkowicie dostęp do internetu, NetBIOS jest wymagany.
Te trzy komunikacje NetBIOS stosunkowo łatwo wyłączyć (usługa Posłaniec = patrz dalej):
Panel sterowania >>> Połączenia sieciowe >>> prawy klik na dane połączenie >>> Właściwości >>> podświetlić Protokół TCP / IP >>> Właściwości >>> Zaawansowane >>> zakładka WINS >>> Wyłącz system NetBIOS przez TCP/IP:
SMB over TCP/IP - SMB przez TCP/IP
445
Port 445 służy do poszerzonej komunikacji protokołu SMB bezpośrednio przez TCP/IP, z pominięciem okrężnej drogi "NetBIOS przez TCP/IP". Jest to dodatkowa droga współdzielenia plików i drukarek sieciowych (patrz porty 137-139), w związku z tym port 445 jest często skanowany w poszukiwaniu otwartych zasobów sieciowych Windows.
Zagrożenia:
* Port silnie atakowany przez hakerów, robaki i rozproszone botnety.
* Spam wysyłany przez usługę Messenger / Posłaniec.
Skutki uboczne zamknięcia portu 445: Uniemożliwione współdzielenie plików i drukarek w sieci o ile nastąpi równocześnie zamknięcie portów NetBIOS 137-139. Wynika to z faktu iż próba komunikacji odbywa się "równolegle" w celu zachowania kompatybilności portów (445 jest portem współdzielenia tylko na nowych Windows 2000 w górę). Jeśli jest włączone NetBIOS over TCP/IP, zawsze jest równoczesna próba nawiązania połączenia na porcie 139 oraz 445, a w zależności od szybszej odpowiedzi (lub jej braku) sesja właściwa odbywa się przez port 139 lub 445. Jeśli NetBIOS over TCP/IP jest wyłączone, nawiązywanie sesji jest forsowane tylko przez 445. Wniosek: zamknięcie portu 445 przy pozostawieniu otwartych 137-139 nie wpłynie na funkcjonowanie LAN.
Wyłączanie SMB przez TCP/IP (usługa Posłaniec = patrz dalej):
Start >>> Uruchom >>> regedit i w kluczu:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
W okienku po prawej stronie klikasz prawym >>> Nowy >>> Wartość DWORD >>> jako nazwę wprowadź SmbDeviceEnabled. Kliknij podwójnie na nowo utworzoną wartość SmbDeviceEnabled i wpisz liczbę 0.
RPC over TCP/IP
135
Jest to port usługi DCOM / RPC Endpoint Mapper. W sposób współdzielony korzystają z niego takie usługi jak Distributed Transaction Coordinator (MSDTC), Task Scheduler (Harmonogram zadań) a także Messenger (Posłaniec). Zamknięcie portu zalecane dla standardowych komputerów domowych. W środowisku Microsoft Networks problematyczne gdyż RPC jest tam szeroko wykorzystywane, głównie w celach administracyjnych.
Zagrożenie:
* Spam wysyłany przez usługę Messenger / Posłaniec. Jak wspomniane wcześniej Posłaniec korzysta z portów NetBIOS (137-139) ale mimo ich zamknięcia nie ma 100% ochrony przed spamem gdyż polecenie net send w przypadku "zatkania" tych portów obiera drogę alternatywną właśnie przez port 135.
* Port silnie wykorzystywany przez robaki sieciowe i ataki hackerskie.
Skutki uboczne zamknięcia portu 135: Zamykanie portu 135 odbywa się stopniowo poprzez wyłączanie kolejnych składników korzystających z tegoż portu. Wyłączenie samego DCOM nie niesie negatywnych efektów na standardowym komputerze. Ale inaczej sprawa się ma z Harmonogramem zadań. Po całkowitym zamknięciu portu 135 usługa Harmonogramu nie startuje (dotyczy Windows XP i 2003, Windows 2000 nie ma takich problemów). Harmonogram jest potrzebny na XP do działania wbudowanej funkcji Prefetch (szczegóły:
klik) oraz innych planowanych zadań. Z tym że tu moja uwaga własna: na moim XP SP2 całkowite zamknięcie 135 nie wpłynęło na usługę Harmonogramu.....
Wyłączanie DCOM / RPC Mapper (usługa Posłaniec = patrz dalej):
Start >>> Uruchom >>> regedit i w kluczu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole
W okienku po prawej stronie kliknij dwukrotnie w EnableDCOM i wpisz literkę N.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc
W okienku po prawej stronie kliknij dwukrotnie w DCOM Protocols i z okienka usuń ncacn_ip_tcp.
Odpowiednikiem tych dwóch edycji rejestru jest następująca operacja via:
Start >>> Uruchom >>> dcomcnfg.exe >>> Usługi składowe >>> Komputery >>> z prawokliku na Mój komputer wybierz Właściwości >>> w zakładce Właściwości domyślne usuń ptaszek z opcji Włącz model obiektów rozproszonych COM na tym komputerze a w zakładce Domyślne protokoły podświetl tam widniejący i Usuń.
Usługa Messenger / Posłaniec
135, 137-139, 445
Messenger (w polskim Windows: Posłaniec) to sieciowa usługa przesyłająca pomiędzy klientami a serwerami komunikaty
net send, służące typowo administratorom sieci do informowania użytkowników o różnych zdarzeniach (np. o resecie serwera etc.). Komunikacja Messengera korzysta z wszystkich wyżej wymienionych portów: 135,137,138 UDP oraz 135,139,445 TCP. Od razu uściślenie: w angielskiej wersji językowej usługa ta nosi nazwę Messenger i to jest co innego niż komunikator Messenger wbudowany w system! Omawiana tu usługa pracuje na pliku C:\WINDOWS\system32\services.exe a komunikator jest zainstalowany w C:\Program Files\Messenger\msmsgs.exe i ma ikonkę
. Proszę tych dwóch rzeczy nie mylić! Na Windows XP SP2 i 2003 usługa ta jest domyślnie wyłączona i nie stanowi problemu ... o ile nie nastąpiło szkodliwe przekonfigurowanie domyślnych ustawień.
Zagrożenie:
* Droga roznoszenia wirusów / robaków sieciowych
* Produkcja spamu w postaci bezpośrednio wyskakujących pop-upów:
Start >>> Uruchom >>> services.msc
Na liście dwuklik na usługę Messenger / Posłaniec, wybrać opcję Zatrzymaj a Typ startowy ustawić Wyłączona. Finałowo macie otrzymać:
Usługa Universal Plug and Play (UPnP)
1900, 5000
Universal Plug and play szczegółowo jest opisane w tym temacie:
klik. W istocie grupuje dwie składowe usługi: Usługa Odnajdywania SSDP (operuje na porcie 1900 UDP) + Host Uniwersalnego urządzenia Plug and Play (operuje na portach: 2869, 5000 TCP).
Zagrożenie:
* Poważna luka zabezpieczeń umożliwiająca przejęcie kontroli nad komputerem
Start >>> Uruchom >>> services.msc
Na liście po kolei dwuklik na SSDP Discovery Service / Usługa odnajdywania SSDP oraz Universal Plug and Play Device Host / Host Uniwersalnego urządzenia plug and play, wybrać opcję Zatrzymaj a Typ startowy ustawić Wyłączona. Finałowo macie otrzymać:
.
Pomoc
Temat jest zamknięty
Port otwarty
Port zamknięty
Port zostanie zamknięty po resecie
) a limit dla svchost virtual memory usage check zwiększono (znów zgadnij dlaczego 
). Wniosek: to tylko przypuszczenia programu a nie pewność czy fakt! WWDC można uruchomić bez tego sprawdzania pamięci = patrz poniżej na parametr -nowormscheck.
Sugerowane ustawienie: wszystko zaznaczone
Sugerowane ustawienie: wszystko zaznaczone
Sugerowane ustawienie: wszystko odznaczone
). Tym specjalnym krokiem zabezpieczającym jest wykonywanie instalacji Windows przy całkowicie odciętym połączeniu sieciowym (= to znaczy wyciągnięte KABLE), którego nie można zaktywować dopóki zainstalowany Windows nie zostanie zabezpieczony. Operacja rozkłada się na następujące kroki:
