O objetivo dessa ação é a correção das configurações de servidores DNS recursivos abertos que podem permitir ataques de amplificação.

O que é um servidor DNS recursivo aberto?

Um servidor DNS recursivo é considerado aberto quando aceita consultas recursivas de modo indiscriminado, de qualquer rede da Internet, na porta 53, utilizando protocolo UDP.

Por que devo me preocupar com isso?

Um servidor DNS recursivo aberto pode ser abusado para causar danos a terceiros, envolvendo sua rede em ataques DDoS a outras organizações, além de implicar em um consumo maior de banda.

Onde posso obter informações sobre o problema e como solucioná-lo?

Acesse “Recomendações para Evitar o Abuso de Servidores DNS Recursivos Abertos”: https:/bcp.nic.br/dns-recursivo

Onde aprender mais sobre configurações seguras de sistemas?

Acesse “Práticas de Segurança para Administradores de Redes Internet”: https://www.cert.br/docs/seg-adm-redes/

Por que estou recebendo mensagens de notificação?

As mensagens de notificação informam os endereços IP de servidores DNS recursivos abertos (53/UDP) sob a responsabilidade do ASN.

Os endereços IP listados também podem ser de dispositivos de rede com funcionalidade de resolução de nomes, como roteadores e CPEs (modem ou roteador de uso doméstico instalado nos clientes), entre outros.

A notificação solicita que os servidores DNS relacionados sejam configurados de modo a corrigir o problema.

Uma descrição do problema e possíveis soluções podem ser encontradas em: https://bcp.nic.br/dns-recursivo 

Antes de enviar a notificação, todos os endereços IP são testados e no relatório anexo à notificação são apresentados campos com os resultados dos testes:

• ancount: número de registros na seção de resposta do pacote DNS;
• nscount: número de registros na seção de reposta autoritativa;
• arcount: número de registros na seção adicional de resposta;
• ra: recursividade: 1=ativada, 0=desativada;
• rcode: status da query DNS.

Como posso ter certeza de que resolvi o problema?

Você pode verificar seu servidor por meio desse site: https://www.openresolver.nl/

O objetivo dessa ação é a correção das configurações de servidores NTP mal configurados que podem permitir ataques de amplificação.

O que é um servidor NTP mal configurado e passível de amplificação?

Um servidor NTP é considerado mal configurado e passível de amplificação quando aceita determinados comandos, como monlist ou readvar, que permitam gerar respostas muito maiores que a pergunta, para origens forjadas.

Caso esteja acessível à toda a Internet via UDP, esse serviço pode ser explorado para ataques DDoS que usem amplificação. Isso ocorre porque o atacante envia uma requisição forjando o IP da vítima e o servidor com NTP aberto retorna uma resposta muito maior que a requisição.

Por que devo me preocupar com isso?

Um servidor NTP mal configurado pode ser abusado para causar danos a terceiros, envolvendo sua rede em ataques a outras organizações, além de aumentar o consumo de sua banda, que será utilizada no ataque a terceiros.

Informações adicionais sobre como evitar que sua rede seja abusada para esse e outros ataques DDoS podem ser encontradas em https://bcp.nic.br/ddos

Como faço para corrigir o problema em sistemas Unix?

1. Desabilite o comando monlist. Isso pode ser feito de duas maneiras:

• Inclua no ntpd.conf a seguinte linha:

disable monitor

ou

• Instale a versão 4.2.7p26 ou mais atual, que não possui o comando monlist.

2. Desabilite o comando readvar:

Inclua no ntpd.conf as seguintes linhas:

restrict default kod notrap nomodify nopeer noquery

restrict -6 default kod notrap nomodify nopeer noquery

Onde posso obter informações adicionais sobre configuração segura de servidores NTP?

Acesse “Guia NTP para Linux/BSD”: https://www.ntp.br/guia-linux-avancado.php

Acesse “Team Cymru Secure NTP Template” (inclui Cisco e Juniper):

https://github.com/team-cymru/network-security-templates/tree/master/Secure-NTP-Templates

Onde aprender mais sobre configurações seguras de sistemas?

Acesse “Práticas de Segurança para Administradores de Redes Internet”: https://www.cert.br/docs/seg-adm-redes/

Por que estou recebendo mensagens de notificação?

As mensagens de notificação informam que os endereços IP são de servidores NTP mal configurados, sob sua responsabilidade (123/UDP).

Os endereços IP listados também podem ser de dispositivos de rede com funcionalidade NTP, como roteadores e CPEs (modem ou roteador de uso doméstico instalado nos clientes).

A notificação solicita que o serviço NTP seja configurado corretamente de modo a corrigir o problema.

Antes de enviar a notificação, todos os endereços IP são testados e no relatório anexo à notificação são apresentados os campos 'Resultados do Teste' que indicam os tipos de problemas testados e significam:

• monlist: status/pacotes/bytes, onde status pode ser timeout, open ou closed, e pacotes/bytes é o tamanho da resposta recebida, em pacotes e bytes;
• readvar: status/pacotes/bytes, onde status pode ser timeout, open ou closed, e pacotes/bytes é o tamanho da resposta recebida, em pacotes e bytes.

Como posso ter certeza de que resolvi o problema?

Você pode verificar o status de seu servidor por meio de alguns comandos, que devem ser executados preferencialmente a partir da Internet, ou seja, fora de uma rede interna que tenha permissão de acesso ao servidor:

• $ ntpdc -n -c monlist SERVIDOR_NTP

ou

• $ ntpq -c rv SERVIDOR_NTP

Sendo que SERVIDOR_NTP é o IP do servidor NTP a ser testado.

O objetivo dessa ação é a correção das configurações de servidores com o serviço Portmap habilitado para a rede que podem permitir ataques de amplificação.

O que é o serviço Portmap (111/UDP)?

O serviço Portmap, também chamado de Portmapper ou rpcbind, é utilizado para mapear serviços RPC na rede, como NIS e NFS. Esse serviço geralmente é utilizado por sistemas Unix, especialmente para compartilhamento de arquivos, além de outros serviços.

Por se tratar de um serviço geralmente utilizado apenas dentro de redes locais, é muito provável que não exista necessidade do serviço Portmap estar exposto à Internet.

Caso esteja acessível à toda Internet via UDP, esse serviço pode ser explorado para ataques DDoS que usem amplificação. Isso ocorre porque o atacante envia uma requisição forjando o IP da vítima e o servidor com Portmap aberto retorna uma resposta muito maior que a requisição.

Por que devo me preocupar com isso?

O Portmap pode ser abusado para causar danos a terceiros, envolvendo sua rede em ataques DDoS a outras organizações e implicando em um consumo de banda maior. Além dessas implicações, esse serviço pode revelar informações sensíveis sobre sua rede e seus dados armazenados.

Informações adicionais sobre como evitar que sua rede seja abusada para ataques DDoS podem ser encontradas em: https://bcp.nic.br/ddos

Como faço para corrigir o problema?

Configure o serviço Portmap de forma que ele seja acessível somente aos dispositivos de sua rede, que utilizem esse serviço, ou que ele seja acessível apenas via TCP. Caso o serviço Portmap seja desnecessário nesse servidor, recomendamos que ele seja desativado.

Onde posso obter informações adicionais sobre o abuso do protocolo Portmap para ataques DDoS?

Acesse “UDP-Based Amplification Attacks”: https://www.us-cert.gov/ncas/alerts/TA14-017A

Acesse “Openly accessible Portmapper services”:

https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Reaktion/CERT-Bund/CERT-Bund-Reports/HowTo/Offene-Portmapper-Dienste/Offene-Portmapper-Dienste.html

Onde aprender mais sobre configurações seguras de sistemas?

Acesse “Práticas de Segurança para Administradores de Redes Internet”:

https://www.cert.br/docs/seg-adm-redes/

Por que estou recebendo mensagens de notificação?

Os endereços IP presentes no log anexado à mensagem de notificação são de servidores sob sua responsabilidade, com o serviço Portmap (111/UDP) habilitado.

O serviço Portmap deve ser acessível apenas à sua rede local, ou ser desabilitado no equipamento, caso ele não esteja em uso.

Antes de enviar a notificação, todos os endereços IP são testados e no relatório anexo à notificação são apresentados campos 'Resultados do Teste' que indicam o tipo de problema testado e significam:

• portmap: status/pacotes/bytes, onde status é open e pacotes/bytes indica o tamanho da resposta recebida, em pacotes e bytes;

Com base nesses relatórios os responsáveis pelas redes com endereços IP nessa situação são notificados e devem adotar as medidas necessárias para correção do problema.

Como posso ter certeza de que resolvi o problema?

Você pode verificar o status do seu servidor por meio do comando a seguir, que deve ser executado preferencialmente a partir da Internet, ou seja, fora de uma rede interna que tenha permissão de acesso ao servidor. Recomendamos que utilize um sistema Unix para realizar o teste. Certifique-se de que você tem a ferramenta rpcinfo (geralmente parte do pacote rpcbind) instalada em seu computador antes de executá-lo:

• $ rpcinfo -T udp -p IP_SERVIDOR

Sendo que IP_SERVIDOR é o IP do servidor Portmap a ser testado.

O objetivo dessa ação é a correção das configurações de dispositivos de rede com o serviço Device Discovery da Ubiquiti Networks habilitado para a rede, que pode permitir ataques de amplificação.

O que é o serviço Device Discovery, da Ubiquiti Networks, habilitado (10001/UDP)?

O serviço Device Discovery, da Ubiquiti Networks, é utilizado para várias finalidades, incluindo facilitar a localização de dispositivos da família Ubiquiti em uma rede gerenciada. As consultas, que utilizam protocolo UDP, possuem apenas 4 bytes e as respostas são grandes, incluindo o nome do dispositivo, modelo, versão de firmware, endereços IP e MAC e ESSID. Se o dispositivo tiver uma interface sem fio, pode ser utilizado em ataques de amplificação.

Por que devo me preocupar com isso?

O serviço Device Discovery pode ser abusado para fazer parte de ataques distribuídos de negação de serviço (DDoS), consumindo recursos da sua rede e impactando terceiros. Além disso, as respostas providas por esse serviço podem revelar informações sensíveis de sua rede. Em alguns casos, indícios de comprometimento do dispositivo podem ser evidenciados por uma resposta contendo o termo HACKED-ROUTER no campo payload dos logs apresentados no anexo das notificações enviadas pelo CERT.br ao responsável pelo AS.

Como faço para corrigir o problema?

Se o serviço Device Discovery não for utilizado na sua rede, desabilite-o no seu dispositivo.

Se o recurso for utilizado, configure-o de modo que esteja acessível apenas para a sua própria rede. Verifique os dispositivos em busca de sinais da invasão. Se o comprometimento for confirmado, restaure as configurações de fábrica, atualize o sistema para a última versão disponível e restaure um backup das configurações, sempre utilizando uma senha forte, jamais utilizando uma senha padrão.

Adote os procedimentos apresentados pelo fabricante em: https://help.ui.com/hc/en-us/articles/204976244-EdgeRouter-Ubiquiti-Device-Discovery

Onde posso obter informações adicionais sobre o abuso do serviço Device Discovery para ataques DDoS?

Acesse “Understanding Ubiquiti Discovery Service Exposures”: https://blog.rapid7.com/2019/02/01/ubiquiti-discovery-service-exposures/

Onde aprender mais sobre configurações seguras de sistemas?

Acesse “Práticas de Segurança para Administradores de Redes Internet”:

https://www.cert.br/docs/seg-adm-redes/

Por que estou recebendo mensagens de notificação?

O CERT.br tem recebido de parceiros relatórios frequentes sobre endereços IP de redes no Brasil que possuem o serviço Device Discovery habilitado (10001/UDP). Esses servidores podem ser utilizados em ataques de negação de serviço.

Os responsáveis pelas redes com endereços IP nessa situação são notificados e devem adotar as medidas necessárias para correção do problema com base nesses relatórios.

Antes de enviar a notificação, todos os endereços IP são testados e no relatório anexo à notificação são apresentados campos 'Resultados do Teste' que indicam o tipo de problema testado e significam:

• status/pacotes/bytes, onde status é open e pacotes/bytes indica o tamanho da resposta recebida, em pacotes e bytes;
• payload: parte do payload da resposta recebida, em alguns casos indicando um equipamento comprometido.

Como posso ter certeza de que resolvi o problema?

Pode-se verificar o status do dispositivo por meio do comando a seguir, que deve ser executado preferencialmente a partir da Internet, ou seja, fora de uma rede interna que tenha permissão de acesso ao dispositivo. Note que a execução desses comandos fora de sua rede deve apresentar resultados diferentes daqueles apresentados quando o teste for executado internamente.

Certifique-se que tenha a ferramenta netcat (nc) e hexdump instalada em um sistema UNIX antes de executá-lo:

• $ printf "\x01\x00\x00\x00" | nc -u IP_DISPOSITIVO 10001 | hexdump -C

Sendo que IP_DISPOSITIVO é o IP do dispositivo a ser testado.