درس منع دودتي Sasser و Blaster من خلال ISA Server

درس منع دودتي Sasser و Blaster من خلال ISA Server

يمكن تنزيل الدرس كاملاً من الرابط

Sasser Full Article

فكرة الدرس

استخدام ميزة منع منفذ معين من الدخول الى الشبكة ومنع تطبيق من الاتصال





فائدة الدرس

1- منع دودتي الساسر والبلاستر ومشتقاتهما من الدخول الى الشبكة

2- تعطيل الفايروسين من الانتشار داخل الشبكة في حالة وجوده على أحد
الأجهزة

3- يمكن تطبيق هذا الدرس لمنع برامج معينة مثل KAZA على المنفذ 1214

4- يمكن تطبيق هذا الشرح على ISA server2004 مع مراعاة الاختلافات بين
النسختين





دودة الساسر

تستغل هذه الدودة احدى الثغرات الامنية في انظمة وندوز وخصوصاُ 2000 و XP و
2003



***الجدول السابق للمنافذ التي يقفلها تحديث مايكروسوفت رقم MS04-011 الخاص
بالساسر

وتنتشر من خلال المنافذ التالية

المنفذ 445 وهو المنفذ الرئيسي لانتشار الفايروس وهو منفذ الثغرة للدخول
الى النظام

المنفذين 5556 و 9996 منفذين لإنتشار الفيروس وجميعهم على البروتوكول TCP

يقوم الفايروس بتنزيل البرنامجين




الطريقة
أ- اقفال منافذ الفايروس الصادرة من الايزا

ب- منع اتصال برنامج الفايروس من خلال اعدادات isa client الطريقة





أ-اقفال منافذ الفايروس الصادرة من الايزا

1-من نافذة الايزا نفتح القائمة Policy Elements ثم بالضغط بالزر الأيمن
على Protocol Definitions نختار New ثم Definition









2- نكتب اسم لتعريف هذا البروتوكول وليكن sasser1 ثم نضغط next





7- من المجموعة Access Policy نضغط بالزر اليمين على Protocol Rules ثم
New ثم Rule




8- اكتب اسم لهذا الـــRule وليكن Block sasser




9- اختار Deny


















10- من القائمة اختار Selected Protocols ثم ضع اشارة صح أمام البروتوكولات
التي عرفناها سابقاً وهي sasser1 و sasser2 و sasser3





11- اختار Any request





12- ثم Finish

10- من القائمة اختار Selected Protocols ثم ضع اشارة صح أمام البروتوكولات
التي عرفناها سابقاً وهي sasser1 و sasser2 و sasser3





11- اختار Any request





12- ثم Finish

ب- منع اتصال برنامج الفايروس من خلال اعدادات isa client

1- من القائمة الرئيسة نختار Client Configuration

2- بالضغط بالزر الأيمن على Firewall Client نختار Properties





3- نضغط على القائمة Application Settings ثم نضغط على New





4- اكتب في الخانة الأولى avserve وفي الخانة الثانية Disable وفي الخانة
الثالثة القيمة " 1 "




5- نكرر العملية السابقة بكتابة avserve2 في الخانة الأولى




دودة البلاستر

تستغل هذه الدودة احدى الثغرات الامنية في انظمة وندوز وخصوصاُ 2000 و XP



***الجدول السابق للمنافذ التي يقفلها تحديث مايكروسوفت رقم MS03-026 الخاص
بالبلاستر

وتنتشر من خلال المنافذ التالية



المنفذ 135 TCP وهو المنفذ الرئيسي لانتشار الفايروس وهو منفذ الثغرة
للدخول الى النظام

المنفذين 4444 TCP و 69 UDP منفذين لإنتشار الفيروس.

يقوم الفايروس بتنزيل البرنامج MSBlast.exe وذلك لمعاودة الهجوم من الجهاز
المصاب.





الطريقة
أ- اقفال منافذ الفايروس الصادرة من الايزا

وذلك باقفال المنفذين 135 TCP و 4444 TCP ويتم اقفال المنفذ 69 UDP بواسطة
البوتوكول المسمى مسبقاً TFTP كما هو مشروح سابقاً

ب- منع اتصال برنامج الفايروس من خلال اعدادات isa client

نقوم بمنع البرامج التالية كما هو شروح سابقاً وهي msblast و penis32 و
teekids و dllhost و mspatch









المصادر

http://www.microsoft.com/isaserver/s...asterWorm.mspx

http://www.microsoft.com/isaserver/s...nt/sasser.mspx

http://securityresponse.symantec.com...ster.worm.html

المصدر مركز بوابة العرب التعليمي