关于eternal blue virus的预防操作及相关知识

20170515 13:26——14:00

操作备注：永恒之蓝病毒事件，外文名称“eternal blue virus affairs”，国内突出于2017.05.12晚上爆发。计算机病毒事件报道最初爆发于英国16家医院，而后国内称该事件集中爆发于高校校园网络及部分企事业单位。针对该次计算机病毒事件，重点有如下防御措施（1）IPsec本地组策略封锁端口
（2）windows防火墙添加端口入站策略 （3）禁用相关服务功能。（4）添加相应系统补丁。据悉，永恒之蓝病毒利用的是445端口进行传播入侵，所以上述端口指代的重点是445端口，对应端口的服务是“services.msc”中的“Server”。

 

实践备注：（1）在了解相关资讯之后，按如上思路进行电脑终端的防御加固。其实最初只了解到一种处理windows端口的途径：IPsec方式。但是尝试数次，未果。于是依据Linux系统管理中的思路，依次尝试了通过防火墙和禁用相关服务功能两种方式，终于初见成效。而后根据依据微软官方补丁信息，下载升级了补丁。实际操作中也是这样做的。

 （2）在此次事件广为传播阶段中，借机了解到了微软系统防火墙的细致高级设置功能；并且了解到了其实针对于Windows计算机信息系统安全的研究，可以通过高危端口进行，一方面这领域的相关资料较多，再者，有实际的安全防御先导价值。

 

实践工序：

 前提：电脑断开网络连接（禁用相应网卡或者将网络设备断电）

 0.检查端口开启列表（实践操作：终端执行netstat -an），此时一般445端口处于开启、监听状态，并显示在列表中。

 1.打开防火墙配置界面——高级设置——入站规则，添加445等端口策略[阻止连接]（实践操作：终端执行命令firewall.cpl打开防火墙配置界面）

 2.打开服务管理界面——Server——右键属性——停止、禁用（实践操作：终端执行命令services.msc打开服务管理界面）（这一操作需要重启电脑后才生效）

 3.重启电脑（实践操作：终端执行shutdown -r -t 0）

 4.检查端口开启列表（实践操作：终端执行netstat -an），可以发现在关闭、禁用Server之前处于开启状态的445端口已经不见了。

 5.升级补丁。

 

参考资料：

……

Microsoft Security Bulletin MS17-010 - Critical （补丁及相关漏洞信息）

  https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

如何解决445端口外网映射的问题 （了解为什么是445端口）

  http://bbs.51cto.com/thread-1176608-1.html

 

小结Summary：通过此次事件，（1）了解了Windows系统关于防御方面的措施及基本操作：IPsec、Firewall（2）了解到一般常见的高危端口：445,135,139；137,138；2745,
3127, 6129, 593, 1025。 对于针对于Windows的信息安全学习研究以及实践具有指导意义。（3）发现windows终端中直接执行不带参数的“netstat”，似乎可以动态显示当前的通信连接信息。见下图：