NTP SERVER

دلیل استفاده از NTP Server در شبکه چیست؟ سرویس اکتیو دایرکتوری به درستی و در مواردی اصلاً قادر به کارکرد نیست اگر زمان میان Domain کنترلرهای عضو یک Forest یکسان نباشد. برای مثال در Kerberos V5 کامپیوترهایی که زمان آنها بیشتر از ۵ دقیقه با زمان Time Server مجموعه یا همان NTP Server متفاوت باشند قادر به Authenticate نیستند. این زمان پیش فرض است که البته از مسیر زیر در Group Policy قابل تغییر است: Computer ConfigurationWindows SettingsSecurity SettingsAccount PoliciesKerberos Policy قبل از هر چیز به یاد داشته باشید که میزان دقت NTP Server در حد دقیقه بوده و برای بازه زمانی حساس برای نرم افزارهای خاص Microsoft ضمانتی برای Sync کردن زمان در حد ثانیه ندارد و پیشنهاد آن استفاده از نرم افزارهای مخصوص اینکار است. برای اینکه مغهوم Time Server در یک Forest را متوجه شوید به شکل زیر دقت کنید.( فیبرنوری )

در شکل بالا سه گروه سرور میبینیم گروه بالاتر را Forest Root Domain یا Parent Domain و دو گروه سرورهای زیر مجموعه را Child Domain میگوئیم. در Parent Domain سرور اصلی یا Primary Domain Controller(PDC Emulator) که با رنگ قرمز مشخص شده وظیفه ارتباط با Time Server خارج از شبکه، اینترنت یا دستگاه تنظیم ساعت را بر عهده دارد. دو سرور Domain Controller(DC) داخل Parent Domain که با رنگ طوسی مشخص شده اند هم زمان خود را با PDC Emulator تنظیم میکنند. در دو Child دامین پایین PDC Emulator ها که با رنگ نارنجی مشخص شده اند زمان خود را با یکی از کامپیوترهای موجود در Parent Domain ) ، PDC Emulator یا Domain Controller ها) تنظیم میکنند. و در نهایت Domain Controller های هر دو Child Domain که با رنگ سبز مشخص شده اند میتوانند زمان خود را با PDC Emulator موجود در Domain خود یا Domain Controller های موجود در Parent Domain هماهنگ کنند.(مجازی سازی ، ویپ )

این خاصیت را در سرورها سلسله مراتبی میگوییم که در تنظیم Time Server در سطح گسترده به کارمان می آید.

تنظیم NTP Server

برای تنظیم NTP Server نیاز است تا PDC Emulator را که میخواهید با اینترنت زمان خود  هماهنگ کند به صورت زیر تنظیم کنید:(مثال سرور قرمز رنگ در تصویر بالا)

ابتدا WinKey+R را بزنید و در کادر محاورهای RUN دستور gpmc.msc را وارد کنید. Group Policy Management Console باز میشود. یک Policy ایجاد کنید به مسیر زیر رفته و تنظیمات زیر را در آن انجام دهید:

Computer ConfigurationPoliciesAdministration TemplatesSystemWindows Time ServiceTime Providers

ابتدا Enable Windows NTP Client را باز کرده و آنرا به Enable تغییر دهید.

سپس Enable Windows NTP Server را باز کرده و آنرا به Enable تغییر دهید.

اولین گزینه بدین معناست که سرور زمان خود را از منبع خارجی تنظیم کند و نه از BIOS خود و دومین گزینه این امکان را میدهد که به عنوان Time Server به دیگر کامپیوترها سرویس دهی کند. بعد از انجام این دو کار Configure Windows NTP Client را باز کنید

۱-   Enable را فعال کنید.

۲- در کادر محاورهای NTP Server به ترتیب نام سرورهایی را که PDC Emulator قرار است با آنها Sync کند را وارد کنید. (لیست سرورها را میتوانید از آدرس: /https://www.ntppool.org/en پیدا کرده و موقع وارد کردن به ترتیب و با فاصله میان آدرسها در کادر وارد کنید.)

۳-  حالت Type را بر روی NTP قرار دهید چون قرار است از یک منبع خارج از شبکه زمان را Sync کنیم.(کابل کشی)

حال که این تنظیمات انجام شد Policy را که ایجاد کردید به OU مربوط به Domain Controller ها لینک کنید.اگر تنها یک PDC Emulator یا تنها یک Domain Controller دارید این Policy را به آن اعمال کنید اما اگر در OU بیش از یک Controller دارید در تب Security تنها دسترسی را به PDC Emulator مربوط به Forest Root Domain بدهید.

یک کادر CMD با دسترسی ادمین باز کرده و دستور net stop w32time && net start w32time را وارد کنید تا سرویس تایم راه اندازی مجدد شود.

سپس با دستور w32tm /resync /nowait یا تنها w32tm /resync میتوانیم زمان را sync کنیم.

در نهایت با دستور w32tm /query /status میبینیم که سرور زمان را از چه سروری و در چه زمانی Sync کرده است.

حال که برای PDC Emulator موارد را تنظیم کردیم میبایست برای تمامی سرورها و کلاینتهای عضو مجموعه با توجه به تصویر Policy های مورد نظر را اعمال کنیم البته به یاد داشته باشید اگر PDC Emulator در Parent Domain با Domain Controller های Parent Domain در یک OU واقع شده است آن را از اعمال شدن Policy مستثنی کنید. برای سایر دامنهها کافیست در بالاترین شاخه icyPol را اعمال کنید.

در حالتی که میخواهید برای سایر سرورهای عضو مجموعه و کلاینتها Policy تعریف کنید تنها تفاوت در دو چیز است:

۱- هنگام تنظیم Configure Windows NTP Client گزینه Type را بر روی NT5DS بگذارید.

۲-  در کادر NTP Server نام سرور یا سرورهایی که قرار است در شبکه ، زمان از آنها Sync شود را بنویسید(میتوانید IP هم وارد کنید).

منابع:

https://social.technet.microsoft.com/wiki/contents/articles/18573.time-synchronization-in-active-directory-forests.aspx

https://blogs.technet.microsoft.com/nepapfe/2013/03/01/its-simple-time-configuration-in-active-directory

وضعیت زرد - هشدار حملات بی‌سابقه سایبری به شبکه‌های کشور از طریق ریموت دسکتاپ (آمادگی برای مقابله)

در روزهای پایان سال 97  ، شبکه‌های شرکت‌ها و سازمان‌های سراسر کشور، با حجم بسیار زیاد و بی‌سابقه‌ای از حملات باج‌افزاری و تحرکات هک و نفوذ مواجه شدند. بیشتر این حملات از طریق سرویس ریموت ودر برخی موارد حتی VPNها و ابزارهای ریموت انجام گرفته‌اند.

از این جهت پادویش با اعلام هشدار جدی وضعیت زرد امنیتی، توجه عموم کاربران بخصوص مدیران محترم شبکه‌ها و مسئولین فاوا را به نکات ایمنی و امنیتی زیر معطوف می‌دارد. ( پشتیبانی شبکه ، فیبرنوری ، کابل کشی )

با جدیت در پیگیری و توجه به رعایت مسائل امنیتی، انتظار می رود آمادگی بیشتری برای مقابله با این حملات در شبکه‌ها به وجود آمده و از این حملات در امان بمانند.

در ادامه نکات مهم برای یادآوری بیان شده است:

۱. تهیه پشتیبان به‌روز از اطلاعات حیاتی

وجود یک پشتیبان به روز، که به صورت آفلاین نگهداری شودراه اول در بازگرداندن سیستم‌ها به وضعیت عادی بعد از حمله است. بنابراین توصیه می‌شود که یکبار دیگر کل سیستم‌های حیاتی خود را مرور کنید و از اطلاعات آن‌ها پشتیبان گیری کرده و پشتیبان‌ها را به صورت آفلاین نگهداری نمایید. دقت داشته باشید که با گرفتن نسخه پشتیبان، امکان بازیابی پشتیبان‌ها را تست نمایید تا بعداً دچار مشکل نشوید. ( مجازی سازی)
علاوه بر سیستم‌های اطلاعاتی و عملیاتی، گرفتن پشتیبان از تجهیزات شبکه شامل روترها، سوییچ‌ها، فایروال، و سایر سیستم‌های مهم مانند اکتیودایرکتوری نیز فراموش نشود.

۲. غیرفعال کردن فوری  راه‌های ارتباطی  از طریق ریموت که باعث کاهش درجه خطر تا حد ممکن می شود.
تقریبا در تمامی حملات اخیر هکرها از سرویس ریموت دسکتاپ (Remote Desktop) ویندوز برای نفوذ اولیه خود به سیستم استفاده کرده‌اند. همچنین نفوذ از طریق VPN یا ابزارهای ریموت کلاینتی (مانند AnyDesk و ابزارهای مشابه) نیز متداول است. بنابراین بهتر است به طور موقتی این راه‌ها را غیرفعال کنید یا حداقل آن‌ها را با پسوردها و پالیسی‌های سختگیرانه‌تر (مانند محدودیت آی‌پی) محدود کنید.
همچنین مراقب ابزارهای ریموت کلاینتی مانند AnyDesk و نمونه‌های مشابه را که ممکن است روی یک سرور یا کلاینت باز مانده باشند ، باشید.( Voip )

۳.  بررسی سیاست‌های شبکه و محدودسازی تا حد امکان
در وضعیت زرد نیاز هست که یکبار دیگر سیاست‌های امنیت شبکه را مرور نمایید و از اینکه این سیاست‌ها از اصل حداقل دسترسی پیروی می‌کنند اطمینان حاصل کنید. پورت‌های باز اضافی و غیرضروری را ببندید. تا حد امکان سرویس‌های غیرضروری را نیز غیرفعال نمایید.
 در مقابله با باج‌افزار، فراموش نکنید که فولدرهای اشتراکی را ببندید یا دسترسی کاربران را به حالت فقط خواندنی محدود نمایید.

۴. فعال کردن سیستم‌های لاگبرداری و Auditing
اگر خدای نکرده حمله‌ای رخ دهد، برای بررسی منشاء حمله (جهت کشف نقاط نفوذ و جلوگیری از وقوع مجدد) و میزان تخریب و پیشروی حمله (جهت بازگرداندن سرویس‌ها و حذف درب‌های پشتی) به انواع لاگ‌های Audit نیاز خواهید داشت.

بنابراین از فعال بودن لاگ‌های Audit در تجهیزات شبکه و نیز سیستم‌عامل‌های خود اطمینان حاصل کنید. در ویندوز نیاز هست لاگ‌های Security و System فعال باشند. توصیه ما این است که لاگ Audit Process Creation را نیز روی Group Policy فعال نمایید. همچنین میزانی از فضای هارد دیسک را برای ذخیره این لاگ‌ها در نظر بگیرید.

۵​. به‌روز کردن سیستم‌عامل و نرم‌افزارها
کمترین کاری که برای امن کردن سیستم انجام می‌شود بروزرسانی سیستم‌عامل، بروزرسانی نرم‌افزارهای سرویس‌دهنده (وب، ایمیل، اشتراک فایل ...) و نرم‌افزارهای امنیتی مانند ضدویروس و … است. در وضعیت زرد لازم است دقت و وسواس بیشتری در این مورد داشته باشید تا از آسیب‌پذیری‌های شناخته‌شده عمومی در امان بمانید و سطح آسیب‌پذیری را کاهش دهید.

۶. اطمینان از عملکرد سیستم‌های امنیتی، مانیتورینگ و هشداردهی آنها
آخرین توصیه: لاگ‌های سیستم‌های خود را مرور کنید و گوش به زنگ رویدادهای نامتعارف (ریموت‌های خارج ساعت کاری یا از کشورهای خارجی و ...) باشید.( مانیتورینگ )

طبعا لازم است مجددا از عملکرد سنسورهای امنیتی مانند IDS, WAF و ضدویروس‌ها و نیز نرم‌افزارهای مانیتورینگ اطمینان حاصل کنید تا به محض رخداد اتفاق امنیتی از آن مطلع شوید. بد نیست سیستم هشدار این نرم‌افزارها را نیز تست کنید تا از عملکرد صحیح آن‌ها مطمئن شوید.( نصب آنتی ویروس )

در پایان، لازم به تأکید است که این هشدار وضعیت زرد در پاسخ به حملات گسترده و رویدادهای واقعی اخیر اعلام شده که در کمین همه شبکه‌های کشور است. آمادگی برای این نوع حملات قطعاً در پیشگیری یا کاهش ریسک آنها موثر خواهد بود. ( دکل مهاری )

هشدار تداوم آسیب های روترهای میکروتیک در سطح کشور

بر اساس آخرین بررسی‌های مرکز ماهر، هنوز بیش از ۹۴ درصد روترهای # میکروتیک آسیب‌پذیر به CVE-2019-3924 (اینجا) در کشور بروزرسانی نشده اند. ( پشتیبانی شبکه ، فیبرنوری ، ویپ ، دکل مهاری)
استان تهران با بیش از ۶۴٪، بیشترین تعداد روترهای میکروتیک آسیب‌پذیر را دارد و در رتبه اول قرار دارد. پس از تهران، استان‌های فارس و اصفهان با حدود ۶٪ و ۵٪ در رتبه‌‌های بعدی هستند.(کابل کشی ، مجازی سازی )

 

اکیدا توصیه می گردد دارندگان این روترها، ضمن بروزرسانی سیستم عامل RouterOS، دسترسی به پورت ۸۲۹۱ (winbox) را بصورت عمومی بر بستر اینترنت مسدود نمایند.

بررسی تهدیدات دیسک های USB از بدافزارها تا ماینرها

سال 2016، محققان دانشگاه ایلینوی 297 # ‫درایو_فلش USB بدون برچسب را در اطراف دانشگاه گذاشتند تا بررسی کنند چه اتفاقی خواهد افتاد. 98% از آن ها را کارکنان و دانشجویان برداشتند و حداقل نیمی از آن ها به کامپیوتر متصل شدند تا کاربران از روی کنجکاوی محتوای آن ها را ببینند. برای یک هکر که تلاش می کند یک شبکه کامپیوتری را آلوده کند، این ها شانس های بسیار خوب و جذابی هستند. (پشتیبانی شبکه ، فیبر نوری ، کابل کشی )
تقریبا حدود بیست سال است که USB ها به وجود آمده اند و کار آن ها ارائه یک راه آسان و ساده برای ذخیره و انتقال فایل های دیجیتال بین کامپیوترهایی است که به طور مستقیم با یکدیگر یا به اینترنت اتصال ندارند. این قابلیت توسط عاملین تهدید مجازی مورد سوءاستفاده قرار داده می شود که معروف ترین آن ها کرم استاکسنت در سال 2010 است. استاکسنت از USB برای تزریق نرم افزارهای مخرب به یک شبکه تاسیسات هسته ای ایران استفاده کرد.
امروزه سرویس های cloud مثل دراپ باکس حجم عظیمی از داده ها را ذخیره می کنند و انتقال می دهند و همچنین آگاهی بیشتری از خطرات مربوط به USB ها وجود دارد. استفاده از آن ها به عنوان یک ابزار تجاری ضروری در حال کاهش است. با این وجود، همچنان سالانه میلیون ها دستگاه USB برای استفاده در خانه ها، کسب و کارها و کمپین های ارتقاء بازاریابی مانند نمایشگاه های تجاری تولید و توزیع می شوند.
USB ها هدفی برای تهدیدهای مجازی هستند. داده های آزمایشگاه کسپراسکی در سال 2017 نشان داده است که هر 12 ماه یا بیشتر، از هر 4 کاربر یک نفر در سراسر جهان تحت تاثیر یک حمله سایبری محلی قرار می گیرد. این ها حملاتی هستند که به طور مستقیم روی کامپیوتر کاربر یافت می شوند و شامل آلودگی هایی هستند که توسط media  قابل جابجایی مانند دستگاه های USB ایجاد می شوند.(دکل مهاری)
این گزارش، چشم انداز فعلی تهدیدهای مجازی برای رسانه های قابل جابجایی، به ویژه USBرا بررسی می‌کند و توصیه ها و پیشنهاداتی را در مورد حفاظت از این دستگاه های کوچک و داده هایی که جابجا می‌کنند ارائه می دهد. همچنین یکی از معروف ترین بدافزارهایی که روش انتشار خود را منحصرا بر پایه دیسک های قابل حمل USB قرار داده است را مورد تحلیل قرار خواهیم داد. نام این کرم Dinihou می باشد.

( مجازی سازی ، ویپ)