Pengenalan #
Intel baru-baru ini telah menerbitkan satu siri kelemahan yang mempengaruhi pelaksanaan dan reka bentuk beberapa pemproses dan firma mereka, yang memberi ancaman dari peranti ke platform pelayan.
Dalam bahagian berikut dijelaskan bagaimana kelemahan ini mempengaruhi peranti rangkaian dan infrastruktur berasaskan pelayan di pusat data.
Kerentanan Firmware Intel #
Untuk menangani risiko kelemahan ini, Intel telah menerbitkan cadangan untuk membantu sistem dan pentadbir keselamatan untuk menangani ancaman ini dengan menyediakan beberapa sumber:
Kajian Keselamatan Intel-SA-00086
Perkara Sokongan Intel-SA-00086
Alat Pengesan Intel-SA-00086
Adalah disyorkan untuk membaca pemerhatian di atas dan menggunakan kemas kini perisian tegar yang telah disediakan oleh vendor yang berbeza untuk mengekalkan infrastruktur yang selamat sekiranya berlaku serangan pada masa hadapan yang boleh mengambil kesempatan daripada kelemahan ini.
Dalam hal bagaimana kelemahan ini mempengaruhi infrastruktur rangkaian di pusat data, kita dapat meringkaskan premis berikut:
1. Kerentanan ini mempengaruhi sebahagian besar pemproses Intel dan kemungkinan akan dipengaruhi oleh mana-mana dari mereka.
2. Kerentanan ini didasarkan pada ancaman peluncuran hak istimewa, dan dengan itu, mereka memerlukan akses tempatan ke sistem operasi untuk dapat melaksanakan kod sewenang-wenangnya. Atau sekurang-kurangnya, akses jauh sebagai pentadbir diperlukan untuk memanfaatkan kelemahan ini.
3. Ia perlu menerapkan kemas kini firmware yang diberikan oleh vendor dan mematikan sama ada mungkin perkhidmatannya: Intel Management Engine (Intel ME), Intel Trusted Execution Engine (Intel TXE), Intel Server Platform Services (SPS) dan Intel ATM.
4. Harden akses tempatan dan jauh ke sistem operasi dengan mengasingkan rangkaian pengurusan dan mengelakkan pengguna atau memproses keistimewaan akses ke sistem pengendalian.
5. Ini terpengaruh pada platform maya atau perkakasan, persekitaran di premis atau awan, atau bahkan perkhidmatan mikro. Setiap lapisan harus berhati-hati melindungi ancaman ini.
Kernel Memory Bocor vulnerability atau Intel CPU bug #
CPU Intel telah terjejas oleh pepijat tahap cip kritikal yang tidak boleh diperbaiki oleh kemas kini mikrokod, tetapi pada tahap OS dan memberi kesan kepada mereka semua (Windows, Linux dan macOS.
Kerentanan Kebocoran Memori Kernel menghadapi masalah di mana setiap program ruang pengguna (pangkalan data, javascript, pelayar web, dll.) boleh mengakses secara haram ke kandungan tertentu dalam memori kernel yang dilindungi, dengan melepasi sempadan memori maya yang dinyatakan dalam sistem pengendalian. Pembetulan pada peringkat OS datang dengan pelaksanaan Pengasingan Jadual Halaman Kernel (KPTI) untuk memastikan memori kernel tidak dapat dilihat oleh proses pengguna.
Tetapi, kerana ini bukan dunia yang sempurna, keamanan yang ditingkatkan yang diterapkan oleh patch ini memperkenalkan hukuman prestasi yang besar untuk program pengguna sekitar 30%. Juga, perlambatan akan sangat bergantung pada beban kerja dan penggunaan intensif I / O antara kernel dan program ruang pengguna. Untuk kes tertentu fungsi rangkaian dalam pusat data, tidak begitu penting kerana tugasnya jelas dan tidak menangani pemprosesan data yang terlalu banyak walaupun lapisan 7 yang intensif berfungsi seperti pemuatan SSL, pertukaran kandungan, dll.
Kerentanan ini dapat disalahgunakan terutamanya oleh program atau pengguna yang log masuk untuk membaca kandungan data memori kernel. Atas sebab itu, persekitaran yang dikongsi sumber seperti virtualisasi, perkhidmatan mikro atau sistem awan lebih cenderung terjejas dan disalahgunakan.
Sehingga patch pasti pada peringkat OS disediakan, titik pencegahan yang telah kami tetapkan di bahagian sebelumnya, akan cukup untuk sekarang.
AMD mengesahkan bahawa pemproses mereka tidak terjejas oleh kelemahan dan dengan itu, dengan prestasi penalti.
Serangan dan serangan Serangan #
Serangan meleleh dan Serangan dirujuk kepada kelemahan saluran sisi yang terdapat dalam beberapa perkakasan perkakasan CPU, yang memanfaatkan keupayaan untuk mengekstrak maklumat dari arahan CPU yang dilaksanakan menggunakan cache CPU sebagai saluran sampingan. Pada masa ini, terdapat beberapa varian serangan ini:
Variant 1 (CVE-2017-5753, spektrum): Luka pintasan periksa
Varian 2 (CVE-2017-5715, juga spektrum): Suntikan sasaran cawangan
Variant 3 (CVE-2017-5754, Kemelesetan): Beban capaian data Rogue, semakan capaian akses memori yang dilakukan selepas memori kernel dibaca
Penjelasan teknikal lanjut tentang serangan ini di http://www.kb.cert.org/vuls/id/584653.
Kesan Meltdown dan Spectre in RELIANOID Beban Pengimbang #
Risiko kelemahan ini dalam RELIANOID Pengimbang Beban adalah rendah sebagai penyerang harus mempunyai akses tempatan kepada sistem pengendalian dan mereka harus dapat melaksanakan kod hasad dengan keistimewaan pengguna untuk mengambil kesempatan daripadanya. RELIANOID Edisi Enteprise ialah perkakas khusus rangkaian yang tidak membenarkan pengguna bukan pentadbiran tempatan melaksanakan kod pihak ketiga, jadi ini tidak mungkin berlaku dan ia boleh dicegah dengan amalan pentadbiran yang baik.
Di samping itu, rangkaian pengurusan Load Balancers biasanya bersifat peribadi dan tidak secara lalai ada pengguna tambahan daripada pengguna pentadbiran, jadi risiko rendah. Sebaliknya, sistem multi-penyewa seperti persekitaran maya awam, platform kontena dan persekitaran awan boleh menghadapi risiko terbesar.
Untuk mengelakkan serangan, sila ikuti saran keselamatan yang kami nyatakan di atas.
Pada masa ini, terdapat beberapa patch pada tahap Sistem Operasi untuk mengurangkan sepenuhnya kelemahan ini tetapi menghasilkan beberapa kesan sampingan prestasi. Pasukan Keselamatan kami sedang berusaha untuk menyediakan patch muktamad untuk mengurangkan ancaman keselamatan ini secepat mungkin dengan impak minimum dalam perkhidmatan penghantaran aplikasi anda.
Komunikasi selanjutnya akan disediakan oleh Saluran Sokongan Rasmi.
