نظرة عامة #
نشرت شركة إنتل مؤخرًا سلسلة من الثغرات الأمنية التي تؤثر على تنفيذ وتصميم بعض معالجاتها وبرامجها الثابتة، والتي تؤثر على التهديدات من الأجهزة إلى منصات الخوادم.
في الأقسام التالية، سيتم وصف كيفية تأثير هذه الثغرات الأمنية على أجهزة الشبكات والبنية الأساسية القائمة على الخادم في مركز البيانات.
ثغرة أمنية في البرامج الثابتة لشركة Intel #
ولمعالجة مخاطر هذه الثغرات الأمنية، نشرت شركة Intel توصيات لمساعدة مسؤولي النظام والأمان على معالجة هذه التهديدات من خلال توفير بعض الموارد:
مراجعة الأمان Intel-SA-00086
مقالة دعم Intel-SA-00086
أداة الكشف Intel-SA-00086
من المستحسن أن اقرأ الملاحظات أعلاه و تطبيق تحديثات البرامج الثابتة أن البائعين المختلفين قدموا ذلك من أجل الحفاظ على البنية التحتية الآمنة في حالة وقوع هجمات مستقبلية يمكن أن تستغل هذه نقاط الضعف.
وفيما يتعلق بكيفية تأثير هذه الثغرات على البنية التحتية للشبكات في مركز البيانات، يمكننا تلخيص الافتراضات التالية:
1. تؤثر هذه الثغرات الأمنية على الغالبية العظمى من معالجات Intel ومن المحتمل أن تتأثر بأي منها.
2. تعتمد هذه الثغرات على تهديد تصعيد الامتيازات، وبالتالي، تتطلب وصولاً محليًا إلى نظام التشغيل لتنفيذ أوامر عشوائية. أو على الأقل، يتطلب الأمر وصولاً عن بُعد كمسؤول للاستفادة من هذه الثغرات.
3. سيكون من المطلوب تطبيق تحديثات البرامج الثابتة المقدمة من قبل البائعين وتعطيل الخدمات إذا كان ذلك ممكنًا: Intel Management Engine (Intel ME)، وIntel Trusted Execution Engine (Intel TXE)، وIntel Server Platform Services (SPS)، وIntel ATM.
4. تعزيز الوصول المحلي والبعيد إلى نظام التشغيل عن طريق عزل شبكة الإدارة وتجنب امتيازات وصول المستخدم أو العمليات إلى نظام التشغيل.
5. يؤثر هذا التهديد على المنصات الافتراضية أو المادية، والبيئات المحلية أو السحابية، وحتى الخدمات المصغرة. يجب على كل طبقة حماية نفسها من هذا التهديد.
ثغرة تسريب ذاكرة النواة أو خطأ في وحدة المعالجة المركزية Intel #
تأثرت وحدات المعالجة المركزية من Intel بخلل أمني خطير على مستوى الشريحة لا يمكن إصلاحه من خلال تحديث التعليمات البرمجية الدقيقة، ولكن على مستوى نظام التشغيل ويؤثر على جميع أنظمة التشغيل (Windows وLinux وmacOS).
استخدم ثغرة تسريب ذاكرة النواة نواجه مشكلةً تتمثل في إمكانية وصول جميع برامج مساحة المستخدم (قواعد البيانات، جافا سكريبت، متصفحات الويب، إلخ) بشكل غير قانوني إلى محتويات معينة في ذاكرة النواة المحمية، وذلك بتجاوز حدود الذاكرة الافتراضية المحددة في نظام التشغيل. يأتي الحل على مستوى نظام التشغيل مع تطبيق عزل جدول صفحات النواة (KPTI) لضمان عدم رؤية ذاكرة النواة لعمليات المستخدم.
لكن، بما أن هذا ليس عالمًا مثاليًا، فإنّ تعزيز الأمان المُطبّق في هذا التصحيح يُخفّض أداء برامج المستخدمين بنسبة 30% تقريبًا. كما يعتمد التباطؤ بشكل كبير على حجم العمل والاستخدام المكثف للإدخال والإخراج بين النواة وبرامج مساحة المستخدم. بالنسبة للحالات الخاصة بوظائف الشبكات داخل مركز البيانات، ليس الأمر بالغ الأهمية، لأن مهامها واضحة ولا تتطلب معالجة بيانات مكثفة، على الرغم من وظائف الطبقة 7 المُكثّفة، مثل تخفيف عبء SSL وتبديل المحتوى، إلخ.
يمكن استغلال هذه الثغرة بشكل رئيسي من قِبل البرامج أو المستخدمين المسجلين لقراءة محتوى بيانات ذاكرة النواة. ولذلك، فإن بيئات الموارد المشتركة، مثل المحاكاة الافتراضية والخدمات المصغرة وأنظمة السحابة، أكثر عرضة للتأثر والاستغلال.
حتى يتم توفير التصحيح النهائي على مستوى نظام التشغيل، فإن نقاط الوقاية التي حددناها في القسم الماضي ستكون كافية في الوقت الحالي.
أكدت شركة AMD أن معالجاتها لا تتأثر بالثغرة الأمنية، وبالتالي لا تتأثر بأداء العقوبة.
هجمات الانهيار و Spectre #
تُشير هجمات Meltdown وSpectre إلى ثغرات أمنية جانبية موجودة في العديد من تطبيقات أجهزة وحدة المعالجة المركزية (CPU)، والتي تستغل إمكانية استخراج المعلومات من تعليمات وحدة المعالجة المركزية المُنفَّذة باستخدام ذاكرة التخزين المؤقت للوحدة كقناة جانبية. يوجد حاليًا بعض الأشكال المختلفة لهذه الهجمات:
المتغير 1 (CVE-2017-5753، طيف): تجاوز فحص الحدود
المتغير 2 (CVE-2017-5715، أيضًا طيف): حقن هدف الفرع
المتغير 3 (CVE-2017-5754، الانهيار): تحميل ذاكرة التخزين المؤقت للبيانات المارقة، يتم إجراء فحص إذن الوصول إلى الذاكرة بعد قراءة ذاكرة النواة
مزيد من التوضيح الفني لهذه الهجمات في http://www.kb.cert.org/vuls/id/584653.
تأثير الانهيار وسبيكتر في RELIANOID تحميل موازنات #
مخاطر هذه الثغرات في RELIANOID موازن التحميل منخفض يجب أن يكون لدى المهاجم إمكانية الوصول المحلي إلى نظام التشغيل ويجب أن يكون قادرًا على تنفيذ تعليمات برمجية ضارة بامتيازات المستخدم للاستفادة منها. RELIANOID Enteprise Edition عبارة عن جهاز مخصص للشبكات لا يسمح لمستخدم محلي غير إداري بتنفيذ تعليمات برمجية تابعة لجهة خارجية، لذا فمن غير المحتمل أن يحدث هذا ويمكن منعه من خلال ممارسات إدارية جيدة.
بالإضافة إلى ذلك، عادةً ما تكون شبكات إدارة موازنات الأحمال خاصة، ولا يوجد افتراضيًا أي مستخدم إضافي سوى المستخدم الإداري، مما يجعل المخاطر منخفضة. من ناحية أخرى، قد تواجه الأنظمة متعددة المستأجرين، مثل البيئات الافتراضية العامة ومنصات الحاويات والبيئات السحابية، أكبر المخاطر.
ولمنع الهجوم، يرجى اتباع توصيات الأمان المذكورة أعلاه.
حاليًا، تتوفر بعض التصحيحات على مستوى نظام التشغيل لسد هذه الثغرات تمامًا، ولكنها تُسبب بعض الآثار الجانبية على الأداء. يعمل فريق الأمن لدينا على توفير تصحيح نهائي لسد هذا التهديد الأمني في أسرع وقت ممكن مع الحد الأدنى من التأثير على خدمات توصيل التطبيقات لديك.
سيتم توفير المزيد من الاتصالات من قبل قنوات الدعم الرسمية.
