IT运维管理,创造商业价值!
中国IT运维网首页 | 资讯中心 | 运维管理 | 信息安全 | CIO视界 | 云计算 | 最佳案例 | 运维资源 | 专题策划 | 知识库 | 论坛

UPnP存安全风险 企业网络管理中需小心防范

2013年05月07日
TechTarget中国/TechTarget中国

就像照明开关或者ON按钮,通用随插即用(Universal Plug and Play,UPnP)协议是终端用户在网络设备日常使用中最常用的,但也是经常被忽视的。与广义的即插即用不同,UPnP允许网络设备通过IP相互连接,而不需要终端用户的任何配置。例如,当用户插入一台计算机到以太网LAN,UPnP是最有可能用于设备发现的协议。

简单地把设备插入,不需要终端用户进行任何配置就可以让它正常运作,这能给终端用户带来更好的体验。然而,UPnP协议最大的优势可能也是其最大的弱点。漏洞管理供应商Rapid7的研究人员发现,数百万终端用户设备会响应来自互联网的UPnP发现请求,这个简单而深刻的发现提高了人们对UPnP安全风险的认识。所以对企业来说,UPnP安全吗?

UPnP安全风险

通常情况下,UPnP是结合动态主机配置协议(DHCP)服务器使用,虽然它并不一定需要这个服务器。在DHCP为中心的架构中,终端用户可能通过任何网络允许的媒介插入设备,如果该终端设备启用了DHCP,该设备将会立即广播简单服务发现协议消息,以定位DHCP服务器。

如果DHCP服务器被找到,将会进行信息交换,终端设备将分配一个IP地址。如果DHCP没有被找到,终端设备通常会被配置为允许它自动配置IP地址,但不能与网络上同样也是自动配置IP地址的其他设备相冲突。

当来自互联网的合法应用程序试图进入某个的网络时,UPnP提供端口映射功能,允许这些设备在防火墙穿过网络地址转换机制。这通常在简单对象访问协议(SOAP)保护下进行,UPnP这个基于 XML 的协议与HTTP消息结合使用毫无问题。以前人们认为UPnP带来很多便利,而不是漏洞, 然而Rapid7对该功能进行了研究,其研究结果引起安全专业人士的恐慌。这种恐慌主要围绕两个主要问题。

首先, HTTP消息几乎都是通过TCP端口80来交换。在企业级的防火墙通常会允许端口80的网络流量,原因在于大多数连接互联网的企业网络都有某种Web服务器可供公众访问,所以TCP端口80通常是开放的。

其次,UPnP不是特定供应商的协议,所以,任何修复程序、缓解或者更新不是来自某个集中存储库而随后推送到终端用户处。这些修复程序将由不同供应商发布,但在向后兼容性、跨平台功能和整体功能等问题上,很少有人去解决。

这看起来很棘手。从企业的角度来看,明智的网络管理员应该在可行的情况下,禁用所有UPnP功能。除非管理员的网络要使用网络电话(VoIP )或其他需要端口转发的服务(例如网络地址转换、SSH通道等),否则都应该禁用UPnP来避免不必要的风险,直到在网络和IT安全行业的巨头合作提出可行解决办法。

发表评论请到:http://bbs.cnitom.com

相关阅读

图文热点

详解使用网络访问保护(NAP)实现DirectAccess
详解使用网络访问保护(NAP)实现DirectAccess远程用户现在可以通过更安全的方式访问您公司的网络。DirectAccess 是 Windows 7 ...
Power架构产品创新 IBM推动其本土化发展
Power架构产品创新 IBM推动其本土化发展自从1990年,IBM推出基于RISC系统的新产品线RS/6000(现称eServer p系列)之后,...

本类热点