Der klarste Beitrag, den ich zu diesem Thema gesehen habe, ist der von Matthew Garrett (einschließlich der Kommentare).
Matthew hat jetzt ein Tool veröffentlicht, mit dem Sie Ihr System lokal überprüfen können: Erstellen, Ausführen mit
sudo ./mei-amt-check
und es wird gemeldet, ob AMT aktiviert und bereitgestellt ist, und wenn ja, welche Firmware-Versionen (siehe unten). Die README enthält weitere Details.
Um Ihr Netzwerk auf potenziell anfällige Systeme zu scannen, scannen Sie die Ports 623, 624 und 16992 bis 16993 (wie in Intels eigenem Dokument zur Schadensbegrenzung beschrieben ). beispielsweise
nmap -p16992,16993,16994,16995,623,664 192.168.1.0/24
scannt das 192.168.1 / 24-Netzwerk und meldet den Status aller Hosts, die antworten. Die Verbindung zu Port 623 ist möglicherweise falsch positiv (andere IPMI-Systeme verwenden diesen Port), aber jeder offene Port von 16992 bis 16995 ist ein sehr guter Indikator für aktiviertes AMT (zumindest, wenn sie angemessen reagieren: mit AMT bedeutet dies) eine HTTP-Antwort auf 16992 und 16993 (letztere mit TLS).
Wenn an den Ports 16992 oder 16993 Antworten angezeigt werden, wird beim Herstellen einer Verbindung zu diesen Ports und beim Anfordern /von HTTP eine Antwort mit einer ServerZeile zurückgegeben, die auf Systemen mit aktiviertem AMT „Intel (R) Active Management Technology“ enthält. Dieselbe Zeile enthält auch die Version der verwendeten AMT-Firmware, die dann mit der im Hinweis von Intel angegebenen Liste verglichen werden kann, um festzustellen, ob sie anfällig ist.
In der Antwort von CerberusSec finden Sie einen Link zu einem Skript, mit dem das oben Genannte automatisiert wird.
Es gibt zwei Möglichkeiten, das Problem „richtig“ zu beheben:
- Aktualisieren Sie die Firmware, sobald der Hersteller Ihres Systems ein Update bereitstellt (falls jemals).
- Vermeiden Sie die Verwendung des Netzwerkanschlusses, der AMT bereitstellt, entweder durch Verwendung einer nicht AMT-fähigen Netzwerkschnittstelle in Ihrem System oder durch Verwendung eines USB-Adapters (viele AMT-Workstations, z. B. C226 Xeon E3-Systeme mit i210-Netzwerkanschlüssen, haben nur einen AMT-fähigen Netzwerkanschluss). fähige Netzwerkschnittstelle - der Rest ist sicher, beachten Sie, dass AMT über WLAN arbeiten kann, zumindest unter Windows, so dass die Verwendung von integriertem WLAN auch zu einer Gefährdung führen kann).
Wenn keine dieser Optionen verfügbar ist, befinden Sie sich im Gebiet der Schadensbegrenzung. Wenn Ihr AMT-fähiges System noch nie für AMT bereitgestellt wurde, sind Sie einigermaßen sicher. In diesem Fall kann AMT anscheinend nur lokal aktiviert werden, und soweit ich das beurteilen kann, muss die Firmware Ihres Systems oder die Windows-Software verwendet werden. Wenn AMT aktiviert ist, können Sie einen Neustart durchführen und die Firmware zum Deaktivieren verwenden (drücken, CtrlPwenn die AMT-Meldung während des Startvorgangs angezeigt wird).
Grundsätzlich ist die Sicherheitsanfälligkeit in Bezug auf Berechtigungen zwar recht unangenehm, die meisten Intel-Systeme scheinen jedoch nicht betroffen zu sein. Für Ihre eigenen Systeme, auf denen Linux oder ein anderes Unix-ähnliches Betriebssystem ausgeführt wird, ist für die Eskalation wahrscheinlich ein physischer Zugriff auf das System erforderlich, um AMT überhaupt zu aktivieren. (Windows ist eine andere Geschichte.) Auf Systemen mit mehreren Netzwerkschnittstellen, auf die Rui F. Ribeiro hingewiesen hat , sollten Sie AMT-fähige Schnittstellen genauso behandeln wie administrative Schnittstellen (IPMI-fähig oder die Host-Schnittstelle) für einen VM-Hypervisor) und isolieren Sie ihn in einem administrativen Netzwerk (physisch oder VLAN). Sie können sich nicht darauf verlassen, dass ein Host sich selbst schützt: iptablesusw. sind hier unwirksam, da AMT Pakete vor dem Betriebssystem erkennt (und AMT-Pakete für sich behält).
VMs können Dinge komplizieren, aber nur in dem Sinne, dass sie AMT verwirren und somit verwirrende Scanergebnisse erzeugen können, wenn AMT aktiviert ist. amt-howto(7)Das Beispiel zeigt Xen-Systeme, in denen AMT die Adresse verwendet, die einer DomU über DHCP zugewiesen wurde. Dies bedeutet, dass bei einem Scan AMT auf der DomU aktiv ist und nicht Dom0 ...