RPC-Firewall

Wer einem Windows Server schon mal mit NetMon 3 oder Wireshark/Ethereal auf die Finger geschaut hat, wird gesehen haben, dass neben klassischen Protokollen wie DNS, WINS, NTP sehr viel über "RPC" abgewickelt wird. Windows nutzt diese z.B. für "Remote Registry", Druckdienste, Backup, Eventlog, Taskplaner und auch Outlook/Exchange bedient sich der Dienste des "Portmappers" um die aktuellen Ports für die gewünschten Dienste zu erhalten.

Um die Sicherheit zu steigern werden nun aber immer mehr Firewalls auch innerhalb von Firmen eingesetzt, z.B. Um verschiedene Abteilungen gegeneinander abzusichern und damit stellt sich natürlich die Frage, wie die Sicherheit und unterscheidung bei solchen Diensten weiterhin zu gewährleisten ist.

In Zeiten der immer komplexeren Angriffsmuster ist eine Firewall, die Pakete nur anhand von Quell-IP:Port und Ziel-IP:Port behandelt, nicht mehr auf dem aktuellen Stand. So genannte Next Generation Firewalls investieren viel Energie in die Ermittlung der tatsächlich genutzten Dienste und Applikationen, damit auch wirklich nur die gewünschte Nutzung möglich ist. Eine solche Firewall ist natürlich auch ein besserer Schutz für Exchange und Windows im Allgemeinen. Gerade ein Windows Server kann sehr viele Dienste anbieten, die alle über den Portmapper (Port 135) angefragt und dann direkt angesprochen werden. Und nicht immer ist es vielleicht gewünscht, dass alle RPC-Dienste von Windows von allen Clients auch tatsächlich angesprochen werden.

Daher ist es schon sehr interessant hier auf Ebene einer vorgelagerten Schutzinstanz diese Port 135-Anfragen zu identifizieren und nur erlaubte Dienste überhaupt erst an den Server weiter zu reichen und dann die passenden Ports für den nachfragenden Client zu öffnen. Das Microsoft Thread Management Gateway 2010 (TMG) kann z.B. RPCs verstehen und auf Applikationslevel zulassen.

Aber auch TMG muss "gepflegt" werden. Nur "Exchange RPC" gibt es als vordefinierte Gruppe. Alle anderen UUIDs müssen Sie schon selbst in der jeweiligen Regel beim Protokollfilter addieren.

• RPC Filter and "Enable strict RPC compliance"
  http://blogs.technet.com/b/isablog/archive/2007/05/16/rpc-filter-and-enable-strict-rpc-compliance.aspx

Häufig werden von Herstellern hierzu unterschiedliche Bezeichnungen verwendet wie z.B. "RPC UUID filtering" oder "DCE-RPC Enforcement"

Aber selbst für anderen Protokolle und Dienste sind solche "Depp Inspection"-Ansätze interessant. Wer sagt denn, dass über Port 25 immer nur SMTP gesprochen wird oder über HTTP oder den HTTP-Proxy immer nur "gesurft" wird ?. Alle modernen Anwendungen (u.a. VoIP wie Skype, Fernwartungen etc.) können mittlerweile durch HTTP "tunneln". Eine gute Firewall versteht daher auch HTTP und kann bewerten, was tatsächlich stattfindet und kann sogar URLs, GET, POST und Formulardaten auf Schadcode oder unerwünschte Nutzung bewerten. Die Firewall kann sogar die Zugriffe auf einen Proxy umleiten oder selbst Proxy sein um den Schutz zu erhöhen und Bandbreite zu sparen, selbst wenn der Anwender keinen Proxy in seinem Browser eingetragen hat. Erst mit dem Einsatz von SSL oder IPSec wird es schwer für eine Firewall noch die Inhalte zu sehen, wenn Sie nicht als "Man in the Middle" die Verschlüsselung aufbrechen kann.

Portmapper und UUID als Schlüssel zum Dienst

Damit bleibt natürlich die Frage, wie ein Client den passenden Port zu einem Dienst findet. Microsoft nutzt dazu den RPC-Portmapper, der aber ursprünglich wohl von SUN initiiert wurde und daher in der ETC/Services oft auch als SunRPC gelistet wird. man umgeht damit die Problematik, dass ein Server nur 65535 Ports hat und damit nicht jede Serveranwendung ihren "eigenen" Port garantiert nutzen kann. Konflikte sind dann unvermeidbar. Daher kann ein Client eine Anfrage an den Portmapper über 135/TCP senden und eine eindeutige UUID übermitteln, die der Hersteller sich reserviert hat. Die UUID ist dabei lang genug, dass selbst zufälliger Festlegung ein Konflikt mit anderen Diensten nahezu ausgeschlossen ist. Eine zentrale Registry solcher UUIDs würde ja ein Fehlerrisiko haben, das sogar höher ist. Bei Windows wird auch oft der Begriff "GUID" genutzt.

UUID im RPC-Paket

Wie das auf dem Kabel aussieht, können Sie einfach mit NetMon 3 oder Wireshark/Ethereal ermitteln. Nach dem 3-Wege Handshake auf Port 135 und dem "Bind" mit Authentifizierung versucht hier Outlook den ersten Exchange Service (MS Exchange Directory RFR) zu ermitteln.

Die Antwort folgt auf dem Fuße:

Der Server sagt dem Client, dass der angefragte Dienste aktuell auf dem Port 378652 Verbindungen annimmt.

In der Antwort ist auch die IP-Adresse des Hosts hinterlegt. Diese wird von Outlook und den meisten anderen Diensten aber ignoriert. Der Client bleibt in der Regel bei der IP-Adresse, die er per DNS/WINS oder andere Konfigurationseinstellungen schon aufgelöst hat. Damit ist dieser Wert auch nicht von Belang, wenn der Client z.B. über einen Load Balancer auf einem Server landet. Der Server kennt ja nicht die virtuelle IP-Adresse des Load Balancers.

Die in dem Beispiel angezeigten UUIDs sind real und finden sich auch in der folgenden Tabelle wieder.

UUID ermitteln mit RPCDump

Das Programm RPCDump ist Bestandteil des Windows 2000 Resource Kit. Ein RPC-Ping auf einen Windows 2008 Domaincontroller liefert eine stattliche Liste von RPC-Diensten getrennt nach den verschiedenen Protokollen.

rpcdump /s <server> /i
Querying Endpoint Mapper Database...
71 registered endpoints found.

ncacn_http(Connection-oriented TCP/IP using Microsoft Internet Information Server as HTTP proxy.)
SRV01[49158] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[49158] [12345678-1234-abcd-ef00-01234567cffb] :NOT_PINGED
SRV01[49158] [12345778-1234-abcd-ef00-0123456789ac] :NOT_PINGED
SRV01[49158] [12345778-1234-abcd-ef00-0123456789ab] :NOT_PINGED
SRV01[49158] [f5cc5a18-4264-101a-8c59-08002b2f8426] MS NT Directory NSP Interface :NOT_PINGED
SRV01[49158] [e3514235-4b06-11d1-ab04-00c04fc2dcd2] MS NT Directory DRS Interface :NOT_PINGED

ncacn_np(Connection-oriented named pipes)
SRV01[\PIPE\InitShutdown] [d95afe70-a6d5-4259-822e-2c84da1ddb0d] :NOT_PINGED
SRV01[\PIPE\InitShutdown] [76f226c3-ec14-4325-8a99-6a46348418af] :NOT_PINGED
SRV01[\pipe\eventlog] [3c4728c5-f0ab-448b-bda1-6ce01eb0a6d6] DHCPv6 Client LRPC Endpoint :NOT_PINGED
SRV01[\pipe\eventlog] [3c4728c5-f0ab-448b-bda1-6ce01eb0a6d5] DHCP Client LRPC Endpoint :NOT_PINGED
SRV01[\pipe\eventlog] [30adc50c-5cbc-46ce-9a0e-91914789e23c] NRP server endpoint :NOT_PINGED
SRV01[\pipe\eventlog] [f6beaff7-1e19-4fbb-9f8f-b89e2018337c] Event log TCPIP :NOT_PINGED
SRV01[\PIPE\srvsvc] [30b044a5-a225-43f0-b3a4-e060df91f9c1] :NOT_PINGED
SRV01[\PIPE\atsvc] [30b044a5-a225-43f0-b3a4-e060df91f9c1] :NOT_PINGED
SRV01[\PIPE\srvsvc] [c9ac6db5-82b7-4e55-ae8a-e464ed7b4277] Impl friendly name :NOT_PINGED
SRV01[\PIPE\atsvc] [c9ac6db5-82b7-4e55-ae8a-e464ed7b4277] Impl friendly name :NOT_PINGED
SRV01[\PIPE\srvsvc] [552d076a-cb29-4e44-8b6a-d15e59e2c0af] IP Transition Configuration endpoint :NOT_PINGED
SRV01[\PIPE\atsvc] [552d076a-cb29-4e44-8b6a-d15e59e2c0af] IP Transition Configuration endpoint :NOT_PINGED
SRV01[\PIPE\srvsvc] [a398e520-d59a-4bdd-aa7a-3c1e0303a511] IKE/Authip API :NOT_PINGED
SRV01[\PIPE\atsvc] [a398e520-d59a-4bdd-aa7a-3c1e0303a511] IKE/Authip API :NOT_PINGED
SRV01[\PIPE\atsvc] [98716d03-89ac-44c7-bb8c-285824e51c4a] XactSrv service :NOT_PINGED
SRV01[\PIPE\atsvc] [86d35949-83c9-4044-b424-db363231fd0c] :NOT_PINGED
SRV01[\PIPE\atsvc] [378e52b0-c0a9-11cf-822d-00aa0051e40f] :NOT_PINGED
SRV01[\PIPE\atsvc] [1ff70682-0a51-30e8-076d-740be8cee98b] :NOT_PINGED
SRV01[\PIPE\W32TIME_ALT] [3473dd4d-2e88-4006-9cba-22570909dd10] WinHttp Auto-Proxy Service :NOT_PINGED
SRV01[\pipe\efsrpc] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[\PIPE\protected_storage] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[\pipe\lsass] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[\PIPE\protected_storage] [12345678-1234-abcd-ef00-01234567cffb] :NOT_PINGED
SRV01[\pipe\lsass] [12345678-1234-abcd-ef00-01234567cffb] :NOT_PINGED
SRV01[\PIPE\protected_storage] [12345778-1234-abcd-ef00-0123456789ac] :NOT_PINGED
SRV01[\pipe\lsass] [12345778-1234-abcd-ef00-0123456789ac] :NOT_PINGED
SRV01[\PIPE\protected_storage] [12345778-1234-abcd-ef00-0123456789ab] :NOT_PINGED
SRV01[\pipe\lsass] [12345778-1234-abcd-ef00-0123456789ab] :NOT_PINGED
SRV01[\PIPE\protected_storage] [f5cc5a18-4264-101a-8c59-08002b2f8426] MS NT Directory NSP Interface :NOT_PINGED
SRV01[\pipe\lsass] [f5cc5a18-4264-101a-8c59-08002b2f8426] MS NT Directory NSP Interface :NOT_PINGED
SRV01[\PIPE\protected_storage] [e3514235-4b06-11d1-ab04-00c04fc2dcd2] MS NT Directory DRS Interface :NOT_PINGED
SRV01[\pipe\lsass] [e3514235-4b06-11d1-ab04-00c04fc2dcd2] MS NT Directory DRS Interface :NOT_PINGED
SRV01[\pipe\WinsPipe] [811109bf-a4e1-11d1-ab54-00a0c91e9b45] :NOT_PINGED
SRV01[\pipe\WinsPipe] [45f52c28-7f9f-101a-b52b-08002b2efabe] :NOT_PINGED

ncacn_ip_tcp(Connection-oriented TCP/IP)
SRV01[49153] [3c4728c5-f0ab-448b-bda1-6ce01eb0a6d6] DHCPv6 Client LRPC Endpoint :NOT_PINGED
SRV01[49153] [3c4728c5-f0ab-448b-bda1-6ce01eb0a6d5] DHCP Client LRPC Endpoint :NOT_PINGED
SRV01[49153] [30adc50c-5cbc-46ce-9a0e-91914789e23c] NRP server endpoint :NOT_PINGED
SRV01[49153] [f6beaff7-1e19-4fbb-9f8f-b89e2018337c] Event log TCPIP :NOT_PINGED
SRV01[49154] [30b044a5-a225-43f0-b3a4-e060df91f9c1] :NOT_PINGED
SRV01[49154] [c9ac6db5-82b7-4e55-ae8a-e464ed7b4277] Impl friendly name :NOT_PINGED
SRV01[49154] [552d076a-cb29-4e44-8b6a-d15e59e2c0af] IP Transition Configuration endpoint :NOT_PINGED
SRV01[49154] [a398e520-d59a-4bdd-aa7a-3c1e0303a511] IKE/Authip API :NOT_PINGED
SRV01[49154] [98716d03-89ac-44c7-bb8c-285824e51c4a] XactSrv service :NOT_PINGED
SRV01[49154] [86d35949-83c9-4044-b424-db363231fd0c] :NOT_PINGED
SRV01[49159] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[49155] [b25a52bf-e5dd-4f4a-aea6-8ca7272a0e86] KeyIso :NOT_PINGED
SRV01[49159] [12345678-1234-abcd-ef00-01234567cffb] :NOT_PINGED
SRV01[49155] [12345678-1234-abcd-ef00-01234567cffb] :NOT_PINGED
SRV01[49159] [12345778-1234-abcd-ef00-0123456789ac] :NOT_PINGED
SRV01[49155] [12345778-1234-abcd-ef00-0123456789ac] :NOT_PINGED
SRV01[49155] [12345778-1234-abcd-ef00-0123456789ab] :NOT_PINGED
SRV01[49155] [f5cc5a18-4264-101a-8c59-08002b2f8426] MS NT Directory NSP Interface :NOT_PINGED
SRV01[49155] [e3514235-4b06-11d1-ab04-00c04fc2dcd2] MS NT Directory DRS Interface :NOT_PINGED
SRV01[51796] [811109bf-a4e1-11d1-ab54-00a0c91e9b45] :NOT_PINGED
SRV01[51796] [45f52c28-7f9f-101a-b52b-08002b2efabe] :NOT_PINGED
SRV01[51802] [5b821720-f63b-11d0-aad2-00c04fc324db] :NOT_PINGED
SRV01[51802] [6bffd098-a112-3610-9833-46c3f874532d] :NOT_PINGED
SRV01[51804] [a00c021c-2be2-11d2-b678-0000f87a8f8e] PERFMON SERVICE :NOT_PINGED
SRV01[51804] [d049b186-814f-11d1-9a3c-00c04fc9b232] NtFrs API :NOT_PINGED
SRV01[51804] [f5cc59b4-4264-101a-8c59-08002b2f8426] NtFrs Service :NOT_PINGED
SRV01[51808] [367abb81-9844-35f1-ad32-98f038001003] :NOT_PINGED
SRV01[51812] [12345678-1234-abcd-ef00-0123456789ab] IPSec Policy agent endpoint :NOT_PINGED
SRV01[51812] [6b5bdd1e-528c-422c-af8c-a4079be4fe48] Remote Fw APIs :NOT_PINGED
SRV01[51813] [50abc2a4-574d-40b3-9d66-ee4fd5fba076] :NOT_PINGED
SRV01[49152] [d95afe70-a6d5-4259-822e-2c84da1ddb0d] :NOT_PINGED

rpcdump completed sucessfully after 1 seconds

Mit dem Parameter "/i"  werden alle Dienste auch einmal angesprochen, was aber dann einige Zeit dauert. In dem Beispiel waren es dann ca. 140 Sekunden.

Dienste, Ports und UUID

Bei einigen Firewalls können Sie aus einer vordefinierten Liste von UUIDs auswählen. Bei anderen müssen Sie selbst fehlende UUIDs pflegen. Daher habe ich aus verschiedenen Quellen einmal UUIDs zusammen gesucht. Sie werden aber auch so schon sehen, dass schon Exchange alleine eigene ganze Menge von UUIDs nutzt, die auch von der Exchange Version abhängig sind. Sehr viele Dienste kann man auch von der dynamischen Portrange auf "Statische Ports" umstellen.

832017 Service overview and network port requirements für Windows
Dieser KB-Artikel fasst die meisten Windows Dienste zusammen und enthält Hinweise auf die Konfiguration mit statischen Ports.

Ein Firewall Admin, der auf Sicherheit wert legt, wird nicht auf Verdacht eine UUID zulassen, sondern z.B. mit RPCPING die erforderlichen ermitteln oder einfach sehen, welche Zugriffe noch geblockt werden und dann nachsteuern.

Weitere Links

• 65535 Port-Limit
• Outlook RPC
• 832017 Service overview and network port requirements für Windows
• 319553 How to restrict FRS replication traffic to a specific static port
• 178517 TCP ports, UDP ports, and RPC ports that are used by Message Queuing.
• Protecting Windows RPC Traffic
  http://technet.microsoft.com/en-us/library/cc751166.aspx
• 304948 RPC Interfaces That Are Exposed by Secure Mail Publishing in ISA Server 2000
• Universally unique Identifier
  http://de.wikipedia.org/wiki/Universally_Unique_Identifier
• RPC over Firewall
  http://techjambu.blogspot.de/2012/03/rpc-over-firewall.html#!/2012/03/rpc-over-firewall.html
• Juniper KB12057  MS-RPC UUID Mappings
  http://kb.juniper.net/InfoCenter/index?page=content&id=KB12057