GPO ব্যবহার করে উইন্ডোজে NetBIOS এবং LLMNR প্রোটোকল নিষিদ্ধ করা

ব্রডকাস্ট প্রোটোকল NetBIOS over TCP/IP এবং LLMNR আধুনিক নেটওয়ার্কের অধিকাংশে লিগেসি উইন্ডোজ ভার্সনের সাথে কম্প্যাটিবিলিটির জন্য মাত্র ব্যবহার হয়। দুটি প্রোটোকলই স্পুফিং এবং MITM আক্রমণের আশ্রয়দাতা। Metasploit-এ রেডিমেড মডিউল রয়েছে যা ব্রডকাস্ট NetBIOS এবং LLMNR প্রোটোকলের ঝুঁকি আপন seizoen করে লোকাল নেটওয়ার্কে ব্যবহারকারীর শংসাপত্র (NTLMv2 হ্যাশ সহ) ইন্টারসেপ্ট করতে দেয়। আপনার নেটওয়ার্ক সিকিউরিটি উন্নত করতে, ডোমেন নেটওয়ার্কে এই প্রোটোকলগুলো নিষিদ্ধ করতে হবে। চলে দেখি কীভাবে উইন্ডোজ ১০/উইন্ডোজ সার্ভার ২০১৯-এ ম্যানুয়ালি বা গ্রুপ পলিসি দিয়ে LLMNR এবং NetBIOS প্রোটোকল নিষিদ্ধ করতে হয়।

Link-Local Multicast Name Resolution (LLMNR) প্রোটোকল

LLMNR (UDP/5355, Link-Local Multicast Name Resolution) উইন্ডোজ ভিস্টা থেকে সকল উইন্ডোজ ভার্সনে ব্যবহৃত হয় এবং IPv6 এবং IPv4 ক্লায়েন্টগুলাকে DNS সার্ভার ছাড়া লোকাল L2 নেটওয়ার্ক সেগমেন্টে ব্রডকাস্ট রিকোয়েস্ট দিয়ে পাশের কম্পিউটারদের নাম রেজলভ করতে দেয়। এই প্রোটোকলটি স্বয়ংক্রিয়ভাবে ব্যবহৃত হয় যদি DNS অনুপলব্ধ থাকে (উইন্ডোজ ওয়ার্কগ্রুপে এই প্রোটোকল নেটওয়ার্ক ডিসকভেরির জন্য ব্যবহৃত হয়)। তাই যদি ডোমেনে DNS সার্ভার থাকে, তবে এই প্রোটোকলটি প্রয়োজন নেই।

NetBIOS Over TCP/IP প্রোটোকল

NetBIOS over TCP/IP বা NBT-NS (UDP/137,138; TCP/139) একটি ব্রডকাস্ট প্রোটোকল যা LLMNR-এর পূর্বসূরি এবং লোকাল নেটওয়ার্কে রিসোর্স পাবলিশ এবং সার্চ করতে ব্যবহৃত হয়। ডিফল্টভাবে, সকল উইন্ডোজ ভার্সনে সকল নেটওয়ার্ক ইন্টারফেসের জন্য NetBIOS over TCP/IP সাপোর্ট সক্রিয় থাকে।

উইন্ডোজে, nbtstat কমান্ড ব্যবহার করে NetBIOS পরিসংখ্যান এবং NBT-র মাধ্যমে বর্তমান TCP/IP সংযোগ দেখা যায়। কোনো কম্পিউটারের IP ঠিকানা দিয়ে তার নাম পেতে:

nbtstat -A 192.168.131.190

দেখা যাচ্ছে, nbtstat লোকাল নেটওয়ার্কে NetBIOS প্রোটোকল ব্যবহার করে একটি কম্পিউটার খুঁজে পেয়েছে এবং এর নাম ফেরত দিয়েছে।

সেম লোকাল নেটওয়ার্কে থাকা প্রতিবেশী কম্পিউটারদের NetBIOS ক্যাশে সম্পর্কিত সকল রেকর্ড দেখতে:

nbtstat -c

NetBIOS এবং LLMNR প্রোটোকল কম্পিউটারগুলাকে লোকাল নেটওয়ার্কে একে অপর খুঁজে পাওয়ায় সাহায্য করে যদি DNS সার্ভার অনুপলব্ধ থাকে। সম্ভবত ওয়ার্কগ্রুপ পরিবেশে এগুলো প্রয়োজন, কিন্তু ডোমেন নেটওয়ার্কে এই দুটি প্রোটোকল নিষিদ্ধ করা যাবে।

টিপ. ডোমেনে এই পলিসিগুলো ম্যাস বাস্তবায়ন করার আগে, আমরা দৃঢ়ভাবে সুপারিশ করি NetBIOS এবং LLMNR নিষিদ্ধ করা কম্পিউটার এবং সার্ভার টেস্ট করুন। এবং সাধারণত LLMNR নিষিদ্ধ করলে কোনো সমস্যা হয় না, তবে NetBIOS নিষিদ্ধ করলে লিগেসি ডিভাইসের অপারেশন প্যারালাইজড হতে পারে।

GPO ব্যবহার করে উইন্ডোজে LLMNR নিষিদ্ধ করা

আপনি রেজিস্ট্রি ব্যবহার করে একটি উইন্ডোজ কম্পিউটারে লোকালি LLMNR প্রোটোকল নিষিদ্ধ করতে পারেন নিচের পাওয়ারশেল কমান্ডগুলো দিয়ে:

New-Item "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT" -Name DNSClient -Force
New-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" -Name EnableMultiCast -Value 0 -PropertyType DWORD -Force

ডোমেন পরিবেশে, কম্পিউটার এবং সার্ভারে LLMNR ব্রডকাস্ট নিষিদ্ধ করতে গ্রুপ পলিসি ব্যবহার করা যায়। এর জন্য:

1. gpmc.msc খুলুন, একটি নতুন GPO তৈরি করুন বা একটি বিদ্যমান GPO এডিট করুন যা সকল ওয়ার্কস্টেশন এবং সার্ভারে প্রয়োগ হয়;
2. Computer Configuration -> Administrative Templates -> Network -> DNS Client-এ যান;
3. Turn off multicast name resolution পলিসি সক্ষম করুন এর মান Enabled সেট করে;
4. ক্লায়েন্টে GPO সেটিংস আপডেট হওয়ার জন্য অপেক্ষা করুন, অথবা ম্যানুয়ালি আপডেট করুন কমান্ড দিয়ে: gpupdate /force

অথবা আপনি GPP ব্যবহার করে EnableMulticast = 0 রেজিস্ট্রি প্যারামিটার ডোমেন কম্পিউটারগুলোর ওপর ডিপ্লয় করতে পারেন (রেজ কী HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient-এ)।

উইন্ডোজ ১০/উইন্ডোজ সার্ভার ২০১৯-এ NetBIOS over TCP/IP নিষিদ্ধ করা

নোট. NetBIOS লিগেসি উইন্ডোজ ভার্সন (২০০০, XP, ইত্যাদি) এবং কিছু নন-উইন্ডোজ ডিভাইস দ্বারা ব্যবহার করা হতে পারে, তাই প্রতিটি নির্দিষ্ট পরিবেশে নিষিদ্ধ করার আগে টেস্ট করা উচিত।

আপনি ম্যানুয়ালি উইন্ডোজে NetBIOS নিষিদ্ধ করতে পারেন নিম্নরূপ:

1. নেটওয়ার্ক কানেকশন প্রপার্টিজ খুলুন
2. TCP/IPv4 সিলেক্ট করুন এবং এর প্রপার্টিজ খুলুন
3. Advanced ক্লিক করুন, তারপর WINS ট্যাবে যান এবং Disable NetBIOS over TCP সিলেক্ট করুন
4. পরিবর্তনগুলো সেভ করুন।

যদি আপনার কম্পিউটারে একাধিক নেটওয়ার্ক অ্যাডাপ্টার (বা VLAN) থাকে, তবে প্রতিটি প্রপার্টিজে NetBIOS নিষিদ্ধ করতে হবে।

উইন্ডোজ কমান্ড প্রম্পট থেকে নেটওয়ার্ক অ্যাডাপ্টারগুলোর NetBIOS over TCP/IP স্ট্যাটাস চেক করতে পারেন:

ipconfig /all |find "NetBIOS"

NetBIOS over Tcpip . . . . . : Disabled

আপনি নির্দিষ্ট নেটওয়ার্ক অ্যাডাপ্টারের জন্য রেজিস্ট্রি দিয়েও NetBIOS নিষিদ্ধ করতে পারেন। প্রতিটি নেটওয়ার্ক অ্যাডাপ্টারের আলাদা একটি রেজিস্ট্রি কী থাকে HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces এর অধীনে যেটি এর TCPIP_GUID ধারণ করে।

নির্দিষ্ট অ্যাডাপ্টারের জন্য NetBIOS নিষিদ্ধ করতে, তার রেজ কীতে যান এবং NetbiosOptions প্যারামিটারের মান 2-এ পরিবর্তন করুন (ডিফল্ট 0)।

আপনি উইন্ডোজ DHCP সার্ভার থেকে IP ঠিকানা পাওয়া ডোমেন ক্লায়েন্টগুলোর NetBIOS নিষিদ্ধ করতে একটি বিশেষ DHCP অপশন ব্যবহার করতে পারেন।

1. dhcpmgmt.msc কনসোল চালান, DHCP সার্ভারের সাথে সংযোগ করুন এবং Scope Option জোন সেটিংস সিলেক্ট করুন (অথবা সার্ভার – Server Options);
2. Advanced ট্যাবে যান এবং Vendor class ড্রপডাউন লিস্টে Microsoft Windows 2000 Options সিলেক্ট করুন;
3. 001 Microsoft Disable Netbios Option সক্ষম করুন এবং এর মান 0x2 সেট করুন।

গ্রুপ পলিসি ব্যবহার করে NetBIOS Over TCP/IP নিষিদ্ধ করা

গ্রুপ পলিসি এডিটর বা উইন্ডোজ ১০/উইন্ডোজ সার্ভার ২০১৯-এর লেটেস্ট Administrative Templates-এ সকল নেটওয়ার্ক অ্যাডাপ্টারের জন্য NetBIOS over TCP/IP নিষিদ্ধ করার আলাদা কোনো GPO অপশন নেই। সকল নেটওয়ার্ক অ্যাডাপ্টারের জন্য NetBIOS সম্পূর্ণ নিষিদ্ধ করতে নিচের পাওয়ারশেল লগ অন স্ক্রিপ্ট ব্যবহার করুন:

$regkey = "HKLM:SYSTEM\CurrentControlSet\services\NetBT\Parameters\Interfaces"
Get-ChildItem $regkey |foreach { Set-ItemProperty -Path "$regkey\$($_.pschildname)" -Name NetbiosOptions -Value 2 -Verbose}

এই কোডটি disableNetbios.ps1 ফাইলে সেভ করুন, আপনার GPO ডিরেক্টরিতে কপি করুন এবং ক্লায়েন্টে চালান Computer Configuration -> Policies -> Windows Settings -> Scripts -> Startup -> PowerShell Scripts এর মাধ্যমে।

যদি আপনার বর্তমান পাওয়ারশেল এক্সিকিউশন পলিসি এই স্ক্রিপ্ট উইন্ডোজ কম্পিউটারগুলোতে চালানোর বাধা দেয়, তবে আপনাকে PS1 স্ক্রিপ্ট সাইন করতে হবে বা বাইপাস মোডে চালাতে হবে।

নোট. এই পরিবর্তন কার্যকর হওয়ার জন্য, আপনাকে নেটওয়ার্ক অ্যাডাপ্টার এনেবল/ডিজেবল করতে হবে বা কম্পিউটার রিস্টার্ট করতে হবে।

তারপর কমান্ড প্রম্পট খুলুন এবং নিচের কমান্ড চালান যাতে নিশ্চিত হয় যে NetBIOS আপনার নেটওয়ার্ক অ্যাডাপ্টারগুলোর জন্য নিষিদ্ধ (টানেল ইন্টারফেস ছাড়া):

wmic nicconfig get caption,index,TcpipNetbiosOptions