Ringkasan #
Intel baru-baru ini menerbitkan serangkaian kerentanan yang memengaruhi implementasi dan desain beberapa prosesor dan firmware mereka, yang ancamannya memengaruhi dari perangkat hingga platform server.
Pada bagian berikut ini dijelaskan bagaimana kerentanan ini mempengaruhi perangkat jaringan dan infrastruktur berbasis server di pusat data.
Kerentanan Firmware Intel #
Untuk mengatasi risiko kerentanan ini, Intel telah menerbitkan rekomendasi untuk membantu administrator sistem dan keamanan mengatasi ancaman ini dengan menyediakan beberapa sumber daya:
Tinjauan Keamanan Intel-SA-00086
Artikel Dukungan Intel-SA-00086
Alat Deteksi Intel-SA-00086
Disarankan untuk membaca pengamatan di atas dan menerapkan pembaruan firmware yang telah disediakan oleh berbagai vendor guna menjaga infrastruktur yang aman jika terjadi serangan di masa mendatang yang dapat memanfaatkan kelemahan-kelemahan ini.
Sehubungan dengan dampak kerentanan ini terhadap infrastruktur jaringan di pusat data, kami dapat merangkum premis berikut:
1. Kerentanan ini mempengaruhi sebagian besar prosesor Intel dan kemungkinan besar akan terpengaruh oleh salah satu dari mereka.
2. Kerentanan ini didasarkan pada ancaman peningkatan hak istimewa, dan karenanya, memerlukan akses lokal ke sistem operasi agar dapat mengeksekusi kode arbitrer. Atau setidaknya, akses jarak jauh sebagai administrator diperlukan untuk memanfaatkan kerentanan ini.
3. Anda harus menerapkan pembaruan firmware yang disediakan oleh vendor dan menonaktifkan apakah layanan tersebut memungkinkan: Intel Management Engine (Intel ME), Intel Trusted Execution Engine (Intel TXE), Intel Server Platform Services (SPS) dan Intel ATM.
4. Perkuat akses lokal dan jarak jauh ke sistem operasi dengan mengisolasi jaringan manajemen dan menghindari hak akses pengguna atau proses ke sistem operasi.
5. Hal ini berdampak pada platform virtual atau perangkat keras, lingkungan lokal atau cloud, atau bahkan layanan mikro. Setiap lapisan harus menjaga perlindungan terhadap ancaman ini.
Kerentanan Kebocoran Memori Kernel atau bug CPU Intel #
CPU Intel telah terkena dampak bug keamanan tingkat chip yang kritis yang tidak dapat diperbaiki dengan pembaruan mikrokode, namun pada tingkat OS dan memengaruhi semuanya (Windows, Linux, dan macOS.
Kerentanan Kernel Memory Leaking menghadapi masalah di mana setiap program ruang pengguna (basis data, javascript, peramban web, dll.) dapat mengakses secara ilegal konten tertentu dalam memori kernel yang dilindungi, dengan melewati batas memori virtual yang ditentukan dalam sistem operasi. Perbaikan pada tingkat OS hadir dengan implementasi Kernel Page Table Isolation (KPTI) untuk memastikan memori kernel tidak terlihat oleh proses pengguna.
Namun, karena ini bukan dunia yang sempurna, peningkatan keamanan yang diterapkan oleh patch ini menimbulkan penalti kinerja yang besar untuk program pengguna sekitar 30%. Selain itu, perlambatan akan sangat bergantung pada beban kerja dan penggunaan intensif I/O antara kernel dan program ruang pengguna. Untuk kasus spesifik fungsi jaringan dalam pusat data, ini tidak terlalu penting karena tugasnya jelas dan tidak menangani terlalu banyak pemrosesan data meskipun fungsi lapisan 7 intensif seperti pembongkaran SSL, peralihan konten, dll.
Kerentanan ini dapat disalahgunakan terutama oleh program atau pengguna yang login untuk membaca isi data memori kernel. Oleh karena itu, lingkungan berbagi sumber daya seperti virtualisasi, layanan mikro, atau sistem cloud lebih mungkin terpengaruh dan disalahgunakan.
Sampai patch definitif di tingkat OS tersedia, poin-poin pencegahan yang telah kami tetapkan di bagian sebelumnya, akan cukup untuk saat ini.
AMD telah mengonfirmasi bahwa prosesor mereka tidak terpengaruh oleh kerentanan dan karenanya, oleh kinerja yang buruk.
Serangan Meltdown dan Specter #
Serangan Meltdown dan Spectre mengacu pada kerentanan saluran samping yang ditemukan di beberapa implementasi perangkat keras CPU, yang memanfaatkan kemampuan untuk mengekstrak informasi dari instruksi CPU yang dijalankan menggunakan cache CPU sebagai saluran samping. Saat ini, ada beberapa varian serangan tersebut:
Varian 1 (CVE-2017-5753, Spectrum): Batas periksa bypass
Varian 2 (CVE-2017-5715, juga Spectrum): Injeksi target cabang
Varian 3 (CVE-2017-5754, Meltdown): Pemuatan cache data yang buruk, pemeriksaan izin akses memori dilakukan setelah memori kernel dibaca
Penjelasan teknis lebih lanjut mengenai serangan ini dapat ditemukan di http://www.kb.cert.org/vuls/id/584653.
Dampak Meltdown dan Spectre di RELIANOID Penyeimbang Beban #
Risiko kerentanan ini di RELIANOID Load Balancer rendah sebagai penyerang harus memiliki akses lokal ke sistem operasi dan mereka harus dapat mengeksekusi kode berbahaya dengan hak pengguna untuk memanfaatkannya. RELIANOID Edisi Perusahaan adalah alat khusus jaringan yang tidak mengizinkan pengguna non-administratif lokal mengeksekusi kode pihak ketiga, sehingga hal ini tidak mungkin terjadi dan dapat dicegah dengan praktik administrasi yang baik.
Selain itu, jaringan manajemen Load Balancer biasanya bersifat pribadi dan secara default tidak ada pengguna tambahan selain pengguna administratif, sehingga risikonya rendah. Di sisi lain, sistem multi-penyewa seperti lingkungan virtual publik, platform kontainer, dan lingkungan cloud dapat menghadapi risiko terbesar.
Untuk mencegah serangan, harap ikuti rekomendasi keamanan yang kami cantumkan di atas.
Saat ini, terdapat beberapa perbaikan pada tingkat Sistem Operasi untuk sepenuhnya memitigasi kerentanan ini, namun perbaikan tersebut menghasilkan beberapa efek samping kinerja. Tim Keamanan kami berupaya menyediakan patch definitif untuk memitigasi ancaman keamanan ini sesegera mungkin dengan dampak minimal pada layanan pengiriman aplikasi Anda.
Informasi lebih lanjut akan disampaikan melalui Saluran Dukungan Resmi.
