Найясніший пост, який я бачив у цьому питанні, - це Меттью Гарретт (включаючи коментарі).
Зараз Метью випустив інструмент для локальної перевірки вашої системи: побудуйте її, запустіть її
sudo ./mei-amt-check
і він повідомить про те, чи увімкнено та передбачено використання AMT, і якщо він є, версії прошивки (див. нижче) README має більше деталей.
Щоб сканувати вашу мережу на предмет потенційно вразливих систем, скануйте порти 623, 624 та 16992 по 16993 (як описано у власному документі щодо пом'якшення наслідків ); наприклад
nmap -p16992,16993,16994,16995,623,664 192.168.1.0/24
сканує мережу 192.168.1 / 24 та повідомляє про стан усіх хостів, які відповідають. Можливість підключення до порту 623 може бути помилковим позитивом (інші системи IPMI використовують цей порт), але будь-який відкритий порт з 16992 по 16995 рік є дуже хорошим показником активованого AMT (принаймні, якщо вони відповідають відповідним чином: з AMT, це означає відповідь HTTP 16992 та 16993, остання з TLS).
Якщо ви бачите відповіді на портах 16992 або 16993, підключення до них та запит /за допомогою HTTP поверне відповідь Serverрядком, що містить "Intel (R) Active Technology Technology" в системах з включеною AMT; цей самий рядок також міститиме використану версію вбудованого програмного забезпечення AMT, яку потім можна порівняти зі списком, наведеним у довідці Intel, щоб визначити, чи є вона вразливою.
Дивіться відповідь CerberusSec за посиланням на сценарій, що автоматизує вище.
Є два способи виправити проблему "належним чином":
- оновіть прошивку, як тільки виробник вашої системи надасть оновлення (якщо таке є);
- уникайте використання мережевого порту, що забезпечує AMT, або за допомогою мережного інтерфейсу, який не підтримує AMT, у вашій системі, або за допомогою USB-адаптера (у багатьох робочих станціях AMT, таких як системи C226 Xeon E3 з мережевими портами i210, є лише один AMT- працездатний мережевий інтерфейс - решта безпечні; зауважте, що AMT може працювати над Wi-Fi, принаймні в Windows, тому використання вбудованого Wi-Fi також може призвести до компромісу).
Якщо жоден із цих варіантів недоступний, ви перебуваєте на території пом'якшення наслідків. Якщо ваша система, що підтримує AMT, ніколи не передбачалася для AMT, то ви досить безпечні; увімкнення AMT у цьому випадку, очевидно, може бути зроблено лише локально, і, наскільки я можу сказати, потрібно використовувати прошивку вашої системи або програмне забезпечення Windows. Якщо AMT увімкнено, ви можете перезавантажити та використовувати прошивку, щоб відключити її (натисніть, CtrlPколи під час завантаження відображається повідомлення AMT).
В основному, хоча вразливість привілеїв є досить неприємною, схоже, більшість систем Intel насправді не впливають. Для ваших власних систем з операційною системою Linux або іншої схожої на Unix операційної системи, ймовірно, потрібен фізичний доступ до системи, щоб в першу чергу ввімкнути AMT. (У Windows - інша історія.) У системах з декількома мережевими інтерфейсами, як вказував Rui F Ribeiro , ви повинні ставитися до AMT-інтерфейсів так само, як і до будь-якого адміністративного інтерфейсу (IPMI-сумісного або хост-інтерфейсу) для гіпервізора VM) та виділити його в адміністративній мережі (фізичній або VLAN). Ви не можете покластися на хост, щоб захистити себе: iptablesі т.д. тут неефективні, тому що AMT бачить пакети до операційної системи (і зберігає пакети AMT до себе).
Віртуальні машини можуть ускладнювати питання, але лише в тому сенсі, що вони можуть заплутати AMT і таким чином створювати заплутані результати сканування, якщо AMT увімкнено. amt-howto(7)наводить приклад систем Xen, де AMT використовує адресу, задану DomU через DHCP, якщо така є, це означає, що сканування показало б, що AMT є активним у DomU, а не Dom0 ...