CVE-2017-0144

IMMEDIATE ACTIONS:

1. Apply Microsoft security update MS17-010 immediately on ALL Windows systems — this patch has been available since March 2017

2. Disable SMBv1 protocol entirely across the organization using: Set-SmbServerConfiguration -EnableSMB1Protocol $false (PowerShell) or via Group Policy

3. Block SMB traffic (TCP ports 445, 139 and UDP ports 137, 138) at the network perimeter firewall — SMB should NEVER be exposed to the internet



DETECTION:

4. Deploy IDS/IPS signatures for EternalBlue exploitation attempts (Snort SID: 41978, 42329-42332)

5. Monitor for unusual SMB traffic patterns, especially lateral movement on port 445

6. Run vulnerability scans specifically targeting MS17-010 across all network segments

7. Check for indicators of compromise associated with WannaCry, NotPetya, and EternalBlue-based malware



COMPENSATING CONTROLS:

8. For legacy systems that cannot be patched: implement strict network segmentation, isolate these systems in dedicated VLANs with no SMB connectivity

9. Enable Windows Firewall rules to restrict SMB access to only authorized management systems

10. Implement micro-segmentation to prevent lateral movement via SMB

11. Ensure endpoint detection and response (EDR) solutions are deployed and monitoring for exploitation attempts

الإجراءات الفورية:

1. تطبيق تحديث الأمان MS17-010 من مايكروسوفت فوراً على جميع أنظمة Windows — هذا التصحيح متاح منذ مارس 2017

2. تعطيل بروتوكول SMBv1 بالكامل عبر المؤسسة باستخدام: Set-SmbServerConfiguration -EnableSMB1Protocol $false (PowerShell) أو عبر سياسات المجموعة

3. حظر حركة مرور SMB (منافذ TCP 445 و139 ومنافذ UDP 137 و138) على جدار الحماية المحيطي — يجب ألا يتعرض SMB للإنترنت أبداً



الكشف:

4. نشر توقيعات IDS/IPS لمحاولات استغلال EternalBlue (Snort SID: 41978, 42329-42332)

5. مراقبة أنماط حركة مرور SMB غير العادية، خاصة الحركة الجانبية على المنفذ 445

6. تشغيل فحوصات الثغرات التي تستهدف MS17-010 تحديداً عبر جميع قطاعات الشبكة

7. التحقق من مؤشرات الاختراق المرتبطة بـ WannaCry وNotPetya والبرمجيات الخبيثة المبنية على EternalBlue



الضوابط التعويضية:

8. للأنظمة القديمة التي لا يمكن تحديثها: تنفيذ تجزئة شبكية صارمة وعزل هذه الأنظمة في شبكات VLAN مخصصة بدون اتصال SMB

9. تفعيل قواعد جدار حماية Windows لتقييد وصول SMB إلى أنظمة الإدارة المصرح بها فقط

10. تنفيذ التجزئة الدقيقة لمنع الحركة الجانبية عبر SMB

11. التأكد من نشر حلول الكشف والاستجابة للنقاط الطرفية (EDR) ومراقبة محاولات الاستغلال