微软告知用户，运行Internet信息服务(IIS)的Windows服务器容易受到依赖恶意HTTP 2请求的拒绝服务(DoS)攻击。
根据该巨头的说法，发送特制的HTTP2请求可导致机器的CPU暂时达到100%，直到使IIS死机停止服务。
微软在其公告中表示 HTTP2规范允许客户端使用任意数量的SETTINGS参数指定任意数量的SETTINGS帧。在某些情况下，过多的设置会导致服务变得不稳定，并可能导致临时CPU使用率激增，直到达到连接超时并关闭连接。
该漏洞影响Windows 10、Windows Server和Windows Server 2016等诸多版本，本周发布的2月非安全更新通过允许IIS管理员定义请求中包含的HTTP2设置数量的阈值来解决此问题。
但应注意Microsoft发布的更新默认情况下是不定义任何值的，IIS管理员手动自行执行此操作。微软将此漏洞报告归功于F5 Networks的Gal Goldshtein。值得注意的是，Goldshtein 最近在nginx开源网络服务器软件中发现了一个跟CVE-2018-16844类似的类似漏洞。
Microsoft IIS中的漏洞缺陷可能会给使用IIS作为其公司网站或应用程序的企业组织带来严重的安全问题。虽然Microsoft已经开发了一个修补程序来解决此问题，IT团队仍需要具备正确配置IIS的能力，以解决问题。微软明确表示他们不提供预设，因此修复问题不仅仅是应用补丁，还需要有经验的IT人员的进一步参与。
IT团队应该使用网络流量分析来查看进入其IIS服务器的连接情况，以确定是否有异常连接到他们的Web服务器。通常这些连接是长期处于连接状态，或者源连接不断重复在服务器上触发。通过查看对应指标，IT团队可以识别DDoS的来源。通过适当的配置可以解决该类型的安全问题。网络流量分析可以帮助IT团队更准确的了解可能存在配置问题的位置，以便在出现DDoS攻击等重大问题之前更新系统合理配置，也为应急处突做好必要的准备。
网络安全为人民，网络安全靠人民，网络安全你我他的责任，感谢抽空阅读本文，希望能为你在网络信息安全工作中拓展思路!
Windows服务器操作系统在我们生产环境中，使用率一直是据于高位的，对于Windows存在安全漏洞，我们应当在日常维护过程中，时刻注意安全动向以及安全补丁程序更新情况，以便更好的维护自己单位的Windows相关的IT资产。在此，希望见到此文的朋友，能够核查自己的服务器是否在影响之列，及时做好补丁更新并合理配置IIS服务器，同时，如果你有朋友在维护Windows操作系统的服务器，也请转发给他，提醒他做好防范!
声明： 猿站网有关资源均来自网络搜集与网友提供，任何涉及商业盈利目的的均不得使用，否则产生的一切后果将由您自己承担！ 本平台资源仅供个人学习交流、测试使用 所有内容请在下载后24小时内删除，制止非法恶意传播，不对任何下载或转载者造成的危害负任何法律责任！也请大家支持、购置正版！ 。本站一律禁止以任何方式发布或转载任何违法的相关信息访客发现请向站长举报，会员发帖仅代表会员个人观点，并不代表本站赞同其观点和对其真实性负责。本网站的资源部分来源于网络，如有侵权烦请发送邮件至：2697268773@qq.com进行处理。