2020 و2023 و2024 متطلبات ربط قناة LDAP وتوقيع LDAP لنظام التشغيل Windows (KB4520412)

ينطبق على
Windows 10, version 1909, all editions Windows 10, version 1903, all editions Windows 10, version 1809, all editions Windows Server 2019, all editions Windows 10, version 1803, all editions Windows 10, version 1709, all editions Windows 10, version 1703, all editions Windows 10, version 1607, all editions Windows Server 2016, all editions Windows 10 Windows 8.1 Windows Server 2012 R2 Windows Server 2012 Windows 7 Service Pack 1 Windows Server 2008 R2 Service Pack 1 Windows Server 2008 Service Pack 2 Windows Server 2022

ملاحظة

  • تم التحديث 01/03/2025
  • تمت إزالة المراجع إلى خطوة التمكين اليدوي. كانت هذه الخطوة مطلوبة قبل 14 نوفمبر 2023 ، ل Windows Server 2022 ، و 9 يناير 2024 ، ل Windows Server 2019.

مقدمة

يوفر ربط قناة LDAPوتوقيع LDAP طرقا لزيادة أمان الاتصالات بين عملاء LDAP ووحدات التحكم بمجال Active Directory. توجد مجموعة من التكوينات الافتراضية غير الآمنة لربط قناة LDAP وتوقيع LDAP على وحدات التحكم بالمجال في Active Directory التي تسمح لعملاء LDAP بالتواصل معهم دون فرض ربط قناة LDAP وتوقيع LDAP. يمكن أن يؤدي ذلك إلى فتح وحدات التحكم بمجال Active Directory إلى رفع الثغرات الأمنية في الامتياز.

قد تسمح هذه الثغرة الأمنية لمهاجم وسيط بإعادة توجيه طلب مصادقة إلى خادم مجال Microsoft بنجاح والذي لم يتم تكوينه لطلب ربط القناة أو التوقيع أو إحكام الإغلاق على الاتصالات الواردة.

توصي Microsoft المسؤولين بإجراء التغييرات الصارمة الموضحة في ADV190023.

في 10 مارس 2020، عالجنا هذه الثغرة الأمنية من خلال توفير الخيارات التالية للمسؤولين لتقوية تكوينات ربط قناة LDAP على وحدات التحكم بالمجال في Active Directory:

  • وحدة التحكم بالمجال: متطلبات الرمز المميز لربط قناة خادم LDAP نهج المجموعة.
  • أحداث توقيع رموز ربط القناة (CBT) 3039 و3040 و3041 مع مرسل الحدث Microsoft-Windows-Active Directory_DomainService في سجل أحداث خدمة الدليل.

هام: لن تغير تحديثات 10 مارس 2020، والتحديثات في المستقبل المنظور، النهج الافتراضية لتوقيع LDAP أو ربط قناة LDAP أو السجل المكافئ على وحدات التحكم بمجال Active Directory الجديدة أو الموجودة.

توقيع LDAP وحدة التحكم بالمجال: نهج متطلبات توقيع خادم LDAP موجود بالفعل في جميع إصدارات Windows المدعومة. بدءا من Windows Server 2022، الإصدار 23H2، ستحتوي جميع الإصدارات الجديدة من Windows على جميع التغييرات في هذه المقالة.

سبب الحاجة إلى هذا التغيير

يمكن تحسين أمان وحدات التحكم بالمجال في Active Directory بشكل كبير عن طريق تكوين الخادم لرفض روابط LDAP للمصادقة البسيطة وطبقة الأمان (SASL) التي لا تطلب التوقيع (التحقق من التكامل) أو لرفض عمليات ربط LDAP البسيطة التي يتم تنفيذها على اتصال نص واضح (غير مشفر ب SSL/TLS). قد تتضمن مصادقة SASLs بروتوكولات مثل Negotiate وKerberos وNTLM وDigest.

تكون حركة مرور الشبكة غير الموقّعة عرضة لإعادة تشغيل الهجمات التي يعترض فيها المتسلل محاولة المصادقة وإصدار بطاقة. يمكن للمتطفل إعادة استخدام البطاقة لانتحال شخصية المستخدم الشرعي. بالإضافة إلى ذلك، تكون حركة مرور الشبكة غير الموقعة عرضة لهجمات وسيط (MiTM) حيث يلتقط الدخيل الحزم بين العميل والخادم، ويغير الحزم، ثم يعيد توجيهها إلى الخادم. إذا حدث ذلك على وحدة تحكم مجال Active Directory، فيمكن للمهاجم أن يتسبب في اتخاذ خادم لقرارات تستند إلى طلبات مزورة من عميل LDAP. تستخدم LDAPS منفذ الشبكة الخاص بها المميز لتوصيل العملاء والخوادم. المنفذ الافتراضي ل LDAP هو المنفذ 389، ولكن LDAPS يستخدم المنفذ 636 ويؤسس SSL/TLS عند الاتصال بالعميل.

تساعد الرموز المميزة لربط القناة في جعل مصادقة LDAP عبر SSL/TLS أكثر أمانا ضد هجمات المتلاعب.

تحديثات مارس 10, 2020

هام لم تغير تحديثات 10 مارس 2020 النهج الافتراضية لتوقيع LDAP أو ربط قناة LDAP أو السجل المكافئ على وحدات التحكم بمجال Active Directory الجديدة أو الحالية.

أضافت تحديثات Windows التي تم إصدارها في 10 مارس 2020 الميزات التالية:

  • يتم تسجيل أحداث جديدة في عارض الأحداث المتعلقة بربط قناة LDAP. انظر الجدول 1والجدول 2 للحصول على تفاصيل هذه الأحداث.
  • وحدة تحكم بالمجال الجديدة: متطلبات الرمز المميز لربط قناة خادم LDAP نهج المجموعة لتكوين ربط قناة LDAP على الأجهزة المدعومة.

يتم تضمين التعيين بين إعدادات نهج توقيع LDAP وإعدادات التسجيل كما يلي:

  • إعداد النهج: "وحدة التحكم بالمجال: متطلبات توقيع خادم LDAP"
  • إعداد السجل: LDAPServerIntegrity
  • نوع البيانات: DWORD
  • مسار السجل: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
إعداد نهج المجموعة إعداد التسجيل
لا شيء 1
يتطلب التوقيع 2

يتم تضمين التعيين بين إعدادات نهج ربط قناة LDAP وإعدادات التسجيل كما يلي:

  • إعداد النهج: "وحدة التحكم بالمجال: متطلبات الرمز المميز لربط قناة خادم LDAP"
  • إعداد السجل: LdapEnforceChannelBinding
  • نوع البيانات: DWORD
  • مسار السجل: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
إعداد نهج المجموعة إعداد التسجيل
مطلقًا 0
عند الدعم 1
دوماً 2

الجدول 1: أحداث توقيع LDAP

معرف الحدث الوصف المشغل
2886 يمكن تحسين أمان وحدات التحكم بالمجال هذه بشكل كبير عن طريق تكوين الخادم لفرض التحقق من صحة توقيع LDAP. يتم تشغيلها كل 24 ساعة، عند بدء التشغيل أو بدء الخدمة إذا تم تعيين نهج المجموعة إلى بلا. الحد الأدنى لمستوى التسجيل: 0 أو أعلى
2887 يمكن تحسين أمان وحدات التحكم بالمجال هذه عن طريق تكوينها لرفض طلبات ربط LDAP البسيطة وطلبات الربط الأخرى التي لا تتضمن توقيع LDAP. يتم تشغيله كل 24 ساعة عند تعيين نهج المجموعة إلى بلا وتم إكمال ربط غير محمي واحد على الأقل. الحد الأدنى لمستوى التسجيل: 0 أو أعلى
2888 يمكن تحسين أمان وحدات التحكم بالمجال هذه عن طريق تكوينها لرفض طلبات ربط LDAP البسيطة وطلبات الربط الأخرى التي لا تتضمن توقيع LDAP. يتم تشغيله كل 24 ساعة عند تعيين نهج المجموعة إلى طلب التوقيع وتم رفض ربط غير محمي واحد على الأقل. الحد الأدنى لمستوى التسجيل: 0 أو أعلى
2889 يمكن تحسين أمان وحدات التحكم بالمجال هذه عن طريق تكوينها لرفض طلبات ربط LDAP البسيطة وطلبات الربط الأخرى التي لا تتضمن توقيع LDAP. يتم تشغيله عندما لا يستخدم العميل التوقيع من أجل الروابط في جلسات العمل على المنفذ 389. الحد الأدنى لمستوى التسجيل: 2 أو أعلى

الجدول 2: أحداث العلاج المعرفي السلوكي

حدث الوصف المشغل
3039 أجرى العميل التالي عملية ربط LDAP عبر SSL/TLS وفشل في التحقق من صحة الرمز المميز لربط قناة LDAP. يتم تشغيلها في أي من الحالات التالية:

  • عندما يحاول عميل الارتباط برمز مميز لربط القناة (CBT) تم تنسيقه بشكل غير صحيح إذا تم تعيين نهج المجموعة CBT إلى When Supported أو Always.
  • عندما لا يقوم عميل قادر على ربط القناة بإرسال CBT إذا تم تعيين نهج المجموعة CBT إلى "عند الدعم". يكون العميل قادرا على ربط القناة إذا كانت ميزة EPA مثبتة أو متوفرة في نظام التشغيل ولم يتم تعطيلها من خلال إعداد التسجيل SuppressExtendedProtection. لمعرفة المزيد، راجع KB5021989.
  • عندما لا يرسل العميل CBT إذا تم تعيين نهج المجموعة CBT إلى "دائما".
الحد الأدنى لمستوى التسجيل: 2
3040 خلال فترة ال 24 ساعة السابقة، تم إجراء # من عمليات ربط LDAPs غير المحمية. يتم تشغيله كل 24 ساعة عند تعيين نهج المجموعة المعرفي السلوكي على "أبدا" وتم إكمال ربط واحد غير محمي على الأقل. الحد الأدنى لمستوى التسجيل: 0
3041 يمكن تحسين أمان خادم الدليل هذا بشكل ملحوظ عن طريق تكوين الخادم لفرض التحقق من صحة الرموز المميزة لربط قناة LDAP. يتم تشغيلها كل 24 ساعة، عند بدء التشغيل أو بدء الخدمة إذا تم تعيين نهج المجموعة CBT إلى "مطلقا". الحد الأدنى لمستوى التسجيل: 0

لتعيين مستوى التسجيل في السجل، استخدم أمرا يشبه ما يلي:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics /v "16 LDAP Interface Events" /t REG_DWORD /d 2

للحصول على مزيد من المعلومات حول كيفية تكوين تسجيل الأحداث التشخيصية ل Active Directory، راجع كيفية تكوين تسجيل الأحداث التشخيصية ل Active Directory وLDS.

تحديثات 8 أغسطس 2023

تعذر على بعض أجهزة العميل استخدام الرموز المميزة لربط قناة LDAP للارتباط بوحدات التحكم بالمجال في Active Directory (DCs). أصدرت Microsoft تحديث أمان في 8 أغسطس 2023. بالنسبة ل Windows Server 2022، أضاف هذا التحديث خيارات للمسؤولين لتدقيق هؤلاء العملاء. يمكنك تمكين أحداث CBT 3074 و3075 باستخدام مصدر الحدث **Microsoft-Windows-ActiveDirectory_DomainService** في سجل أحداث خدمة الدليل.

هام لم يغير تحديث 8 أغسطس 2023 توقيع LDAP أو النهج الافتراضية لربط قناة LDAP أو السجل المكافئ على وحدات DC الجديدة أو الحالية ل Active Directory.

تنطبق جميع الإرشادات الواردة في قسم تحديثات مارس 2020 هنا أيضا. ستتطلب أحداث التدقيق الجديدة إعدادات النهج والسجل الموضحة في الإرشادات أعلاه. كانت هناك أيضا خطوة تمكين للاطلاع على أحداث مراجعة الحسابات الجديدة. لكن تحديثات 14 نوفمبر 2023 أزالت خطوة التمكين هذه. تتوفر تفاصيل التنفيذ الجديد في قسم الإجراءات الموصى بها أدناه.

الجدول 3: أحداث العلاج المعرفي السلوكي

حدث الوصف المشغل
3074 أجرى العميل التالي عملية ربط LDAP عبر SSL/TLS وقد يفشل في التحقق من صحة الرمز المميز لربط القناة إذا تم تكوين خادم الدليل لفرض التحقق من صحة الرموز المميزة لربط القناة. يتم تشغيلها في أي من الحالات التالية:

  • عندما يحاول عميل الارتباط باستخدام رمز مميز لربط القناة (CBT) تم تنسيقه بشكل غير صحيح
الحد الأدنى لمستوى التسجيل: 2
3075 أجرى العميل التالي عملية ربط LDAP عبر SSL/TLS ولم يوفر معلومات ربط القناة. عند تكوين خادم الدليل هذا لفرض التحقق من صحة الرموز المميزة لربط القناة، سيتم رفض عملية الربط هذه. يتم تشغيلها في أي من الحالات التالية:

  • عندما لا يقوم عميل قادر بربط القناة على إرسال CBT
  • يكون العميل قادرا على ربط القناة إذا كانت ميزة EPA مثبتة أو متوفرة في نظام التشغيل ولم يتم تعطيلها من خلال إعداد التسجيل SuppressExtendedProtection. لمعرفة المزيد، راجع KB5021989.
الحد الأدنى لمستوى التسجيل: 2

ملاحظة عند تعيين مستوى التسجيل إلى 2 على الأقل، يتم تسجيل معرف الحدث 3074. يمكن للمسؤولين استخدام هذا لتدقيق بيئتهم بحثا عن العملاء الذين لا يعملون مع الرموز المميزة لربط القناة. ستحتوي الأحداث على معلومات التشخيص التالية لتحديد العملاء:

Client IP address:
192.168.10.5:62709
هوية العميل حاول المصادقة ك:
CONTOSO\المسؤول
يدعم العميل ربط القناة:FALSE
مسموح للعميل عند دعم الوضع المدعوم:TRUE
علامات نتائج التدقيق:0x42

اسم العلامة قيمة العلامة تعليق
SEC_CHANNEL_BINDINGS_RESULT_CLIENT_SUPPORT 0x01 تشير حزمة المصادقة إلى أن إصدارات العميل يجب أن تدعم الروابط
SEC_CHANNEL_BINDINGS_RESULT_ABSENT 0x02 يتم حذف الروابط أو حذف جميع الأصفار
SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISMATCH 0x04 لم تكن علامة تجزئة ربط القناة صحيحة
SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISSING 0x08 غير مسموح بروابط القناة المفقودة لهذا العميل
SEC_CHANNEL_BINDINGS_RESULT_VALID_MATCHED 0x10 تطابق روابط العميل والخادم
SEC_CHANNEL_BINDINGS_RESULT_VALID_PROXY 0x20 ASC_REQ_PROXY_BINDINGS تطلب من العميل توفير ربط
SEC_CHANNEL_BINDINGS_RESULT_VALID_MISSING 0x40 العميل مسموح به من قبل ASC_REQ_ALLOW_MISSING_BINDINGS

قيمة العلامة بما في ذلك وحدات البت 0x30 هو حقل CBT صالح ، وقيمة العلامة بما في ذلك وحدات البت 0x0C تعني CBT متشعب.

تحديثات 10 أكتوبر 2023

تغييرات التدقيق المضافة في أغسطس 2023 متاحة الآن على Windows Server 2019. بالنسبة لنظام التشغيل هذا، أضاف التحديث خيارات للمسؤولين لتدقيق هؤلاء العملاء. يمكنك تمكين أحداث CBT 3074 و 3075. استخدم مصدر الحدث **Microsoft-Windows-ActiveDirectory_DomainService** في سجل أحداث خدمة الدليل.

هام لم يغير تحديث 10 أكتوبر 2023 توقيع LDAP أو النهج الافتراضية لربط قناة LDAP أو السجل المكافئ على وحدات DC الجديدة أو الحالية ل Active Directory.

تنطبق جميع الإرشادات الواردة في قسم تحديثات مارس 2020 هنا أيضا. ستتطلب أحداث التدقيق الجديدة إعدادات النهج والسجل الموضحة في الإرشادات أعلاه. كانت هناك أيضا خطوة تمكين للاطلاع على أحداث مراجعة الحسابات الجديدة. لكن تحديثات 9 يناير 2024 أزالت خطوة التمكين هذه. تتوفر تفاصيل التنفيذ الجديد في قسم الإجراءات الموصى بها أدناه.

تحديثات 14 نوفمبر 2023

تغييرات التدقيق المضافة في أغسطس 2023 متاحة الآن على Windows Server 2022 دون الحاجة إلى خطوة تمكين يدوية. اتبع الخطوات الواردة في الإجراءات المستحسنة.

تحديثات 9 يناير 2024

تغييرات التدقيق المضافة في أكتوبر 2023 متاحة الآن على Windows Server 2019 دون الحاجة إلى خطوة تمكين يدوية. اتبع الخطوات الواردة في الإجراءات المستحسنة.

نوصي العملاء بشدة باتخاذ الخطوات التالية في أقرب فرصة:

  1. تأكد من تثبيت تحديثات 10 مارس 2020 أو إصدار لاحق من Windows على أجهزة كمبيوتر دور وحدة التحكم بالمجال (DC). إذا كنت تريد تمكين أحداث تدقيق ربط قناة LDAP، فتأكد من تثبيت تحديثات 14 نوفمبر 2023 أو الإصدارات الأحدث على Windows Server 2022 أو Server 2019 DCs.

  2. تمكين تسجيل تشخيص أحداث LDAP إلى 2 أو أعلى.

  3. راقب سجل أحداث خدمات الدليل على جميع أجهزة كمبيوتر دور DC التي تمت تصفيتها من أجل:

    • حدث فشل توقيع LDAP 2889 في الجدول 1.
    • حدث فشل ربط قناة LDAP 3039 في الجدول 2.
    • أحداث التدقيق الملزمة لقناة LDAP 3074 و3075 في الجدول 3.
      ملاحظة لا يمكن إنشاء الأحداث 3039 و3074 و3075 إلا عند تعيين "ربط القناة" إلى "عندما تكون مدعومة " أو "دائما".

  4. تحديد طراز الجهاز وطرازه ونوعه لكل عنوان IP تم الاستشهاد به بواسطة:

    • الحدث 2889 لإجراء مكالمات LDAP غير موقعة
    • الحدث 3039 لعدم استخدام ربط قناة LDAP
    • الحدث 3074 أو 3075 لعدم القدرة على ربط قناة LDAP

أنواع الأجهزة

قم بتجميع أنواع الأجهزة في 1 من 3 فئات:

  1. الجهاز أو جهاز التوجيه -

    • اتصل بموفر الجهاز.

  2. جهاز لا يعمل على نظام تشغيل Windows -

    • تحقق من أن ربط قناة LDAP وتوقيع LDAP مدعومان على نظام التشغيل والتطبيق. يمكنك القيام بذلك من خلال العمل مع نظام التشغيل وموفر التطبيق.

  3. الجهاز الذي يعمل على نظام تشغيل Windows -

    • توقيع LDAP متوفر لاستخدامه من قبل جميع التطبيقات على جميع إصدارات Windows المعتمدة. تحقق من أن التطبيق أو الخدمة تستخدم توقيع LDAP.
    • يتطلب ربط قناة LDAP تثبيت CVE-2017-8563 على جميع أجهزة Windows. تحقق من أن التطبيق أو الخدمة تستخدم ربط قناة LDAP.

استخدم أدوات التتبع المحلية أو البعيدة أو العامة أو الخاصة بالجهاز. وتتضمن هذه لقطات الشبكة أو مدير العمليات أو تتبع تتبع تتبع الأخطاء. تحديد ما إذا كان نظام التشغيل الأساسي أو الخدمة أو التطبيق يقوم بتنفيذ عمليات ربط LDAP غير موقعة أو لا يستخدم CBT.

استخدم إدارة مهام Windows أو ما يعادلها لتعيين معرف العملية لأسماء العمليات والخدمات والتطبيقات.

جدول تحديثات الأمان

أضاف تحديث 10 مارس 2020 عناصر تحكم للمسؤولين لتقوية تكوينات ربط قناة LDAP وتوقيع LDAP على وحدات التحكم بالمجال في Active Directory. أضاف تحديثا 8 أغسطس و10 أكتوبر 2023 خيارات للمسؤولين لتدقيق أجهزة العميل التي لا يمكنها استخدام الرموز المميزة لربط قناة LDAP. نوصي العملاء بشدة باتخاذ الإجراءات الموصى بها في هذه المقالة في أقرب فرصة.

تاريخ الهدف الحدث ينطبق على
10 مارس 2020 مطلوب: يتوفر تحديث الأمان على Windows Update لجميع أنظمة Windows الأساسية المدعومة.
ملاحظة بالنسبة لأنظمة Windows الأساسية غير متوفرة من الدعم القياسي، لن يتوفر تحديث الأمان هذا إلا من خلال برامج الدعم الموسع القابلة للتطبيق.
تمت إضافة دعم ربط قناة LDAP بواسطة CVE-2017-8563 على Windows Server 2008 والإصدارات الأحدث. يتم دعم الرموز المميزة لربط القناة في Windows 10، الإصدار 1709 والإصدارات الأحدث.
لا يدعم نظام التشغيل Windows XP ربط قناة LDAP وقد يفشل عند تكوين ربط قناة LDAP باستخدام قيمة Always ولكنه قد يعمل بشكل تفاعلي مع وحدات DC المكونة لاستخدام إعداد ربط قناة LDAP الأكثر استرخاء عند الدعم.		 Windows Server 2022
Windows 10، الإصدار 20H2
Windows 10، الإصدار 1909 (19H2)

Windows Server 2019 (1809 \ RS5)

Windows Server 2016 (1607 \ RS1)

Windows Server 2012 R2

Windows Server 2012

Windows Server 2008 R2 SP1 (ESU)

Windows Server 2008 SP2 (تحديث امني موسع (ESU))
أغسطس 8, 2023 يضيف أحداث تدقيق الرمز المميز الذي يربط قناة LDAP (3074 & 3075). يتم تعطيلها بشكل افتراضي على Windows Server 2022. Windows Server 2022
10 أكتوبر 2023 يضيف أحداث تدقيق الرمز المميز الذي يربط قناة LDAP (3074 & 3075). يتم تعطيلها بشكل افتراضي على Windows Server 2019. Windows Server 2019
14 نوفمبر، 2023 تتوفر أحداث تدقيق الرمز المميز لربط قناة LDAP على Windows Server 2022 دون الحاجة إلى خطوة تمكين يدوية. Windows Server 2022
9 يناير 2024 تتوفر أحداث تدقيق الرمز المميز لربط قناة LDAP على Windows Server 2019 دون الحاجة إلى خطوة تمكين يدوية. Windows Server 2019

الأسئلة المتداولة

للحصول على إجابات للأسئلة المتداولة حول ربط قناة LDAP وتوقيع LDAP على وحدات التحكم بالمجال في Active Directory، راجع: