Zusammenfassung
Das Netlogon Remote Protocol (auch MS-NRPC genannt) ist eine RPC-Schnittstelle, die ausschließlich von in die Domäne eingebundenen Geräten verwendet wird. MS-NRPC umfasst eine Authentifizierungsmethode und eine Methode zum Einrichten eines sicheren Netlogon-Kanals. Diese Updates erzwingen das angegebene Netlogon-Clientverhalten, um sicheres RPC mit sicheren Netlogon-Kanal zwischen Mitgliedscomputern und Active Directory(AD)-Domänencontrollern (DC) zu verwenden.
Dieses Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem sicheres RPC bei Verwendung des sicheren Netlogon-Kanals in einer phasenweisen Version erzwungen wird, die im Abschnitt Zeitpunkt von Updates zur Behebung der Netlogon-Sicherheitsanfälligkeit CVE-2020-1472 erläutert wird. Für den Schutz der AD-Gesamtstruktur müssen alle DCs aktualisiert werden, da sie sicheres RPC mit dem sicheren Netlogon-Kanal erzwingen. Dies schließt schreibgeschützte Domänencontroller (READC) ein.
Weitere Informationen zu dieser Sicherheitsanfälligkeit finden Sie unter CVE-2020-1472.
Hinweis
- Handeln Sie
- Um Ihre Umgebung zu schützen und Ausfälle zu verhindern, müssen Sie folgende Schritte ausführen:
- AKTUALISIEREN Sie Ihre Domänencontroller mit einem Update, das am 11. August 2020 oder später veröffentlicht wurde.
- FINDEN Sie heraus , welche Geräte anfällige Verbindungen herstellen, indem Sie Ereignisprotokolle überwachen.
- ADDRESS non-compliant devices herstellen anfällige Verbindungen.
- AKTIVIEREN Sie den Erzwingungsmodus, um CVE-2020-1472 in Ihrer Umgebung zu behandeln.
- Hinweis In Schritt 1 der Installation von Updates, die am 11. August 2020 oder später veröffentlicht wurden, wird ein Sicherheitsproblem in CVE-2020-1472 für Active Directory-Domänen und -Vertrauensstellungen sowie Windows-Geräte behoben. Um das Sicherheitsproblem für Geräte von Drittanbietern vollständig zu beheben, müssen Sie alle Schritte ausführen.
- Warnung Ab Februar 2021 wird der Erzwingungsmodus auf allen Windows-Domänencontrollern aktiviert und blockiert anfällige Verbindungen von nicht konformen Geräten. Zu diesem Zeitpunkt können Sie den Erzwingungsmodus nicht deaktivieren.
Hinweis Wenn Sie Windows Server 2008 R2 SP1 verwenden, benötigen Sie eine ESU-Lizenz (Extended Security Update), um ein Update zur Behebung dieses Problems erfolgreich installieren zu können. Weitere Informationen zum ESU-Programm finden Sie unter Häufig gestellte Fragen zum Lebenszyklus – erweiterte Sicherheitsupdates (Extended Security Updates).
Inhalt dieses Artikels:
- Zusammenfassung
- Zeitpunkt der Updates zur Behebung der Netlogon-Sicherheitsanfälligkeit CVE-2020-1472
- Bereitstellungsrichtlinien – Updates bereitstellen und Compliance erzwingen
- "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" Gruppenrichtlinie
- Windows-Ereignisprotokollfehler im Zusammenhang mit CVE-2020-1472
- Registrierungswert für den Erzwingungsmodus
- Drittanbietergeräte, die [MS-NRPC] implementieren: Netlogon Remote Protocol
- Häufig gestellte Fragen (FAQ)
- Glossar
Zeitpunkt der Updates zur Behebung der Netlogon-Sicherheitsanfälligkeit CVE-2020-1472
Die Updates werden in zwei Phasen veröffentlicht: in der ersten Phase für Updates, die am oder nach dem 11. August 2020 veröffentlicht wurden, und in der Phase Durchsetzung für Updates, die am oder nach dem 9. Februar 2021 veröffentlicht wurden.
11. August 2020: Phase der Erstbereitstellung
Die erste Bereitstellungsphase beginnt mit dem am 11. August 2020 veröffentlichten Update und wird mit einem späteren Update für die Erzwingungsphase fortgesetzt. Diese und spätere Updates nehmen Änderungen am Netlogon-Protokoll vor, um Windows-Geräte standardmäßig zu schützen, protokolliert Ereignisse für die nicht kompatible Geräteerkennung und fügt die Möglichkeit hinzu, den Schutz für alle in die Domäne eingebundenen Geräte mit expliziten Ausnahmen zu aktivieren. Diese Version:
- Erzwingt die sichere RPC-Verwendung für Computerkonten auf Windows-basierten Geräten.
- Erzwingt die sichere RPC-Verwendung für Vertrauenskonten.
- Erzwingt die sichere RPC-Verwendung für alle Windows- und Nicht-Windows-DCs.
- Enthält eine neue Gruppenrichtlinie, um nicht konforme Gerätekonten (solche, die anfällige Netlogon Secure Channel-Verbindungen verwenden) zuzulassen. Selbst wenn DCs im Erzwingungsmodus ausgeführt werden oder nachdem die Erzwingungsphase gestartet wurde, wird zugelassenen Geräten die Verbindung nicht verweigert.
- FullSecureChannelProtection-Registrierungsschlüssel zum Aktivieren des DC-Erzwingungsmodus für alle Computerkonten (in der Erzwingungsphase werden die Domänencontroller auf den DC-Erzwingungsmodus aktualisiert).
- Enthält neue Ereignisse, wenn Konten im DC-Erzwingungsmodus verweigert werden oder verweigert würden (und wird in der Erzwingungsphase fortgesetzt). Die spezifischen Ereignis-IDs werden weiter unten in diesem Artikel erläutert.
Die Risikominderung besteht in der Installation des Updates auf allen DCs und RODCs, der Überwachung auf neue Ereignisse und dem Umgang mit nicht konformen Geräten, die anfällige Netlogon Secure Channel-Verbindungen verwenden. Computerkonten auf nicht konformen Geräten kann gestattet werden, anfällige Netlogon Secure Channel-Verbindungen zu verwenden. Sie sollten jedoch so schnell wie möglich aktualisiert werden, um sicheres RPC für Netlogon zu unterstützen und das Konto durchzusetzen, um das Risiko eines Angriffs zu beseitigen.
9. Februar 2021 – Erzwingungsphase
Die Version vom 9. Februar 2021 markiert den Übergang in die Erzwingungsphase. Die Domänencontroller befinden sich nun unabhängig vom Registrierungsschlüssel für den Erzwingungsmodus im Erzwingungsmodus . Dies erfordert, dass alle Windows- und Nicht-Windows-Geräte sicheres RPC mit dem sicheren Netlogon-Kanal verwenden oder das Konto explizit zulassen, indem eine Ausnahme für das nicht kompatible Gerät hinzugefügt wird. Diese Version:
- Erzwingt die sichere RPC-Verwendung für Computerkonten auf Nicht-Windows-basierten Geräten, es sei denn, dies wird durch die Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zugelassen.
- Die Protokollierung der Ereignis-ID 5829 wird entfernt. Da alle anfälligen Verbindungen verweigert werden, werden jetzt nur noch die Ereignis-IDs 5827 und 5828 im Systemereignisprotokoll angezeigt.
Bereitstellungsrichtlinien – Updates bereitstellen und Compliance erzwingen
Die erste Bereitstellungsphase besteht aus den folgenden Schritten:
- Bereitstellen der Updates vom 11. August für alle Domänencontroller in der Gesamtstruktur.
- (a) Überwachen Sie auf Warnereignisse und (b) handeln Sie auf jedes Ereignis.
- (a) Nachdem alle Warnereignisse behandelt wurden, kann der vollständige Schutz aktiviert werden, indem der DC-Erzwingungsmodus bereitgestellt wird. (b) Alle Warnungen sollten vor dem Update der Erzwingungsphase am 9. Februar 2021 behoben sein.
Schritt 1: AKTUALISIEREN
Bereitstellen der Updates vom 11. August 2020
Stellen Sie die Updates vom 11. August für alle anwendbaren Domänencontroller (DCs) in der Gesamtstruktur bereit, einschließlich schreibgeschützter Domänencontroller (Read-Only Domain Controllers, RODC). Nach der Bereitstellung dieses Updates werden gepatchte DCs:
- Beginnen Sie mit der Erzwingung der sicheren RPC-Nutzung für alle Windows-basierten Gerätekonten, Vertrauenskonten und alle DCs.
- Protokollieren Sie die Ereignis-IDs 5827 und 5828 im Systemereignisprotokoll, wenn Verbindungen verweigert werden.
- Protokollieren Sie die Ereignis-IDs 5830 und 5831 im Systemereignisprotokoll, wenn Verbindungen durch die Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zugelassen werden.
- Protokollieren Sie die Ereignis-ID 5829 im Systemereignisprotokoll, wenn eine anfällige sichere Netlogon-Kanalverbindung zulässig ist. Diese Ereignisse sollten behandelt werden, bevor der DC-Erzwingungsmodus konfiguriert wird oder bevor die Erzwingungsphase am 9. Februar 2021 beginnt.
Schritt 2a: SUCHEN
Erkennen nicht konformer Geräte mithilfe der Ereignis-ID 5829
Nachdem die Updates vom 11. August 2020 auf DCs angewendet wurden, können Ereignisse in DC-Ereignisprotokollen gesammelt werden, um zu bestimmen, welche Geräte in Ihrer Umgebung anfällige Netlogon Secure Channel-Verbindungen verwenden (in diesem Artikel als nicht konforme Geräte bezeichnet). Überwachen Sie gepatchte DCs auf Ereignisse mit der Ereignis-ID 5829. Die Veranstaltungen enthalten relevante Informationen zur Identifizierung der nicht konformen Geräte.
Verwenden Sie zum Überwachen von Ereignissen verfügbare Software zur Ereignisüberwachung oder mithilfe eines Skripts zum Überwachen Ihrer DCs. Ein Beispielskript, das Sie an Ihre Umgebung anpassen können, finden Sie unter Skript zur Unterstützung beim Überwachen von Ereignis-IDs im Zusammenhang mit Netlogon-Updates für CVE-2020-1472
Schritt 2b: ADRESSE
Adressierung der Ereignis-IDs 5827 und 5828
Standardmäßig sollten unterstützte Versionen von Windows, die vollständig aktualisiert wurden, keine anfälligen Netlogon Secure Channel-Verbindungen verwenden. Wenn eines dieser Ereignisse im Systemereignisprotokoll für ein Windows-Gerät protokolliert wird:
- Vergewissern Sie sich, dass auf dem Gerät unterstützte Versionen von Windows ausgeführt werden.
- Stellen Sie sicher, dass das Gerät vollständig aktualisiert ist.
- Stellen Sie sicher, dass Domänenmitglied: Sichere Kanaldaten digital verschlüsseln oder signieren (immer) auf Aktiviert festgelegt ist.
Bei Nicht-Windows-Geräten, die als DC fungieren, werden diese Ereignisse im Systemereignisprotokoll protokolliert, wenn sie anfällige Netlogon Secure Channel-Verbindungen verwenden. Wenn eines dieser Ereignisse protokolliert wird:
Empfohlen Wenden Sie sich an den Gerätehersteller (OEM) oder Softwareanbieter, um Unterstützung für sicheres RPC mit sicherem Netlogon-Kanal zu erhalten
- Wenn der nicht konforme Domänencontroller sicheres RPC mit dem sicheren Netlogon-Kanal unterstützt, aktivieren Sie sicheres RPC auf dem Domänencontroller.
- Wenn der nicht konforme DC-Code derzeit kein sicheres RPC unterstützt, wenden Sie sich an den Gerätehersteller (OEM) oder Softwareanbieter, um ein Update zu erhalten, das sicheres RPC mit dem sicheren Netlogon-Kanal unterstützt.
- Ziehen Sie den nicht konformen DC außer Betrieb.
Gefährdet Wenn ein nicht konformer Domänencontroller Secure RPC mit Netlogon Secure Channel nicht unterstützen kann, bevor die DCs sich im Erzwingungsmodus befinden, fügen Sie den DC mithilfe der unten beschriebenen Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzu.
Hinweis
Warnung Wenn DCs über die Gruppenrichtlinie anfällige Verbindungen verwenden dürfen, wird die Gesamtstruktur anfällig für Angriffe. Das Endziel sollte darin bestehen, alle Konten zu adressieren und aus dieser Gruppenrichtlinie zu entfernen.
Adressierungsereignis 5829
Ereignis-ID 5829 wird generiert, wenn eine anfällige Verbindung während der ersten Bereitstellungsphase zugelassen wird. Diese Verbindungen werden verweigert, wenn sich DCs im Erzwingungsmodus befinden. Konzentrieren Sie sich bei diesen Ereignissen auf den identifizierten Computernamen, die Domäne und die Betriebssystemversionen, um die nicht konformen Geräte und die Art und Weise zu bestimmen, wie sie behandelt werden müssen.
Die Möglichkeiten zum Umgang mit nicht konformen Geräten:
Empfohlen Wenden Sie sich an den Gerätehersteller (OEM) oder Softwareanbieter, um Unterstützung für sicheres RPC mit dem sicheren Netlogon-Kanal zu erhalten:
- Wenn das nicht konforme Gerät sicheres RPC mit dem sicheren Netlogon-Kanal unterstützt, aktivieren Sie sicheres RPC auf dem Gerät.
- Wenn das nicht konforme Gerät derzeit KEIN sicheres RPC mit dem sicheren Netlogon-Kanal unterstützt, wenden Sie sich an den Gerätehersteller oder Softwareanbieter, um ein Update zu erhalten, mit dem sicheres RPC mit dem sicheren Netlogon-Kanal aktiviert werden kann.
- Ziehen Sie das nicht konforme Gerät außer Betrieb.
Gefährdet Wenn ein nicht konformes Gerät Secure RPC mit Netlogon Secure Channel nicht unterstützen kann, bevor die DCs sich im Erzwingungsmodus befinden, fügen Sie das Gerät mithilfe der unten beschriebenen Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzu.
Hinweis
Warnung Wenn Sie Gerätekonten durch die Gruppenrichtlinie erlauben, anfällige Verbindungen zu verwenden, werden diese AD-Konten einem Risiko ausgesetzt. Das Endziel sollte darin bestehen, alle Konten zu adressieren und aus dieser Gruppenrichtlinie zu entfernen.
Zulassen anfälliger Verbindungen von Geräten Dritter
Verwenden Sie die Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen", um nicht konforme Konten hinzuzufügen. Dies sollte nur als kurzfristige Abhilfe betrachtet werden, bis nicht konforme Produkte wie oben beschrieben behandelt werden. Hinweis Das Zulassen anfälliger Verbindungen von nicht konformen Geräten hat möglicherweise unbekannte Auswirkungen auf die Sicherheit und sollte mit Vorsicht zugelassen werden.
- Sie haben eine oder mehrere Sicherheitsgruppen für Konten erstellt, die einen anfälligen sicheren Netlogon-Kanal verwenden dürfen.
- Wechseln Sie in der Gruppenrichtlinie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen
- Suchen Sie nach "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen".
- Wenn die Administratorgruppe oder eine Gruppe vorhanden ist, die nicht speziell für die Verwendung mit dieser Gruppenrichtlinie erstellt wurde, entfernen Sie sie.
- Fügen Sie eine Sicherheitsgruppe, die speziell für die Verwendung mit dieser Gruppenrichtlinie erstellt wurde, zur Sicherheitsbeschreibung mit der Berechtigung "Zulassen" hinzu. Hinweis Die Berechtigung "Verweigern" verhält sich so, als ob das Konto nicht hinzugefügt wurde, d. h. die Konten dürfen keine angreifbaren Netlogon-sicheren Kanäle erstellen.
- Nachdem die Sicherheitsgruppe(n) hinzugefügt wurden, muss die Gruppenrichtlinie auf jeden DC repliziert werden.
- Überwachen Sie regelmäßig die Ereignisse 5827, 5828 und 5829, um zu ermitteln, welche Konten anfällige Secure Channel-Verbindungen verwenden.
- Fügen Sie diese Computerkonten nach Bedarf zu den Sicherheitsgruppen hinzu. Bewährte Methode Verwenden Sie Sicherheitsgruppen in der Gruppenrichtlinie, und fügen Sie der Gruppe Konten hinzu, damit die Mitgliedschaft über die normale AD-Replikation repliziert wird. Dadurch werden häufige Aktualisierungen von Gruppenrichtlinien und Verzögerungen bei der Replikation vermieden.
Nachdem alle nicht konformen Geräte behoben wurden, können Sie Ihre DCs in den Erzwingungsmodus verschieben (siehe nächster Abschnitt).
Hinweis
Warnung Wenn DCs durch die Gruppenrichtlinie zulässig sind, anfällige Verbindungen für Vertrauenskonten zu verwenden, wird die Gesamtstruktur anfällig für Angriffe. Vertrauenskonten werden in der Regel nach der vertrauenswürdigen Domäne benannt, z. B.: Der DC in Domain-a hat eine Vertrauensstellung mit einem DC in Domain-b. Intern verfügt der DC in Domäne a über ein Vertrauenskonto mit dem Namen "Domäne-b$", das das Vertrauensobjekt für Domäne-b darstellt. Wenn der Domänencontroller in Domäne a die Gesamtstruktur einem Angriffsrisiko aussetzen möchte, indem er anfällige sichere Netlogon-Kanalverbindungen aus dem Vertrauenskonto von Domäne B zulässt, kann ein Administrator Add-adgroupmember –identity "Name der Sicherheitsgruppe" -members "domain-b$" verwenden, um das Vertrauensstellungskonto der Sicherheitsgruppe hinzuzufügen.
Schritt 3a: AKTIVIEREN
Wechseln in den Erzwingungsmodus vor der Erzwingungsphase im Februar 2021
Nachdem alle nicht konformen Geräte behoben wurden, entweder durch Aktivieren von Secure RPC oder durch Zulassen anfälliger Verbindungen mit der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen", setzen Sie den Registrierungsschlüssel FullSecureChannelProtection auf 1.
Hinweis Wenn Sie die Gruppenrichtlinie "Domänencontroller: Anfällige sichere Netlogon-Kanalverbindungen zulassen" verwenden, stellen Sie sicher, dass die Gruppenrichtlinie repliziert und auf alle Domänencontroller angewendet wurde, bevor Sie den Registrierungsschlüssel FullSecureChannelProtection festlegen.
Wenn der FullSecureChannelProtection-Registrierungsschlüssel bereitgestellt wird, befinden sich die DCs im Erzwingungsmodus. Diese Einstellung erfordert, dass alle Geräte, die den sicheren Netlogon-Kanal verwenden, entweder:
- Verwenden Sie sicheres RPC.
- Sind in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zulässig.
Hinweis
Warnung Clients von Drittanbietern, die Secure RPC mit sicheren Netlogon-Kanal-Verbindungen nicht unterstützen, werden abgelehnt, wenn der Registrierungsschlüssel für den DC-Erzwingungsmodus bereitgestellt wird, wodurch Produktionsdienste unterbrochen werden können.
Schritt 3b: Erzwingungsphase
Bereitstellen der Updates vom 9. Februar 2021
Durch die Bereitstellung von Updates, die am 9. Februar 2021 oder später veröffentlicht wurden, wird der DC-Erzwingungsmodus aktiviert. Im DC-Erzwingungsmodus wird angezeigt, wenn alle Netlogon-Verbindungen entweder für die Verwendung von sicherem RPC erforderlich sind oder wenn das Konto der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt wurde. Zurzeit wird der Registrierungsschlüssel FullSecureChannelProtection nicht mehr benötigt und nicht mehr unterstützt.
"Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" Gruppenrichtlinie
Die bewährte Methode besteht darin, Sicherheitsgruppen in der Gruppenrichtlinie zu verwenden, damit die Mitgliedschaft über die normale AD-Replikation repliziert wird. Dadurch werden häufige Aktualisierungen von Gruppenrichtlinien und Verzögerungen bei der Replikation vermieden.
| Richtlinienpfad und Einstellungsname | Beschreibung |
|---|---|
| Richtlinienpfad: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen Einstellungsname: Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen Neustart erforderlich? Nein |
Diese Sicherheitseinstellung bestimmt, ob der Domänencontroller Secure RPC für sichere Netlogon-Kanal-Verbindungen für bestimmte Computerkonten umgeht. Diese Richtlinie sollte auf alle Domänencontroller in einer Gesamtstruktur angewendet werden, indem die Richtlinie in der Organisationseinheit des Domänencontrollers aktiviert wird. Wenn die Liste "Anfällige Verbindungen erstellen" (Zulassungsliste) konfiguriert ist:
Standard: Diese Richtlinie ist nicht konfiguriert. Kein Computer oder Vertrauenskonto ist explizit von der Erzwingung von sicheren RPC-Verbindungen mit Netlogon ausgenommen. Diese Richtlinie wird unter Windows Server 2008 R2 SP1 und höher unterstützt. |
Windows-Ereignisprotokollfehler im Zusammenhang mit CVE-2020-1472
Es gibt drei Kategorien von Ereignissen:
1. Urheberrecht Ereignisse, die protokolliert werden, wenn eine Verbindung verweigert wird, weil versucht wurde, eine anfällige Netlogon Secure Channel-Verbindung herzustellen:
- 5827 (Computerkonten) Fehler
- 5828 (Treuhandkonten) Fehler
2. Urheberrecht Ereignisse, die protokolliert werden, wenn eine Verbindung zugelassen wird, weil das Konto der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt wurde:
- 5830 (Computerkonten) Warnung
- 5831 (Treuhandkonten) Warnung
3. Urheberrecht Ereignisse, die protokolliert werden, wenn eine Verbindung in der ersten Version zulässig ist, die im DC-Erzwingungsmodus verweigert wird:
- 5829 (Computerkonten) Warnung
Ereignis-ID 5827
Die Ereignis-ID 5827 wird protokolliert, wenn eine anfällige Netlogon Secure Channel-Verbindung von einem Computerkonto verweigert wird.
| Ereignisprotokoll | System |
|---|---|
| Ereignisquelle | NETLOGON |
| Ereigniskennung | 5827 |
| Ebene | Fehler |
| Ereignismeldungstext | Der Netlogon-Dienst hat eine anfällige Netlogon Secure Channel-Verbindung von einem Computerkonto abgelehnt. SamAccountName-Computer Domäne: Kontotyp: Betriebssystem des Computers: Build des Computerbetriebssystems: Service Pack für Computerbetriebssystem: Weitere Informationen darüber, warum dies verweigert wurde, finden Sie unter https://go.microsoft.com/fwlink/?linkid=2133485. |
Ereignis-ID 5828
Die Ereignis-ID 5828 wird protokolliert, wenn eine anfällige sichere Netlogon-Kanalverbindung von einem Vertrauenskonto verweigert wird.
| Ereignisprotokoll | System |
|---|---|
| Ereignisquelle | NETLOGON |
| Ereigniskennung | 5828 |
| Ebene | Fehler |
| Ereignismeldungstext | Der Netlogon-Dienst hat eine anfällige Netlogon-Verbindung des sicheren Kanals unter Verwendung eines Vertrauenskontos abgelehnt. Kontotyp: Name der Vertrauensstellung: Vertrauensziel: Client-IP-Adresse: Weitere Informationen darüber, warum dies verweigert wurde, finden Sie unter https://go.microsoft.com/fwlink/?linkid=2133485. |
Ereignis-ID 5829
Die Ereignis-ID 5829 wird nur während der Erstbereitstellungsphase protokolliert, wenn eine anfällige sichere Netlogon-Kanalverbindung von einem Computerkonto zugelassen wird.
Wenn der DC-Erzwingungsmodus bereitgestellt wird oder sobald die Erzwingungsphase mit der Bereitstellung der Updates vom 9. Februar 2021 beginnt, werden diese Verbindungen verweigert und die Ereignis-ID 5827 protokolliert. Aus diesem Grund ist es wichtig, während der ersten Bereitstellungsphase auf Ereignis 5829 zu überwachen und vor der Erzwingungsphase zu handeln, um Ausfälle zu vermeiden.
| Ereignisprotokoll | System |
|---|---|
| Ereignisquelle | NETLOGON |
| Ereigniskennung | 5829 |
| Ebene | Warnung |
| Ereignismeldungstext | Der Netlogon-Dienst hat eine anfällige Netlogon-Verbindung des sicheren Kanals zugelassen. Warnung: Diese Verbindung wird verweigert, sobald die Erzwingungsphase freigegeben ist. Um die Erzwingungsphase besser zu verstehen, besuchen Sie bitte https://go.microsoft.com/fwlink/?linkid=2133485. SamAccountName-Computer Domäne: Kontotyp: Betriebssystem des Computers: Build des Computerbetriebssystems: Service Pack für Computerbetriebssystem: |
Ereignis-ID 5830
Die Ereignis-ID 5830 wird protokolliert, wenn eine anfällige Netlogon Secure Channel-Computerkontoverbindung durch die Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zugelassen wird.
| Ereignisprotokoll | System |
|---|---|
| Ereignisquelle | NETLOGON |
| Ereigniskennung | 5830 |
| Ebene | Warnung |
| Ereignismeldungstext | Der Netlogon-Dienst hat eine anfällige Netlogon Secure Channel-Verbindung zugelassen, da das Computerkonto in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zulässig ist. Warnung: Die Verwendung anfälliger sicherer Netlogon-Kanäle setzt die in die Domäne eingebundenen Geräte Angriffen aus. Um Ihr Gerät vor Angriffen zu schützen, entfernen Sie ein Computerkonto aus der Gruppenrichtlinie "Domänencontroller: Anfällige sichere Netlogon-Kanalverbindungen zulassen", nachdem der Netlogon-Client eines Drittanbieters aktualisiert wurde. Um das Risiko besser zu verstehen, das mit der Konfiguration von Computerkonten verbunden ist, um anfällige Netlogon Secure Channel-Verbindungen verwenden zu können, besuchen Sie bitte https://go.microsoft.com/fwlink/?linkid=2133485. SamAccountName-Computer Domäne: Kontotyp: Betriebssystem des Computers: Build des Computerbetriebssystems: Service Pack für Computerbetriebssystem: |
Ereignis-ID 5831
Die Ereignis-ID 5831 wird protokolliert, wenn eine anfällige Netlogon Secure Channel Trust-Kontoverbindung durch die Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zugelassen wird.
| Ereignisprotokoll | System |
|---|---|
| Ereignisquelle | NETLOGON |
| Ereigniskennung | 5831 |
| Ebene | Warnung |
| Ereignismeldungstext | Der Netlogon-Dienst hat eine anfällige Netlogon Secure Channel-Verbindung zugelassen, da das Vertrauenskonto in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zulässig ist. Warnung: Die Verwendung anfälliger sicherer Netlogon-Kanäle setzt Active Directory-Gesamtstrukturen Angriffen aus. Um Ihre Active Directory-Gesamtstrukturen vor Angriffen zu schützen, müssen alle Vertrauensstellungen sicheres RPC mit sicherem Netlogon-Kanal verwenden. Entfernen Sie ein Vertrauenskonto aus der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen", nachdem der Netlogon-Client eines Drittanbieters auf den Domänencontrollern aktualisiert wurde. Um das Risiko besser zu verstehen, das mit der Konfiguration von Vertrauenskonten verbunden ist, um anfällige Netlogon Secure Channel-Verbindungen verwenden zu dürfen, besuchen Sie bitte https://go.microsoft.com/fwlink/?linkid=2133485. Kontotyp: Name der Vertrauensstellung: Vertrauensziel: Client-IP-Adresse: |
Registrierungswert für den Erzwingungsmodus
Hinweis
Warnung Durch die unsachgemäße Änderung der Registrierung mit dem Registrierungs-Editor oder einer anderen Methode können schwerwiegende Probleme verursacht werden. Diese Probleme machen möglicherweise eine Neuinstallation des Betriebssystems erforderlich. Microsoft kann nicht garantieren, dass diese Probleme behoben werden können. Das Ändern der Registrierung erfolgt auf eigenes Risiko.
Mit den Updates vom 11. August 2020 wird die folgende Registrierungseinstellung eingeführt, um den Erzwingungsmodus frühzeitig zu aktivieren. Dies wird unabhängig von der Registrierungseinstellung in der Erzwingungsphase ab dem 9. Februar 2021 aktiviert:
| Registrierungsunterschlüssel | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Value | FullSecureChannelProtection |
| Datentyp | REG_DWORD |
| Data | 1 – Dadurch wird der Erzwingungsmodus aktiviert. DCs verweigern anfällige Netlogon Secure Channel-Verbindungen, es sei denn, das Konto wird durch die Liste "Anfällige Verbindungen erstellen" in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" zugelassen. 0 – DCs lassen anfällige Netlogon Secure Channel-Verbindungen von Nicht-Windows-Geräten zu. Diese Option wird in der Erzwingungsphase veraltet sein. |
| Neustart erforderlich? | Nein |
Drittanbietergeräte, die [MS-NRPC] implementieren: Netlogon Remote Protocol
Alle Clients oder Server von Drittanbietern müssen sicheres RPC mit dem sicheren Netlogon-Kanal verwenden. Wenden Sie sich an den Gerätehersteller (OEM), um festzustellen, ob ihre Software mit dem neuesten Netlogon Remote Protocol kompatibel ist.
Die Protokollupdates finden Sie auf der Website mit der Windows-Protokolldokumentation.
Häufig gestellte Fragen (FAQ)
1. Was verwendet den sicheren Netlogon-Kanal?
- Windows & in die Domäne eingebundene Geräte von Drittanbietern, die über Computerkonten in Active Directory (AD) verfügen
- Windows Server & Domänencontroller von Drittanbietern in vertrauenswürdigen & vertrauenswürdigen Domänen mit vertrauenswürdigen Konten in AD
2. Können Lösungen von Drittanbietern betroffen sein?
Geräte von Drittanbietern sind möglicherweise nicht konform. Wenn Ihre Drittanbieterlösung ein Computerkonto in AD unterhält, wenden Sie sich an den Hersteller, um festzustellen, ob Sie betroffen sind.
3. Warum verweigert mein DC Konten, die in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" konfiguriert wurden?
Verzögerungen bei der AD- und Sysvol-Replikation oder Fehler bei der Gruppenrichtlinienanwendung auf dem authentifizierenden Domänencontroller können dazu führen, dass die Änderungen an der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" nicht vorhanden sind und dazu führen, dass das Konto abgelehnt wird.
Die folgenden Schritte können bei der Behebung des Problems helfen:
Wenn Sie die Richtlinie so konfiguriert haben, dass sie eine Gruppe enthält, und Änderungen an der Gruppenmitgliedschaft vorgenommen haben, um das Konto hinzuzufügen, überprüfen Sie, ob der DC, dem die Verbindung verweigert wurde, die Gruppenmitgliedschaft lokal geändert hat. Hinweis Es wird davon abgeraten, die Konten direkt zur Gruppenrichtlinie hinzuzufügen.
Wenn Sie eine Änderung an der Richtlinie vorgenommen und ein neues Konto oder eine neue Gruppe hinzugefügt haben, überprüfen Sie, ob die Richtlinienänderung repliziert und angewendet wurde: Führen Sie die Befehle gpupdate /force und gpresult /h aus
Weitere Informationen zur Problembehandlung von Gruppenrichtlinien Anwendungen und abhängigen zugehörigen Komponenten finden Sie in den folgenden Beiträgen:
4. Ich habe eine Ereignis-ID 5827 für ein Windows-Gerät. Ich dachte, Sie sagten, Windows sei nicht betroffen?
Standardmäßig sollten unterstützte Versionen von Windows, die vollständig aktualisiert wurden, keine anfälligen Netlogon Secure Channel-Verbindungen verwenden. Wenn eine Ereignis-ID 5827 im Systemereignisprotokoll für ein Windows-Gerät protokolliert wird:
- Vergewissern Sie sich, dass auf dem Gerät unterstützte Versionen von Windows ausgeführt werden.
- Stellen Sie sicher, dass das Gerät von Windows Update vollständig aktualisiert wurde.
- Stellen Sie sicher, dass Domänenmitglied: Daten des sicheren Kanals digital verschlüsseln oder signieren (immer) in einem Gruppenrichtlinienobjekt, das mit der Organisationseinheit für alle Ihre Domänencontroller verknüpft ist, auf "Aktiviert" festgelegt ist.
5. Müssen Arbeitsstationen und Endpunktgeräte ebenfalls aktualisiert werden?
Ja, sie sollten aktualisiert werden, aber sie sind nicht besonders anfällig für CVE-2020-1472.
6. Müssen Nicht-DC-Windows-Server oder andere Windows-Geräte mit den Updates aktualisiert werden, die am 11. August 2020 oder später veröffentlicht wurden, bevor DCs aktualisiert werden?
Nein, DCs sind die einzige Rolle, die von CVE-2020-1472 betroffen ist, und können unabhängig von Nicht-DC-Windows-Servern und anderen Windows-Geräten aktualisiert werden.
7. Warum wird Windows Server 2008 SP2 nicht aktualisiert, um CVE-2020-1472 zu beheben?
Windows Server 2008 SP2 ist nicht anfällig für diese spezielle CVE, da AES nicht für sicheres RPC verwendet wird.
8. Benötige ich ESU für Windows Server 2008 R2 SP1, um CVE-2020-1472 zu beheben?
Ja, Sie benötigen das erweiterte Sicherheitsupdate (Extended Security Update, ESU), um die Updates für CVE-2020-1472 für Windows Server 2008 R2 SP1 zu installieren.
9. Gewusst wie stelle ich sicher, dass meine Domänencontroller geschützt sind?
Durch Bereitstellen der Updates vom 11. August 2020 oder höher für alle Domänencontroller in Ihrer Umgebung.
Stellen Sie sicher, dass keines der Geräte, die der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt wurden, über Dienste mit Unternehmensadministrator- oder Domänenadministratorrechten wie SCCM oder Microsoft Exchange verfügen. Hinweis Jedes Gerät in der Zulassungsliste darf anfällige Verbindungen verwenden und Ihre Umgebung dem Angriff aussetzen.
10. Wenn ich Updates auf allen meinen Domänencontrollern bereitgestellt habe, ist mein Unternehmen dann vor CVE-2020-1472 geschützt?
Durch die Installation von Updates, die am 11. August 2020 oder später auf den Domänencontrollern veröffentlicht wurden, werden die Windows-basierten Computerkonten, die Vertrauenskonten und die Domänencontrollerkonten geschützt.
Active Directory-Computerkonten für in die Domäne eingebundene Geräte von Drittanbietern sind erst geschützt, wenn der Erzwingungsmodus bereitgestellt wird. Computerkonten sind auch nicht geschützt, wenn sie der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt werden.
11. Gewusst wie stelle ich sicher, dass die in die Windows-Domäne eingebundenen Geräteidentitäten geschützt sind?
Stellen Sie sicher, dass alle Domänencontroller in Ihrer Umgebung die Updates vom 11. August 2020 oder höher installiert haben.
Alle Geräteidentitäten, die der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt wurden, sind anfällig für Angriffe.
12. Gewusst wie stelle ich sicher, dass die in die Domäne eingebundenen Geräteidentitäten von Drittanbietern geschützt sind?
Stellen Sie sicher, dass alle Domänencontroller in Ihrer Umgebung die Updates vom 11. August 2020 oder höher installiert haben.
Aktivieren Sie den Erzwingungsmodus, um anfällige Verbindungen von nicht konformen Geräteidentitäten von Drittanbietern zu verweigern.
Hinweis Bei aktiviertem Erzwingungsmodus sind alle Geräteidentitäten von Drittanbietern, die der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt wurden, weiterhin anfällig und könnten einem Angreifer unbefugten Zugriff auf Ihr Netzwerk oder Ihre Geräte ermöglichen.
13. Was ist der Erzwingungsmodus?
Der Erzwingungsmodus weist die Domänencontroller an, keine Netlogon-Verbindungen von Geräten zuzulassen, die kein sicheres RPC verwenden, es sei denn, diese Gerätekonten wurden der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt.
Weitere Informationen finden Sie im Abschnitt Registrierungswert für den Erzwingungsmodus .
14. Welche Computerkonten sollten der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt werden?
Nur Computerkonten für Geräte, die nicht durch Aktivieren von Secure RPC im sicheren Netlogon-Kanal sicher gemacht werden können, sollten der Gruppenrichtlinie hinzugefügt werden. Es wird empfohlen, diese Geräte konform zu machen oder zu ersetzen, um Ihre Umgebung zu schützen.
15. Was kann ein Angreifer mit Computerkonten machen, die in der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" gespeichert sind?
Ein Angreifer kann die Active Directory-Computeridentität eines beliebigen Computerkontos übernehmen, das der Gruppenrichtlinie hinzugefügt wurde, und anschließend alle Berechtigungen dieser Computeridentität ausnutzen.
16. Warum sollte ich der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" ein Computerkonto hinzufügen?
Wenn Sie ein Drittanbietergerät haben, das Secure RPC für den sicheren Netlogon-Kanal nicht unterstützt, und Sie den Erzwingungsmodus aktivieren möchten, sollten Sie das Computerkonto für dieses Gerät zur Gruppenrichtlinie hinzufügen. Dies wird nicht empfohlen und könnte Ihre Domäne in einen potenziell gefährdeten Zustand versetzen. Es wird empfohlen, diese Gruppenrichtlinie zu verwenden, um Zeit zum Aktualisieren oder Ersetzen von Geräten von Drittanbietern zu haben, um sie kompatibel zu machen.
17. Wann sollte ich den Erzwingungsmodus aktivieren?
Der Erzwingungsmodus sollte so bald wie möglich aktiviert werden. Alle Geräte von Drittanbietern müssen behandelt werden, indem sie entweder konform gemacht oder der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt werden. Hinweis Jedes Gerät in der Zulassungsliste darf anfällige Verbindungen verwenden und Ihre Umgebung dem Angriff aussetzen.
Glossar
| Begriff | Definition |
|---|---|
| AD | Active Directory |
| DC | Domänencontroller |
| Erzwingungsmodus | Der Registrierungsschlüssel, mit dem Sie den Erzwingungsmodus vor dem 9. Februar 2021 aktivieren können. |
| Erzwingungsphase | Phase, die mit den Updates vom 9. Februar 2021 beginnt, in der der Erzwingungsmodus auf allen Windows-Domänencontrollern aktiviert wird, unabhängig von der Registrierungseinstellung. DCs verweigern anfällige Verbindungen von allen nicht konformen Geräten, es sei denn, sie werden der Gruppenrichtlinie "Domänencontroller: Anfällige Netlogon Secure Channel-Verbindungen zulassen" hinzugefügt. |
| Erste Bereitstellungsphase | Phase beginnt mit den Updates vom 11. August 2020 und wird mit späteren Updates bis zur Erzwingungsphase fortgesetzt. |
| Computerkonto | Wird auch als Active Directory-Computer oder Computerobjekt bezeichnet. Die vollständige Definition finden Sie im MS-NPRC-Glossar . |
| MS-NRPC | Microsoft Netlogon Remote ProtoCol |
| Nicht konformes Gerät | Ein nicht konformes Gerät ist ein Gerät, das eine anfällige sichere Netlogon-Kanalverbindung verwendet. |
| RODC | Schreibgeschützte Domänencontroller |
| Anfällige Verbindung | Eine anfällige Verbindung ist eine sichere Netlogon-Kanalverbindung, die kein sicheres RPC verwendet. |