|
Muuda kuupäeva |
Muuda kirjeldust |
|---|---|
|
10. märts 2024 |
Parandas igakuise ajaskaala, lisades sellega seotud raskendavama sisu, ja eemaldas ajaskaalalt 2024. aasta veebruari kirje, kuna see pole tugevdav. |
Sissejuhatus
Hardening on meie käimasoleva turbestrateegia põhielement, mis aitab kaitsta teie pärandvara, keskendudes samal ajal oma töökohale. Üha loovamad küberohtud sihivad nõrkusi kõikjal, mis võimalik, alates kiibist kuni pilveni. Kas olete windowsi sõnumikeskuses näinud meie publikatsioone karastamisel? Mõned hiljuti jõustatud on näiteks DCOM-i autentimise tugevnemine ja Netjoin: domeeniga liitumise tugevnemine. Vaatame üle haavatavad alad, mida on eelseisvate kuude jooksul tugevnemas.
Märkus.: Seda artiklit värskendatakse aja jooksul, et pakkuda uusimat teavet muudatuste ja ajaskaalade karmistamise kohta. Viimati värskendatud 10. märtsil 2024.
Kiired muudatused
Vaadake visuaalne ajaskaala läbi, et keskenduda konkreetsetele teile huvi pakkuvatele muutustele. Vaadake allpool iga etapi üksikasju.
Joonis 1: Visuaalne ajaskaala 2023. aastal toimunud raskendavatest muudatustest.
Joonis 2: Visuaalne ajaskaala 2024. aastal toimunud raskendavatest muudatustest.
Muudatuste karmistamine kuude kaupa
Iga etapi ja lõpliku jõustamise kavandamisel tutvuge kõigi eelseisvate keerukate muudatuste üksikasjadega kuus.
-
Secure Booti möödumise kaitse KB5025885 | Faas 1
Algjuurutuse faas. Windows Teabevärskendused välja antud 9. mail 2023 või hiljem CVE-2023-24932 arutatud nõrkuste, Windowsi algkäivituse komponentide muudatuste ja kahe tühistusfailiga, mida saab käsitsi rakendada (kooditervikluse poliitika ja värskendatud turvalise algkäivituse keelamise loend (DBX)).
-
Netlogoni protokolli muudatused KB5021130 | Faas 3
Jõustamine vaikimisi. RequireSeal alamvõti teisaldatakse jõustamisrežiimi, kui te pole seda konkreetselt ühilduvusrežiimis konfigureerinud. -
Kerberos PAC signatures KB5020805 | Faas 3
Kolmas juurutamise etapp. Eemaldab VÕIMALUSE KEELATA PAC-allkirja lisamise, määrates alamvõtme KrbtgtFullPacSignature väärtuseks 0.
-
Netlogoni protokolli muudatused KB5021130 | Faas 4
Lõplik jõustamine. 11. juulil 2023 välja antud Windowsi värskendused eemaldavad võimaluse seada väärtuse 1 registri alamvõtmele RequireSeal. See võimaldab CVE-2022-38023 jõustamisfaasi. -
Kerberos PAC signatures KB5020805 | Faas 4
Algne jõustamisrežiim. Eemaldab alamvõtme KrbtgtFullPacSignature väärtuse 1 määramise võimaluse ja liigub vaikerežiimile (KrbtgtFullPacSignature = 3), mille saab otseste auditisätetega alistada. -
Secure Booti möödumise kaitse KB5025885 | Faas 2
Teine juurutamise etapp. Teabevärskendused Windowsi jaoks, mis anti välja 11. juulil 2023 või hiljem, hõlmavad tühistamisfailide automaatset juurutamist, uusi sündmuselogi sündmusi, mis annavad teada, kas tühistamine oli edukas, ja SafeOS-i dünaamilise värskenduse pakett WinRE jaoks.
-
Kerberos PAC allkirjad KB5020805 | Faas 5
Täieliku jõustamise etapp. Eemaldab registri alamvõtme KrbtgtFullPacSignature toe, eemaldab auditirežiimi toe ja kõigi uue PAC-allkirjata teenusepiletite autentimine keelatakse.
-
Active Directory (AD) õiguste värskendused KB5008383 | Faas 5
Lõplik juurutusetapp. Lõplik juurutamise etapp võib alata, kui olete täitnud KB5008383 jaotises "Toiming" loetletud toimingud. Jõustamisrežiimi aktiveerimiseks järgige jaotises "Juurutusjuhised" toodud juhiseid, et määrata atribuudi dSHeuristics 28. ja 29. bitt. Seejärel jälgige sündmusi 3044-3046. Need annavad teada, kui jõustamisrežiim on blokeerinud toimingu LDAP Add or Modify , mis võis varem olla auditirežiimis lubatud.
-
Secure Booti möödumise kaitse KB5025885 | Faas 3
Kolmas juurutamise etapp. See faas lisab täiendavaid käivitushalduri leevendusi. See etapp algab mitte varem kui 9. aprillil 2024.
-
Secure Booti möödumise kaitse KB5025885 | Faas 3
Kohustuslik jõustamise etapp. Tühistamisi (kooditervikluse algkäivituse poliitika ja turvalise algkäivituse keelamise loend) jõustatakse programmiliselt pärast Windowsi värskenduste installimist kõigisse mõjutatud süsteemidesse, kus keelamise võimalust pole.
-
Serdipõhine autentimine KB5014754 | Faas 3
Täielik jõustamisrežiim. Kui serti ei saa tugevalt vastendada, keelatakse autentimine.
Värskeimad uudised
Uusimate värskenduste ja meeldetuletuste hõlpsaks leidmiseks lisage Windowsi sõnumikeskus järjehoidjasse. Kui olete IT-administraator, kellel on juurdepääs Microsoft 365 halduskeskus, häälestage oluliste teatiste ja värskenduste saamiseks Microsoft 365 halduskeskus meilieelistused.
