תוכנית להפחתת הסיכון עבור תרחישי המבוסס על Active Directory Services אישור

מבט כולל

הסעיפים הבאים יסייעו לך לזהות, לצמצם ולתקן Active Directory אישורים Services (AD CS)-להנפיק אישורים ובקשות שהושפעו מפגיעות המזוהה ב- ADV170012 עלון יידוע בנושא אבטחה של Microsoft .

תהליך הפחתת הסיכון מתמקד זיהוי אישורים שהונפקו המושפעות מהפגיעות ולאחר מתמקד גם מבטל אותם.

להפחתת הסיכון

1. עד עדכון קושחה המתאימה זמינה עבור ההתקן שלך, עדכן תבניות אישורים המוגדרים לשימוש TPM KSP לשימוש של KSP מבוססת-תוכנה. הדבר ימנע יצירת כל אישורי בעתיד המשתמשות TPM KSP והם, לפיכך, פגיעה. לקבלת מידע נוסף, ראה עדכון קושחה בהמשך מאמר זה.

2. עבור כבר יצרת אישורים או בקשות:
   

   1. שימוש בקובץ script המצורף כדי לפרט את כל האישורים שהונפקו עלול להיות פגיע.
      

      1. ביטול אישורים אלה על-ידי העברת רשימת מספרים סידוריים שקיבלת בשלב הקודם.

      2. אכוף הרשמת אישורים חדשים בהתבסס על תצורת תבנית המציינת תוכנה KSP כעת.

      3. הפעל מחדש את כל תרחישי באמצעות אישורים חדשים בכל מקום בו אתה יכול.

   2. שימוש בקובץ script המצורף כדי לפרט את כל האישורים המבוקשים עלול להיות פגיע:
      

      1. דחה את כל בקשות אישורים אלה.

   3. שימוש בקובץ script המצורף כדי לפרט את כל תעודות שפג תוקפן. ודא כי אין אלה אישורים מוצפנים המשמשים עדיין לפענח נתונים. תעודות שפג תוקפן מוצפנים
      

      1. אם כן, ודא כי הנתונים לפענח ולאחר מכן מוצפנים באמצעות מפתח חדש שמבוסס ביטול אישור שנוצר על-ידי שימוש בתוכנה KSP.

      2. אם לא, תוכל להתעלם בבטחה את האישורים.

   4. ודא כי היא תהליך מניעה אלה אישורים שבוטלו כעת unrevoked בטעות על-ידי מנהל המערכת.

תיקונים

כל בקרי קבוצות המחשבים צריכים להיות אישורים שהונפקו הכוללים את KDC EKU, כפי שצוין במקטע [RFC 4556] בסעיף 3.2.4. עבור AD CS, השתמש בתבנית אימות Kerberos, וכיצד לקבוע את תצורתה מחליף אישורים KDC אחרים שהונפקו.

לקבלת מידע נוסף, [RFC 4556] נספח ג' מסביר את ההיסטוריה של תבניות אישור KDC שונים ב- Windows.

כאשר כל בקרי קבוצות המחשבים יש אישורים KDC התואם ל- RFC, Windows יכול להגן על עצמו על-ידי הפעלת אימות KDC מחמירה ב- Windows Kerberos.

הערה כברירת מחדל, יהיה צורך Kerberos ציבורי מפתח תכונות חדשות.