KB5020276 – Netjoin: promjene za povećanje otpornosti standarda za pridruživanje domeni

Sažetak

Ažuriranja sustava Windows objavljena 11. listopada 2022. i kasnije sadrže dodatne zaštite koje je uveo CVE-2022-38042. Te zaštite namjerno sprječavaju operacije pridruživanja domeni da ponovno koriste postojeći računalni račun u ciljnoj domeni, osim ako:

• Korisnik koji pokušava pokrenuti operaciju je tvorac postojećeg računa ili
• Računalo je stvorio član administratora domene ili

• Vlasnik računa računala koji se ponovno koristi član je grupe "Domain controller: Allow computer account re-use during domain join" (Kontroler domene: dopusti ponovno korištenje računa računala tijekom pridruživanja domeni). pravilnik grupe. Ova postavka zahtijeva instalaciju ažuriranja sustava Windows objavljenih 14. ožujka 2023. ili kasnije na SVIM računalima članovima i domenskim kontrolerima.

Ažuriranja objavljena 14. ožujka 2023. i nakon te 12. rujna 2023. pružit će dodatne mogućnosti za zahvaćene korisnike u sustavu Windows Server 2012 R2 i novijem te svim podržanim klijentima. Dodatne informacije potražite u odjeljcima Ponašanje od 11. listopada 2022 . i Poduzimanje radnji .

Ponašanje prije 11. listopada. 2022.

Prije nego što instalirate kumulativna ažuriranja od 11. listopada 2022. ili novija kumulativna ažuriranja, klijentsko računalo šalje upit servisu Active Directory za postojeći račun istog naziva. Taj se upit pojavljuje tijekom pridruživanja domeni i dodjele računa računala. Ako takav račun postoji, klijent će ga automatski pokušati ponovno upotrijebiti.

Ovo su dva scenarija za pridruživanje domeni s odgovarajućim zadanim ponašanjem i zastavicama na sljedeći način:

• Domain join (NetJoinDomain)

  • Zadano je ponovno korištenje računa (osim ako nije navedena NETSETUP_NO_ACCT_REUSE zastavica)

• Dodjela resursa računu (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Zadano je postavljeno na BEZ ponovnog korištenja (osim ako NETSETUP_PROVISION_REUSE_ACCOUNT nije navedeno).

Ponašanje od 11. listopada 2022.

Nakon što na klijentsko računalo instalirate kumulativna ažuriranja sustava Windows od 11. listopada 2022. ili novija, tijekom pridruživanja domeni klijent će provesti dodatne sigurnosne provjere prije ponovnog pokušaja ponovne upotrebe postojećeg računa računala. Algoritam:

1. Pokušaj ponovne upotrebe računa bit će dopušten ako je korisnik koji pokušava pokrenuti operaciju tvorac postojećeg računa.
2. Pokušaj ponovnog korištenja računa bit će dopušten ako je račun stvorio član administratora domene.

Dodatne sigurnosne provjere provode se prije pokušaja pridruživanja računalu. Ako su provjere uspješne, ostatak operacije spajanja podliježe dozvolama servisa Active Directory kao i prije.

Ta promjena ne utječe na nove račune.

Ponašanje od 14. ožujka 2023.

U ažuriranjima sustava Windows objavljenim 14. ožujka 2023. ili kasnije unijeli smo nekoliko promjena u povećanje sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli 11. listopada 2022.

Prvo smo proširili opseg skupina koje su izuzete od ovog otvrdnjavanja. Osim domenske provjere vlasništvo izuzete su grupe, osim domenske provjere, administratori u tvrtki ili ustanovi i ugrađeni administratori.

Potom smo implementirali novu postavku pravilnik grupe. Administratori ga mogu koristiti za određivanje popisa dopuštenih vlasnika pouzdanih računala. Račun računala će zaobići sigurnosnu provjeru ako vrijedi nešto od sljedećeg:

Račun je u vlasništvu korisnika koji je naveden kao pouzdani vlasnik u pravilnik grupe "Kontroler domene: dopusti ponovno korištenje računa računala tijekom pridruživanja domeni".

Račun je u vlasništvu korisnika koji je član grupe koja je navedena kao pouzdani vlasnik u pravilnik grupe "Kontroler domene: dopusti ponovnu upotrebu računa računala tijekom pridruživanja domeni".

Da biste koristili te nove pravilnik grupe, kontrolor domene i računalo člana moraju dosljedno imati instalirano ažuriranje od 14. ožujka 2023. ili novije. Neki od vas možda imaju određene račune koje koristite za automatsko stvaranje računa na računalu. Ako su ti računi sigurni od zloupotrebe i ako im vjerujete da će stvoriti računalne račune, možete ih izuzeti. I dalje ćete biti sigurni od izvorne ranjivosti ublažene ažuriranjima sustava Windows od 11. listopada 2022.

Ponašanje od 12. rujna 2023.

U ažuriranjima sustava Windows objavljenim 12. rujna 2023. ili kasnije unijeli smo nekoliko dodatnih promjena u povećanje sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli 11. listopada 2022. i promjene od 14. ožujka 2023.

Riješili smo problem uslijed kojeg pridruživanje domeni pomoću provjere autentičnosti pametne kartice ne uspijeva bez obzira na postavku pravilnika. Da bismo riješili taj problem, preostalih sigurnosnih provjera vratili smo na domenski kontroler. Stoga nakon sigurnosnog ažuriranja iz rujna 2023. klijentska računala upućuju autenticirane SAMRPC pozive domenskom kontroleru radi izvršavanja sigurnosnih provjera valjanosti povezanih s ponovnom upotrebom računalnih računa.

Međutim, to može uzrokovati neuspjeh pridruživanja domeni u okruženjima u kojima je postavljen sljedeći pravilnik: Pristup mreži: ograničavanje klijenata kojima je dopušteno upućivanje udaljenih poziva SAM-u.  Informacije o rješavanju ovog problema potražite u odjeljku "Poznati problemi".

Ponašanje od 13. kolovoza 2024.

U ažuriranjima sustava Windows objavljenim 13. kolovoza 2024. ili kasnije riješili smo sve poznate probleme s kompatibilnošću s pravilnikom o popisu dopuštenih stavki. Uklonili smo i podršku za ključ NetJoinLegacyAccountReuse. Ponašanje povećavanja otpornosti nastavit će se neovisno o postavci tipke. Odgovarajući načini dodavanja izuzeća navedeni su u odjeljku Izuzimanje radnji u nastavku.

Poduzimanje radnji

Konfigurirajte novi pravilnik o popisu dopuštenih pomoću pravilnik grupe na domenskom kontroleru i uklonite sva naslijeđena klijentska zaobilazna rješenja. Nakon toga učinite sljedeće:

1. Morate instalirati ažuriranja od 12. rujna 2023. ili novija na sva računala članica i domenske kontrolere.

2. U novom ili postojećem pravilniku grupe koji se primjenjuje na sve domenske kontrolere konfigurirajte postavke u nastavku.

3. U odjeljku Konfiguracija računala\Pravilnici\Postavke sustava Windows\Sigurnosne postavke\Lokalni pravilnici\Sigurnosne mogućnosti dvokliknite Kontrolor domene: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni.

4. Odaberite Definiraj tu postavku pravilnika i uredi <sigurnost...>.

5. Pomoću alata za odabir objekata dodajte korisnike ili grupe pouzdanih računala, autora i vlasnika računa u dozvolu Dopusti . (Preporučujemo da za dozvole koristite grupe.) Nemojte dodavati korisnički račun koji provodi pridruživanje domeni.

   Upozorenje

   Članstvo u pravilniku ograničite na pouzdane korisnike i servisne račune. U pravilnik nemojte dodavati autorizirane korisnike, sve ni druge velike grupe. Umjesto toga, u grupe dodajte određene pouzdane korisničke i servisne račune i dodajte te grupe pravilniku.

6. Pričekajte interval osvježavanja pravilnik grupe ili pokrenite gpupdate /force na svim domenskim kontrolerima.

7. Provjerite je li ključ registra HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" popunjen željenim SDDL-om. Registar nemojte uređivati ručno.

8. Pokušajte se pridružiti računalu koje ima instalirana ažuriranja od 12. rujna 2023. ili novija. Provjerite je li jedan od računa navedenih u pravilniku vlasnik računa računala. Ako pridruživanje domeni ne uspije, provjerite \netsetup.log c:\windows\debug.

Ako vam je i dalje potrebno zamjensko zaobilazno rješenje, pregledajte tijekove rada dodjele računa računala i saznajte jesu li potrebne promjene.

1. Izvedite operaciju pridruživanja pomoću računa na kojem je stvoren računalni račun u ciljnoj domeni.
2. Ako je postojeći račun zastario (ne koristi se), izbrišite ga prije ponovnog pokušaja pridruživanja domeni.
3. Preimenujte računalo i uključite se u njega pomoću drugog računa koji još ne postoji.
4. Ako je postojeći račun u vlasništvu pouzdanog upravitelja sigurnosti, a administrator želi ponovno koristiti račun, slijedite upute u odjeljku Poduzimanje radnji da biste instalirali ažuriranja sustava Windows iz rujna 2023. ili novija i konfigurirali popis dopuštenih.

Nerješenja

• Nemojte dodavati servisne račune ni račune za dodjelu resursa sigurnosnoj grupi Administratori domene.
• Nemojte ručno uređivati sigurnosni deskriptor na računima računala da biste redefinirali vlasništvo nad tim računima, osim ako je izbrisan prethodni račun vlasnika. Iako će uređivanje vlasnika omogućiti uspjeh novih provjera, račun računala mogao bi zadržati iste potencijalno rizične, neželjene dozvole za izvornog vlasnika osim ako ih izričito ne pregleda i ukloni.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Poznati problemi