Riepilogo
Il protocollo remoto Netlogon (denominato anche MS-NRPC) è un'interfaccia RPC utilizzata esclusivamente dai dispositivi aggiunti al dominio. MS-NRPC include un metodo di autenticazione e un metodo per stabilire un canale sicuro Netlogon. Questi aggiornamenti applicano il comportamento del client Netlogon specificato per utilizzare RPC sicuro con il canale sicuro Netlogon tra i computer membri e i controller di dominio (DC) di Active Directory (AD).
Questo aggiornamento della sicurezza risolve la vulnerabilità applicando l'RPC sicuro quando si utilizza il canale sicuro Netlogon in un rilascio in più fasi spiegato nella sezione Tempistica degli aggiornamenti per risolvere la vulnerabilità Netlogon CVE-2020-1472 . Per fornire la protezione della foresta di Active Directory, tutti i controller di dominio devono essere aggiornati poiché applicheranno RPC sicuro con il canale sicuro Netlogon. Sono inclusi i controller di dominio di sola lettura (RODC).
Per ulteriori informazioni sulla vulnerabilità, vedere CVE-2020-1472.
Nota
- Entrare in azione
- Per proteggere l'ambiente ed evitare interruzioni, è necessario eseguire le operazioni seguenti:
- AGGIORNARE i controller di dominio con un aggiornamento rilasciato l'11 agosto 2020 o versione successiva.
- TROVA quali dispositivi stanno effettuando connessioni vulnerabili monitorando i registri eventi.
- ADDRESS dispositivi non conformi che effettuano connessioni vulnerabili.
- ABILITA la modalità di applicazione per risolvere CVE-2020-1472 nel tuo ambiente.
- Avvertenza Il passaggio 1 dell'installazione degli aggiornamenti rilasciati l'11 agosto 2020 o versione successiva risolverà il problema di sicurezza in CVE-2020-1472 per i domini e i trust di Active Directory, nonché per i dispositivi Windows. Per attenuare completamente il problema di sicurezza per i dispositivi di terze parti, è necessario completare tutti i passaggi.
- Avviso A partire da febbraio 2021, la modalità di applicazione sarà abilitata in tutti i controller di dominio Windows e bloccherà le connessioni vulnerabili da dispositivi non conformi. A quel punto, non sarà possibile disabilitare la modalità di imposizione.
Avvertenza Se si usa Windows Server 2008 R2 SP1, è necessaria una licenza ESU (Extended Security Update) per installare correttamente qualsiasi aggiornamento che risolva questo problema. Per ulteriori informazioni sul programma ESU, consulta Domande frequenti sul ciclo di vita - Aggiornamenti di sicurezza estesi.
In questo articolo:
- Riepilogo
- Tempistica degli aggiornamenti per risolvere la vulnerabilità di Netlogon CVE-2020-1472
- Linee guida per la distribuzione: distribuire gli aggiornamenti e applicare la conformità
- Criteri di gruppo "Controller di dominio: consenti connessioni vulnerabili Netlogon Secure Channel Criteri"
- Errori del registro eventi di Windows relativi a CVE-2020-1472
- Valore del Registro di sistema per la modalità di imposizione
- Dispositivi di terze parti che implementano [MS-NRPC]: Netlogon Remote Protocol
- Domande frequenti
- Glossario
Tempistica degli aggiornamenti per risolvere la vulnerabilità di Netlogon CVE-2020-1472
Gli aggiornamenti verranno rilasciati in due fasi: la fase iniziale per gli aggiornamenti rilasciati a partire dall'11 agosto 2020 e la fase di applicazione per gli aggiornamenti rilasciati a partire dal 9 febbraio 2021.
11 agosto 2020: fase di distribuzione iniziale
La fase di distribuzione iniziale inizia con gli aggiornamenti rilasciati l'11 agosto 2020 e continua con gli aggiornamenti successivi fino alla fase di imposizione. Questi aggiornamenti e gli aggiornamenti successivi apportano modifiche al protocollo Netlogon per proteggere i dispositivi Windows per impostazione predefinita, registrano gli eventi per l'individuazione dei dispositivi non conformi e aggiungono la possibilità di abilitare la protezione per tutti i dispositivi aggiunti al dominio con eccezioni esplicite. Questa versione:
- Impone l'utilizzo sicuro di RPC per gli account computer nei dispositivi basati su Windows.
- Applica l'utilizzo sicuro di RPC per gli account attendibili.
- Impone l'utilizzo sicuro di RPC per tutti i controller di dominio Windows e non Windows.
- Include un nuovo criterio di gruppo per consentire gli account di dispositivo non conformi (quelli che utilizzano connessioni al canale sicuro Netlogon vulnerabili). Anche quando i controller di dominio sono in esecuzione in modalità di imposizione o dopo l'inizio della fase di imposizione , ai dispositivi autorizzati non verrà rifiutata la connessione.
- Chiave del Registro di sistema FullSecureChannelProtection per abilitare la modalità di imposizione del controller di dominio per tutti gli account computer (la fase di applicazione aggiornerà i controller di dominio alla modalità di imposizione del controller di dominio).
- Include nuovi eventi quando gli account vengono negati o verranno negati nella modalità di imposizione del controller di dominio (e continueranno nella fase di imposizione). Gli ID evento specifici sono spiegati più avanti in questo articolo.
La mitigazione consiste nell'installare l'aggiornamento in tutti i controller di dominio e i controller di dominio di sola lettura, monitorare la presenza di nuovi eventi e risolvere i dispositivi non conformi che usano connessioni al canale sicuro Netlogon vulnerabili. Gli account computer su dispositivi non conformi possono essere autorizzati a utilizzare connessioni di canale sicuro Netlogon vulnerabili; tuttavia, devono essere aggiornati per supportare RPC sicuro per Netlogon e l'account applicato il prima possibile per rimuovere il rischio di attacco.
9 febbraio 2021: fase di esecuzione
Il rilascio del 9 febbraio 2021 segna il passaggio alla fase di esecuzione. I controller di dominio saranno ora in modalità di imposizione indipendentemente dalla chiave del Registro di sistema della modalità di imposizione. Ciò richiede a tutti i dispositivi Windows e non Windows di utilizzare RPC sicuro con il canale sicuro Netlogon o di consentire esplicitamente l'account aggiungendo un'eccezione per il dispositivo non conforme. Questa versione:
- Impone l'utilizzo sicuro di RPC per gli account computer su dispositivi non basati su Windows, a meno che non sia consentito dai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili".
- La registrazione dell'ID evento 5829 verrà rimossa. Poiché tutte le connessioni vulnerabili vengono negate, ora nel registro eventi di sistema verranno visualizzati solo gli ID evento 5827 e 5828.
Linee guida per la distribuzione: distribuire gli aggiornamenti e applicare la conformità
La fase di distribuzione iniziale comprenderà i passaggi seguenti:
- Distribuzione degli aggiornamenti dell'11 agosto a tutti i controller di dominio nella foresta.
- (a) Monitorare gli eventi di avviso e (b) agire su ciascun evento.
- (a) Una volta che tutti gli eventi di avviso sono stati risolti, la protezione completa può essere abilitata implementando la modalità di applicazione del controller di dominio. (b) Tutti gli avvisi devono essere risolti prima dell'aggiornamento della fase di applicazione del 9 febbraio 2021.
Passaggio 1: AGGIORNAMENTO
Distribuire gli aggiornamenti dell'11 agosto 2020
Distribuire gli aggiornamenti dell'11 agosto a tutti i controller di dominio applicabili nella foresta, inclusi i controller di dominio di sola lettura. Dopo aver distribuito questo aggiornamento, i controller di dominio con patch saranno:
- Iniziare a imporre l'utilizzo sicuro di RPC per tutti gli account dispositivo basati su Windows, gli account attendibili e tutti i controller di dominio.
- Registrare gli ID evento 5827 e 5828 nel registro eventi di sistema, se le connessioni vengono negate.
- Registrare gli ID evento 5830 e 5831 nel registro eventi di sistema, se le connessioni sono consentite dai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili".
- Registrare l'evento ID 5829 nel registro eventi di sistema ogni volta che è consentita una connessione vulnerabile al canale protetto Netlogon. Questi eventi devono essere risolti prima della configurazione della modalità di applicazione del controller di dominio o prima dell'inizio della fase di applicazione il 9 febbraio 2021.
Passaggio 2a: TROVARE
Rilevamento di dispositivi non conformi con ID evento 5829
Dopo l'applicazione degli aggiornamenti dell'11 agosto 2020 ai controller di dominio, è possibile raccogliere eventi nei registri eventi del controller di dominio per determinare quali dispositivi nell'ambiente usano connessioni del canale sicuro Netlogon vulnerabili (in questo articolo denominate dispositivi non conformi). Monitorare i controller di dominio con patch per eventi ID evento 5829. Gli eventi includeranno informazioni pertinenti per l'identificazione dei dispositivi non conformi.
Per monitorare gli eventi, usare il software di monitoraggio degli eventi disponibile o uno script per monitorare i controller di dominio. Per uno script di esempio che è possibile adattare al proprio ambiente, vedere Script per il monitoraggio degli ID evento relativi agli aggiornamenti Netlogon per CVE-2020-1472
Passaggio 2b: INDIRIZZO
Indirizzamento degli ID evento 5827 e 5828
Per impostazione predefinita, le versioni supportate di Windows che sono state completamente aggiornate non devono utilizzare connessioni al canale sicuro Netlogon vulnerabili. Se uno di questi eventi viene registrato nel registro eventi di sistema di un dispositivo Windows:
- Verifica che sul dispositivo siano in esecuzione versioni supportate di Windows.
- Verifica che il dispositivo sia completamente aggiornato.
- Verificare che Membro di dominio: Crittografa o firma digitalmente i dati del canale sicuro (sempre) sia impostato su Abilitato.
Per i dispositivi non Windows che fungono da controller di dominio, questi eventi verranno registrati nel registro eventi di sistema quando si usano connessioni al canale sicuro Netlogon vulnerabili. Se viene registrato uno di questi eventi:
Articoli consigliati Collabora con il produttore del dispositivo (OEM) o il fornitore del software per ottenere supporto per RPC sicuro con Netlogon Secure Channel
- Se il controller di dominio non conforme supporta l'RPC sicuro con il canale sicuro Netlogon, abilitare l'RPC sicuro sul controller di dominio.
- Se il controller di dominio non conforme attualmente non supporta l'RPC sicuro, collaborare con il produttore del dispositivo (OEM) o il fornitore del software per ottenere un aggiornamento che supporti l'RPC sicuro con il canale sicuro Netlogon.
- Ritirare il controller di dominio non conforme.
Vulnerabile Se un controller di dominio non conforme non è in grado di supportare RPC sicuro con il canale sicuro Netlogon prima che i controller di dominio siano in modalità di imposizione, aggiungere il controller di dominio utilizzando il criterio di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili" descritto di seguito.
Nota
Avviso Se si consente ai controller di dominio di usare connessioni vulnerabili tramite i criteri di gruppo, la foresta sarà vulnerabile agli attacchi. L'obiettivo finale deve essere quello di risolvere e rimuovere tutti gli account da questi criteri di gruppo.
Indirizzo dell'evento 5829
L'ID evento 5829 viene generato quando è consentita una connessione vulnerabile durante la fase di distribuzione iniziale. Queste connessioni verranno negate quando i controller di dominio sono in modalità di imposizione. In questi eventi, concentrarsi sul nome del computer, sul dominio e sulle versioni del sistema operativo identificate per determinare i dispositivi non conformi e il modo in cui devono essere risolti.
Modi per risolvere il problema dei dispositivi non conformi:
Articoli consigliati Collabora con il produttore del dispositivo (OEM) o il fornitore del software per ottenere supporto per RPC sicuro con Netlogon Secure Channel:
- Se il dispositivo non conforme supporta l'RPC sicuro con il canale sicuro Netlogon, abilitare l'RPC sicuro sul dispositivo.
- Se il dispositivo non conforme ATTUALMENTE NON supporta l'RPC sicuro con il canale sicuro Netlogon, collaborare con il produttore del dispositivo o il fornitore del software per ottenere un aggiornamento che consenta l'abilitazione dell'RPC sicuro con il canale sicuro Netlogon.
- Ritirare il dispositivo non conforme.
Vulnerabile Se un dispositivo non conforme non è in grado di supportare RPC sicuro con il canale sicuro Netlogon prima che i controller di dominio siano in modalità di imposizione, aggiungere il dispositivo utilizzando i criteri di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili" descritti di seguito.
Nota
Avviso Consentire agli account del dispositivo di usare connessioni vulnerabili tramite i criteri di gruppo metterà a rischio questi account AD. L'obiettivo finale deve essere quello di risolvere e rimuovere tutti gli account da questi criteri di gruppo.
Consentire connessioni vulnerabili da dispositivi di terze parti
Utilizzare i criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" per aggiungere account non conformi. Questo dovrebbe essere considerato un rimedio a breve termine solo fino a quando i dispositivi non conformi non vengono risolti come descritto in precedenza. Avvertenza L'autorizzazione di connessioni vulnerabili da dispositivi non conformi potrebbe avere un impatto sulla sicurezza sconosciuto e deve essere consentita con cautela.
- Creazione di uno o più gruppi di sicurezza per gli account a cui sarà consentito l'utilizzo di un canale sicuro Netlogon vulnerabile.
- In Criteri di gruppo vai a Configurazione > computer Impostazioni di sicurezza Impostazioni di sicurezza > di Windows > Criteri locali Opzioni > di sicurezza
- Cercare "Controller di dominio: consenti connessioni al canale sicuro Netlogon vulnerabili".
- Se è presente il gruppo amministratore o un gruppo non creato specificamente per l'uso con questo Criteri di gruppo, rimuoverlo.
- Aggiungere un gruppo di sicurezza creato appositamente per l'uso con questi Criteri di gruppo al descrittore di sicurezza con l'autorizzazione "Consenti". Avvertenza L'autorizzazione "Nega" si comporta allo stesso modo in cui avviene se l'account non è stato aggiunto, ovvero gli account non saranno autorizzati a rendere vulnerabili i canali Netlogon sicuri.
- Dopo aver aggiunto i gruppi di sicurezza, i criteri di gruppo devono essere replicati in ogni controller di dominio.
- Periodicamente monitorare gli eventi 5827, 5828 e 5829 per determinare quali account usano connessioni di canale sicure vulnerabili.
- Aggiungere gli account computer ai gruppi di sicurezza in base alle esigenze. Procedura consigliata Usare i gruppi di sicurezza nei criteri di gruppo e aggiungere account al gruppo in modo che l'appartenenza venga replicata tramite la normale replica di Active Directory. In questo modo si evitano frequenti aggiornamenti dei criteri di gruppo e ritardi nella replica.
Dopo che tutti i dispositivi non conformi sono stati risolti, è possibile spostare i controller di dominio in modalità di imposizione (vedere la sezione successiva).
Nota
Avviso Consentire ai controller di dominio di utilizzare connessioni vulnerabili per gli account attendibili tramite i criteri di gruppo renderà la foresta vulnerabile agli attacchi. Gli account trust sono solitamente denominati in base al dominio trusted, ad esempio: Il controller di dominio nel dominio-a ha un trust con un controller di dominio nel dominio-b. Internamente, il controller di dominio nel dominio-a ha un account di trust denominato "domain-b$" che rappresenta l'oggetto trust per il dominio-b. Se il controller di dominio nel dominio-a vuole esporre la foresta al rischio di attacco consentendo connessioni vulnerabili al canale sicuro Netlogon dall'account di attendibilità del dominio-b, un amministratore può usare Add-adgroupmember –identity "Nome del gruppo di sicurezza" -members "domain-b$" per aggiungere l'account di attendibilità al gruppo di sicurezza.
Passaggio 3a: ABILITARE
Passaggio alla modalità di esecuzione prima della fase di esecuzione di febbraio 2021
Dopo che tutti i dispositivi non conformi sono stati risolti, abilitando RPC sicuro o consentendo connessioni vulnerabili con il criterio di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili", impostare la chiave del Registro di sistema FullSecureChannelProtection su 1.
Avvertenza Se si utilizza il criterio di gruppo "Controller di dominio: Consenti connessioni canale sicuro Netlogon vulnerabili", assicurarsi che i criteri di gruppo siano stati replicati e applicati a tutti i controller di dominio prima di impostare la chiave del Registro di sistema FullSecureChannelProtection.
Quando viene distribuita la chiave del Registro di sistema FullSecureChannelProtection, i controller di dominio saranno in modalità di imposizione. Questa impostazione richiede che tutti i dispositivi che utilizzano il canale sicuro Netlogon:
- Usa RPC sicuro.
- Sono consentiti nei criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili".
Nota
Avviso I client di terze parti che non supportano RPC sicuro con connessioni al canale sicuro Netlogon verranno rifiutati quando viene distribuita la chiave del Registro di sistema della modalità di applicazione del controller di dominio, che può interrompere i servizi di produzione.
Passaggio 3b: fase di esecuzione
Distribuire gli aggiornamenti del 9 febbraio 2021
La distribuzione degli aggiornamenti rilasciati il 9 febbraio 2021 o versione successiva attiverà la modalità di applicazione del controller di dominio. La modalità di imposizione del controller di dominio è quando tutte le connessioni Netlogon sono necessarie per utilizzare RPC sicuro o l'account deve essere stato aggiunto al criterio di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili". Al momento, la chiave del Registro di sistema FullSecureChannelProtection non è più necessaria e non sarà più supportata.
Criteri di gruppo "Controller di dominio: consenti connessioni vulnerabili Netlogon Secure Channel Criteri"
È consigliabile usare i gruppi di sicurezza nei criteri di gruppo in modo che l'appartenenza venga replicata tramite la normale replica di Active Directory. In questo modo si evitano frequenti aggiornamenti dei criteri di gruppo e ritardi nella replica.
| Percorso dei criteri e nome impostazione | Descrizione |
|---|---|
| Percorso criterio: Configurazione > computer Impostazioni > di sicurezza di Windows Impostazioni > di sicurezza Criteri > locali Opzioni di sicurezza Nome impostazione: Controller di dominio: consenti connessioni al canale sicuro Netlogon vulnerabili Riavvio necessario? No |
Questa impostazione di sicurezza determina se il controller di dominio ignora le connessioni RPC sicure per le connessioni al canale sicuro Netlogon per gli account computer specificati. Questo criterio deve essere applicato a tutti i controller di dominio in una foresta abilitando i criteri nell'unità organizzativa dei controller di dominio. Quando l'elenco Crea connessioni vulnerabili (elenco Consenti) è configurato:
Impostazione predefinita: questo criterio non è configurato. Nessun computer o account trust è esplicitamente esente dall'RPC sicuro con l'imposizione delle connessioni a canale sicuro Netlogon. Questo criterio è supportato in Windows Server 2008 R2 SP1 e versioni successive. |
Errori del registro eventi di Windows relativi a CVE-2020-1472
Esistono tre categorie di eventi:
1. Eventi registrati quando una connessione viene negata perché è stata tentata una connessione vulnerabile al canale protetto Netlogon:
- Errore 5827 (account computer)
- Errore 5828 (account trust)
2. Eventi registrati quando è consentita una connessione perché l'account è stato aggiunto al criterio di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili":
- Avviso 5830 (account computer)
- Avviso 5831 (account trust)
3. Eventi registrati quando è consentita una connessione nel rilascio iniziale che verranno negati nella modalità di imposizione del controller di dominio:
- Avviso 5829 (account computer)
ID evento: 5827
L'ID evento 5827 verrà registrato quando viene negata una connessione al canale protetto Netlogon vulnerabile da un account computer.
| Registro eventi | Sistema |
|---|---|
| Origine evento | NETLOGON |
| ID evento | 5827 |
| Livello | Errore |
| Testo del messaggio dell'evento | Il servizio Netlogon ha negato una connessione al canale sicuro Netlogon vulnerabile da un account computer. Macchina SamAccountName: Dominio: Tipo di conto: Sistema operativo della macchina: Build del sistema operativo della macchina: Service Pack del sistema operativo del computer: Per ulteriori informazioni sul motivo per cui questo è stato negato, visita https://go.microsoft.com/fwlink/?linkid=2133485. |
ID evento: 5828
L'ID evento 5828 verrà registrato quando viene negata una connessione al canale protetto Netlogon vulnerabile da un account trust.
| Registro eventi | Sistema |
|---|---|
| Origine evento | NETLOGON |
| ID evento | 5828 |
| Livello | Errore |
| Testo del messaggio dell'evento | Il servizio Netlogon ha negato una connessione al canale sicuro Netlogon vulnerabile utilizzando un account trust. Tipo di conto: Nome fiducia: Obiettivo di fiducia: Indirizzo IP client: Per ulteriori informazioni sul motivo per cui questo è stato negato, visita https://go.microsoft.com/fwlink/?linkid=2133485. |
ID evento: 5829
L'ID evento 5829 verrà registrato solo durante la fase di distribuzione iniziale, quando è consentita una connessione al canale protetto Netlogon vulnerabile da un account computer.
Quando viene distribuita la modalità di applicazione del controller di dominio o dopo l'inizio della fase di applicazione con la distribuzione degli aggiornamenti del 9 febbraio 2021, queste connessioni verranno negate e verrà registrato l'ID evento 5827. Per questo motivo è importante monitorare l'evento 5829 durante la fase di distribuzione iniziale e agire prima della fase di imposizione per evitare interruzioni.
| Registro eventi | Sistema |
|---|---|
| Origine evento | NETLOGON |
| ID evento | 5829 |
| Livello | Avviso |
| Testo del messaggio dell'evento | Il servizio Netlogon consentiva una connessione vulnerabile al canale protetto Netlogon. Avviso: questa connessione verrà negata una volta rilasciata la fase di imposizione. Per comprendere meglio la fase di esecuzione, visita https://go.microsoft.com/fwlink/?linkid=2133485. Macchina SamAccountName: Dominio: Tipo di conto: Sistema operativo della macchina: Build del sistema operativo della macchina: Service Pack del sistema operativo del computer: |
ID evento: 5830
L'ID evento 5830 verrà registrato quando una connessione vulnerabile all'account del computer del canale sicuro Netlogon è consentita dai criteri di gruppo "Controller di dominio: Consenti connessioni vulnerabili del canale sicuro Netlogon".
| Registro eventi | Sistema |
|---|---|
| Origine evento | NETLOGON |
| ID evento | 5830 |
| Livello | Avviso |
| Testo del messaggio dell'evento | Il servizio Netlogon consentiva una connessione al canale sicuro Netlogon vulnerabile perché l'account computer era consentito nei criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili". Avviso: l'utilizzo di canali sicuri Netlogon vulnerabili esporrà i dispositivi aggiunti al dominio agli attacchi. Per proteggere il dispositivo da un attacco, rimuovere un account computer dai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" dopo aver aggiornato il client Netlogon di terze parti. Per comprendere meglio il rischio della configurazione degli account computer per l'utilizzo di connessioni del canale sicuro Netlogon vulnerabili, visitare https://go.microsoft.com/fwlink/?linkid=2133485. Macchina SamAccountName: Dominio: Tipo di conto: Sistema operativo della macchina: Build del sistema operativo della macchina: Service Pack del sistema operativo del computer: |
ID evento: 5831
L'ID evento 5831 viene registrato quando il criterio di gruppo "Controller di dominio: Consenti connessioni in canale sicuro Netlogon vulnerabili" è consentito.
| Registro eventi | Sistema |
|---|---|
| Origine evento | NETLOGON |
| ID evento | 5831 |
| Livello | Avviso |
| Testo del messaggio dell'evento | Il servizio Netlogon ha consentito una connessione al canale sicuro Netlogon vulnerabile perché l'account di fiducia è consentito nel criterio di gruppo "Controller di dominio: consenti connessioni al canale sicuro Netlogon vulnerabili". Avviso: l'utilizzo di canali sicuri Netlogon vulnerabili espone le foreste di Active Directory agli attacchi. Per proteggere le foreste di Active Directory dagli attacchi, tutti i trust devono utilizzare RPC sicuro con canale sicuro Netlogon. Rimuovere un account attendibile dai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" dopo aver aggiornato il client Netlogon di terze parti nei controller di dominio. Per comprendere meglio il rischio della configurazione di account fiduciari per l'utilizzo di connessioni di canale sicure Netlogon vulnerabili, visitare https://go.microsoft.com/fwlink/?linkid=2133485. Tipo di conto: Nome fiducia: Obiettivo di fiducia: Indirizzo IP client: |
Valore del Registro di sistema per la modalità di imposizione
Nota
Avviso: se modifichi il Registro di sistema in modo non corretto tramite l'editor del Registro di sistema o usi un altro metodo, potrebbero verificarsi problemi gravi. che potrebbero richiedere la reinstallazione del sistema operativo. Microsoft non garantisce la risoluzione di questi problemi. Qualsiasi modifica del Registro di sistema viene eseguita a rischio dell'utente.
Gli aggiornamenti dell'11 agosto 2020 introducono l'impostazione del Registro di sistema seguente per abilitare la modalità di imposizione in anticipo. Questa opzione sarà abilitata indipendentemente dall'impostazione del Registro di sistema nella fase di applicazione a partire dal 9 febbraio 2021:
| Sottochiave del Registro di sistema | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Value | FullSecureChannelProtection |
| Tipo di dati | REG_DWORD |
| Dati | 1 - Abilita la modalità di imposizione. I controller di dominio negheranno le connessioni al canale sicuro Netlogon vulnerabili a meno che l'account non sia consentito dall'elenco Crea connessione vulnerabile nel criterio di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili". 0 - I controller di dominio consentiranno le connessioni vulnerabili del canale sicuro Netlogon da dispositivi non Windows. Questa opzione verrà deprecata nella fase di imposizione. |
| Riavvio necessario? | No |
Dispositivi di terze parti che implementano [MS-NRPC]: Netlogon Remote Protocol
Tutti i client o i server di terze parti devono utilizzare RPC sicuro con il canale protetto Netlogon. Contattare il produttore del dispositivo (OEM) o i fornitori di software per determinare se il loro software è compatibile con l'ultimo Netlogon Remote Protocol.
Gli aggiornamenti del protocollo sono disponibili nel sito della documentazione del protocollo di Windows.
Domande frequenti
1. Che cosa utilizza il canale sicuro Netlogon?
- Windows & dispositivi aggiunti a un dominio di terze parti con account computer in Active Directory (AD)
- Windows Server & controller di dominio di terze parti in domini attendibili & attendibili con account attendibili in Active Directory
2. Le soluzioni di terze parti possono essere interessate?
I dispositivi di terze parti potrebbero non essere conformi. Se la tua soluzione di terze parti mantiene un account computer in AD, contatta il fornitore per determinare se sei interessato.
3. Perché il mio controller di dominio nega gli account che sono stati configurati nel criterio di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili"?
Ritardi nella replica AD e Sysvol o errori delle applicazioni di Criteri di gruppo nel controller di dominio di autenticazione potrebbero causare l'assenza delle modifiche ai criteri di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili" e comportare la negazione dell'account.
I passaggi seguenti possono aiutare a risolvere il problema:
Se il criterio è stato configurato per contenere un gruppo e sono state apportate modifiche all'appartenenza al gruppo per aggiungere l'account, verificare che il controller di dominio che ha negato la connessione abbia replicato l'appartenenza al gruppo in locale. Avvertenza Non è consigliabile aggiungere gli account direttamente ai criteri di gruppo.
Se è stata apportata una modifica al criterio e aggiunto un nuovo account o un nuovo gruppo, verificare che la modifica del criterio venga replicata e applicata: Eseguire i comandi gpupdate /force e gpresult /h
Per ulteriori informazioni sulla risoluzione dei problemi relativi a criteri di gruppo, applicazione e componenti correlati dipendenti, vedere quanto segue:
4. Ho un ID evento 5827 per un dispositivo Windows. Pensavo che avessi detto che Windows non è interessato?
Per impostazione predefinita, le versioni supportate di Windows che sono state completamente aggiornate non devono utilizzare connessioni al canale sicuro Netlogon vulnerabili. Se un ID evento 5827 viene registrato nel registro eventi di sistema per un dispositivo Windows:
- Verifica che sul dispositivo siano in esecuzione versioni supportate di Windows.
- Verificare che il dispositivo sia completamente aggiornato da Windows Update.
- Verificare che Membro di dominio: Crittografa o firma digitalmente i dati del canale sicuro (sempre) sia impostato su Abilitato in un oggetto Criteri di gruppo collegato all'unità organizzativa per tutti i controller di dominio, ad esempio l'oggetto Criteri di gruppo dei controller di dominio predefinito.
5. Anche le workstation e i dispositivi endpoint devono essere aggiornati?
Sì, dovrebbero essere aggiornati, ma non sono specificamente vulnerabili a CVE-2020-1472.
6. I server Windows non DC o altri dispositivi Windows devono essere aggiornati con gli aggiornamenti rilasciati l'11 agosto 2020 o versione successiva prima di aggiornare i controller di dominio?
No, i controller di dominio sono l'unico ruolo interessato da CVE-2020-1472 e possono essere aggiornati indipendentemente dai server Windows non controller di dominio e da altri dispositivi Windows.
7. Perché Windows Server 2008 SP2 non viene aggiornato per risolvere CVE-2020-1472?
Windows Server 2008 SP2 non è vulnerabile a questo CVE specifico perché non utilizza AES per RPC protetto.
8. È necessario ESU per Windows Server 2008 R2 SP1 per risolvere CVE-2020-1472?
Sì, è necessario l'aggiornamento della sicurezza estesa (ESU) per installare gli aggiornamenti per le risposte a CVE-2020-1472 per Windows Server 2008 R2 SP1.
9. Ricerca per categorie come è possibile assicurarsi che i controller di dominio siano protetti?
Distribuendo gli aggiornamenti dell'11 agosto 2020 o successivi a tutti i controller di dominio nell'ambiente.
Verificare che nessuno dei dispositivi aggiunti ai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" disponga di servizi privilegi di amministratore aziendale o amministratore di dominio, come SCCM o Microsoft Exchange. Avvertenza Qualsiasi dispositivo nell'elenco dei consentiti potrà usare connessioni vulnerabili e potrebbe esporre l'ambiente agli attacchi.
10. Se sono stati distribuiti aggiornamenti a tutti i controller di dominio, l'azienda è protetta da CVE-2020-1472?
L'installazione degli aggiornamenti rilasciati l'11 agosto 2020 o versione successiva nei controller di dominio protegge gli account computer basati su Windows, gli account trust e gli account controller di dominio.
Gli account computer Active Directory per i dispositivi di terze parti aggiunti a un dominio non sono protetti fino a quando non viene distribuita la modalità di imposizione. Anche gli account computer non sono protetti se vengono aggiunti al criterio di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili".
11. Ricerca per categorie che come verificare che le identità dei dispositivi aggiunte a un dominio di Windows siano protette?
Assicurarsi che tutti i controller di dominio nell'ambiente abbiano installato gli aggiornamenti dell'11 agosto 2020 o versioni successive.
Tutte le identità dei dispositivi aggiunte ai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" saranno vulnerabili agli attacchi.
12. Ricerca per categorie che le identità dei dispositivi aggiunte a un dominio di terze parti siano protette?
Assicurarsi che tutti i controller di dominio nell'ambiente abbiano installato gli aggiornamenti dell'11 agosto 2020 o versioni successive.
Abilita la modalità di applicazione per negare connessioni vulnerabili da identità di dispositivi di terze parti non conformi.
Avvertenza Con la modalità di imposizione abilitata, tutte le identità dei dispositivi di terze parti aggiunte ai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili" saranno comunque vulnerabili e potrebbero consentire a un utente malintenzionato l'accesso non autorizzato alla rete o ai dispositivi.
13. Che cos'è la modalità di esecuzione?
La modalità di imposizione indica ai controller di dominio di non consentire connessioni Netlogon da dispositivi che non utilizzano RPC sicuro, a meno che tali account dispositivo non siano stati aggiunti ai criteri di gruppo "Controller di dominio: Consenti connessioni in canale sicuro Netlogon vulnerabili".
Per altre informazioni, vedere la sezione Valore del Registro di sistema per la modalità di imposizione .
14. Quali account computer devono essere aggiunti al criterio di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili"?
Ai criteri di gruppo devono essere aggiunti solo gli account computer per i dispositivi che non possono essere protetti abilitando RPC sicuro sul canale sicuro Netlogon. È consigliabile rendere questi dispositivi conformi o sostituirli per proteggere l'ambiente.
15. Cosa può fare un utente malintenzionato agli account computer che si trovano nel criterio di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili"?
Un utente malintenzionato può assumere l'identità di un computer Active Directory di qualsiasi account computer aggiunto ai criteri di gruppo e successivamente sfruttare le autorizzazioni di cui dispone l'identità del computer.
16. Perché è consigliabile aggiungere un account computer al criterio di gruppo "Controller di dominio: Consenti connessioni a canale sicuro Netlogon vulnerabili"?
Se si dispone di un dispositivo di terze parti che non supporta RPC sicuro per Netlogon Secure Channel e si desidera abilitare la modalità di imposizione, è necessario aggiungere l'account computer per tale dispositivo ai criteri di gruppo. Questa operazione non è consigliata e potrebbe lasciare il dominio in uno stato potenzialmente vulnerabile. È consigliabile usare questo criterio di gruppo per avere il tempo necessario per aggiornare o sostituire dispositivi di terze parti e renderli conformi.
17. Quando si vuole abilitare la modalità di imposizione?
La modalità di imposizione deve essere abilitata il prima possibile. Qualsiasi dispositivo di terze parti dovrà essere risolto rendendoli conformi o aggiungendoli ai criteri di gruppo "Controller di dominio: consenti connessioni a canale sicuro Netlogon vulnerabili". Avvertenza Qualsiasi dispositivo nell'elenco dei consentiti potrà usare connessioni vulnerabili e potrebbe esporre l'ambiente agli attacchi.
Glossario
| Termine | Definizione |
|---|---|
| ANNUNCIO | Active Directory |
| DC | Controller di dominio |
| Modalità di applicazione | La chiave del Registro di sistema che consente di abilitare la modalità di esecuzione prima del 9 febbraio 2021. |
| Fase di applicazione | Fase che inizia con gli aggiornamenti del 9 febbraio 2021 in cui la modalità di imposizione verrà abilitata in tutti i controller di dominio Windows, indipendentemente dall'impostazione del Registro di sistema. I controller di dominio negheranno le connessioni vulnerabili da tutti i dispositivi non conformi, a meno che non vengano aggiunti ai criteri di gruppo "Controller di dominio: Consenti connessioni in canale sicuro Netlogon vulnerabili". |
| Fase iniziale della distribuzione | La fase inizia con gli aggiornamenti dell'11 agosto 2020 e continua con gli aggiornamenti successivi fino alla fase di applicazione. |
| Account computer | Denominato anche Active Directory Computer o oggetto computer. Si prega di consultare il glossario MS-NPRC per la definizione completa. |
| MS-NRPC | Microsoft Netlogon Remote ProtoCol |
| Dispositivo non conforme | Un dispositivo non conforme è un dispositivo che utilizza una connessione al canale sicuro Netlogon vulnerabile. |
| Controllo di accesso remoto (ROD) | controller di dominio di sola lettura |
| Connessione vulnerabile | Una connessione vulnerabile è una connessione a canale protetto Netlogon che non utilizza RPC sicuro. |