"Microsoft" saugos patarimas: Naujinimas, skirtas kredencialų apsaugai ir valdymui pagerinti: 2014 m. gegužės 13 d.

ĮVADAS

"Microsoft" išleido "Microsoft" saugos patarimą apie šią problemą IT specialistams. Saugos patarime yra papildomos su sauga susijusios informacijos. Norėdami peržiūrėti saugos patarimą, eikite į šią "Microsoft" svetainę:

https://technet.microsoft.com/security/advisory/2871997 Svarbu Be 2871997 atnaujinimo, buvo keli kiti naujinimai, padedantys pagerinti kredencialų apsaugą. Atidžiai perskaitykite šį straipsnį, kad suprastumėte visą pasiekiamų naujinimų rinkinį.

Naujinimo DUK

Ar šiame naujinime yra papildomų su sauga susijusių funkcijų pakeitimų?
Be pakeitimų, kurie išvardyti šiame biuletenyje aprašytų pažeidžiamumų, šis naujinimas apima gylio gynybos naujinimus, kad būtų galima pagerinti kredencialų apsaugą ir domeno autentifikavimo valdiklius, kad būtų sumažintas kredencialų vagystės. Daugiau informacijos žr. "Microsoft" saugos patarimo 2871997.

Daugiau informacijos

Šis naujinimas pristato TokenLeakDetectDelaySecs registro parametrą

SvarbuŠiame skyriuje, metode ar užduotyje yra veiksmų, kurie nurodo, kaip modifikuoti registrą. Tačiau, jei registrą modifikuosite netinkamai, gali kilti didelių problemų. Taigi, įsitikinkite, kad atidžiai atliekate šiuos veiksmus. Kad papildomai apsisaugotumėte, prieš redaguodami sukurkite atsarginę registro kopiją. Tada galėsite atkurti registrą, jei kiltų problemų. Jei norite gauti daugiau informacijos apie tai, kaip sukurti atsarginę kopiją ir atkurti registrą, spustelėkite toliau straipsnio numerį ir peržiūrėkite straipsnį Microsoft žinių bazėje:

322756 Kaip sukurti atsarginę registro kopiją ir atkurti registrą sistemoje "Windows"
Įdiegus šį saugos naujinimą, "Windows 7" ir „Windows 8“ neapsaugotų vartotojų numatytasis parametras neturi priverstinai išvalyti nutekėjusio prisijungimo seanso kredencialų. Norėdami perrašyti šį numatytąjį parametrą, galite įtraukti šį registro dword ir nustatyti rekomenduojamą 30 sekundžių reikšmę.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Tai suaktyvins bet kokių prisijungusių vartotojų kredencialų išvalymas po 30 sekundžių, neatsižvelgiant į tai, ar vis dar yra jos nuoroda. Tai tas pats, kaip numatytasis „Windows 8“.1" ir "Windows 10 veikimas.

Numatytasis veikimas pritaikius saugos naujinimą 3126593 (MS16-014)

Įdiegus saugos naujinimą 3126593,, numatytasis parametras yra priverstinai išvalyti kredencialus visiems vartotojams. Jei norite grįžti prie ankstesnio senstelėjusio veikimo būdo, nustatykite tokenLeakDetectDelaySecs įrašą į 0. Tokiu būdu išjungiami atsijungus nuo neapsaugotų vartotojų kredencialai, kol lieka nuoroda.

Pataisymai

2014 m. spalio 14 d. "Microsoft" išleido šiuos naujinimus, kad įtrauktų riboto Administratorius režimą nuotoliniam darbalaukiui ir nuotolinio darbalaukio protokolui:

palaikomų "Windows 7" ir "Windows Server 2008 R2" leidimų 2984972

2984976 palaikomiems "Windows 7" ir "Windows Server 2008 R2" leidimams, kuriuose įdiegtas 2592687 naujinimas (nuotolinio darbalaukio protokolo 8.0 naujinimas). Klientai, kurie įdiegia naujinimo 2984976 , taip pat turi įdiegti naujinimą 2984972 .

2984981 palaikomiems "Windows 7" ir "Windows Server 2008 R2" leidimams, kuriuose įdiegtas 2830477 naujinimas ("Remote Desktop Connection 8.1" kliento naujinimas). Klientai, kurie įdiegia naujinimo 2984981, taip pat turi įdiegti naujinimą 2984972 .

palaikomų „Windows 8“, 2012 Windows Server ir „Windows RT“ leidimų 2973501.
Pastaba Palaikomuose "„Windows 8“.1", "Windows Server 2012 R2" ir "„Windows RT“ 8.1" leidimuose ši funkcija jau yra ir šio naujinimo nereikia.

2014 m. rugsėjo 9 d. "Microsoft" išleido:

2982378 "Microsoft" saugos patarimą: Naujinimas, skirtas pagerinti kredencialų apsaugą ir valdymą "Windows 7" ir "Windows Server 2008 R2": 2014 m. rugsėjo 9 d. 2014 m. liepos 8 d., "Microsoft" išleido:

2973351 "Microsoft" saugos patarimą: registro naujinimas, skirtas pagerinti kredencialų apsaugą ir valdymą "Windows" pagrindo sistemose, kuriose įdiegtas 2919355 naujinimas: 2014 m. liepos 8 d.

2975625 "Microsoft" saugos patarimą: registro naujinimas, skirtas pagerinti kredencialų apsaugą ir valdymą "Windows" sistemose, kuriose neįdiegtas 2919355 naujinimas: 2014 m. liepos 8 d. Šis naujinimas teikia konfigūruojamus registro parametrus, skirtus kredencialų saugos palaikymo teikėjui (CredSSP) valdyti apriboto Administratorius režimu.

Pastaba. Naujinimas pakeičia numatytąsias riboto Administratorius režimo funkcijas „Windows 8“.1", "Windows Server 2012 R2" ir "„Windows RT“ 8.1". Daugiau informacijos žr. patarimo skyriuje DUK. Šiuos failus galima atsisiųsti iš "Microsoft" atsisiuntimo centro.

Pastaba Norėdami nustatyti, kurie naujinimai tinka jūsų sistemai, naudokite toliau pateiktą lentelę.

WDigest parametrai

Įdiegę šį saugos naujinimą, galite valdyti, kaip įdiegtus "WDigest" kredencialus galima įrašyti naudojant registro parametrą. Kad "WDigest" kredencialai nebūtų saugomi atmintyje, Grupės strategija parametras gali būti taikomas "UseLogonCredential" registro įrašui pagal šį dalinį raktą:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Jei UseLogonCredential reikšmė nustatyta kaip 0, WDigest neįdės kredencialų atmintyje.
• Jei UseLogonCredential reikšmė nustatyta kaip 1, "WDigest" įrašys kredencialus atmintyje.

Įdiegus šį saugos naujinimą, numatytasis šios reikšmės parametras yra 1 sistemoje "Windows 7", Windows Server 2008 R2", "„Windows 8“" ir "Windows Server 2012". Galite naudoti šiame straipsnyje esantį "paprasto pataisymo" sprendimą, kad pakeistumėte šį parametrą į 0. Taip bus išjungtas "WDigest" slaptažodžių saugojimui atmintyje.

Pastaba Pagal numatytuosius parametrus „Windows 8“.1 ir Windows Server 2012 R2 ir vėlesnėse versijose kredencialų kaupimas "WDigest" atmintyje yra išjungtas (UseLogonCredential reikšmė nustatoma į 0, kai registro įrašo nėra).

Pastebėtas veikimo pokytis, kai UseLogonCredential reikšmė nustatyta į 0 , yra tai, kad galite pastebėti, jog kredencialai reikalingi dažniau, kai naudojate "WDigest".

Štai paprastas pataisymas

Šis paprastas taisymo sprendimas pakeičia UseLogonCredential registro raktą, kad būtų išjungtas "WDigest" slaptažodžių saugojimui atmintyje. Įdiegus saugos naujinimą 2871997 ir pritaikius šį paprasto taisymo sprendimą sistemose, kuriose veikia "Windows 7", "Windows Server 2008 R2", "„Windows 8“" arba "Windows Server 2012", nebeturėtų būti pagrindinio (išvalyto teksto) kredencialų, išsaugotų atmintyje.

Pastaba Kad galėtumėte naudoti šį paprasto taisymo sprendimą, 2871997 įdiegti saugos naujinimą.

Norėdami įjungti šį paprasto taisymo sprendimą, spustelėkite mygtuką Atsisiųsti . Dialogo lange Failo atsisiuntimas spustelėkite Vykdyti arba Atidaryti, tada atlikite paprasto pataisymo vedlio nurodomus veiksmus.

• Šis vediklis gali būti tik anglų kalba. Tačiau automatinis taisymas taip pat veikia ir kitose "Windows" kalbos versijose.
• Jei nesate kompiuteryje, kuriame yra problema, įrašykite paprasto taisymo sprendimą į "flash" atmintinę arba kompaktinį diską, tada paleiskite kompiuteryje, kuriame yra problema.

Išjungti WDigest slaptažodžius, kad jie nebūtų saugomi atmintyje

„Microsoft“ atsisiuntimo centras

Atskirą naujinimo paketą galite gauti iš "Microsoft" atsisiuntimo centro. Vykdykite atsisiuntimo puslapyje pateiktas diegimo instrukcijas, kad įdiegtumėte naujinimą.

Toliau pateiktoje lentelėje spustelėkite atsisiuntimo saitą, kuris atitinka jūsų naudojamą "Windows" versiją. Sužinokite, ar jūsų kompiuteryje veikia 32, ar 64 bitų "Windows" versija

Visoms palaikomoms x86 pagrindo "Windows 7" versijoms paketą dabar.

Visoms palaikomoms x64 pagrindo "Windows 7" versijoms paketą dabar.

Visoms palaikomoms x86 pagrindo versijos Windows Embedded Standard 7 paketą dabar.

Visoms palaikomoms x64 pagrindo versijoms Windows Embedded Standard 7 paketą dabar.

Visoms palaikomoms x64 pagrindo versijos Windows Server 2008 R2 paketą dabar.

Visoms palaikomoms IA-64 pagrindo versijos Windows Server 2008 R2 paketą dabar.

Visoms palaikomoms x86 pagrindo versijoms „Windows 8“ paketą dabar.

Visoms palaikomoms x64 pagrindo versijoms „Windows 8“ paketą dabar.

Visoms palaikomoms x64 pagrindo versijos Windows Server 2012 paketą dabar.

Leidimo data: 2014 m. rugsėjo 9 d.

Jei norite gauti daugiau informacijos apie tai, kaip atsisiųsti "Microsoft" palaikymo failus, spustelėkite toliau straipsnio numerį ir peržiūrėkite straipsnį Microsoft žinių bazėje:

119591 Kaip gauti "Microsoft" palaikymo failus iš internetinės paslaugos "Microsoft" nuskaitytų šį failą ieškant virusų. "Microsoft" naudojo naujausią virusų aptikimo programinę įrangą, kuri buvo pasiekiama failo paskelbimo dieną. Failas saugomas sustiprintos saugos serveriuose, kurie padeda apsisaugoti nuo nepatvirtintų failo pakeitimų.

FAILO INFORMACIJA

Naudojant šio programinės įrangos naujinimo anglų kalbos (Jungtinės Valstijos) versiją, įdiegiami failai su tolesnėse lentelėse išvardytais atributais. Šių failų datos ir laikai nurodyti universaliuoju laiku (UTC). Šių failų datos ir laikai jūsų vietiniame kompiuteryje rodomi vietiniu laiku ir su dabartiniu vasaros laiko (DST) poslinkiu. Be to, datos ir laikas gali pasikeisti, kai su failais atliksite tam tikras operacijas.

"Windows 7" ir Windows Server 2008 R2" failų informacija

• Failai, taikomi konkrečiam produktui, gairei (RTM, SPn) ir paslaugų šakai (LDR, GDR), gali būti identifikuojami patikrinus failo versijos numerius, kaip parodyta šioje lentelėje:

  Versija	Produktas	Etapas	Paslaugos šaka
  6.1.760 1. 18 xxx	„Windows 7“ ir „Windows Server 2008 R2“	SP1	GDR
  6.1.760 1. 22 xxx	„Windows 7“ ir „Windows Server 2008 R2“	SP1	LDR pažyma

• GDR paslaugų šakose yra tik tos pataisos, kurios plačiai išleistos sprendžiant plačiai paplitusias svarbias problemas. LDR paslaugų šakose yra karštųjų pataisų, be plačiai išleistų pataisų.

Pastaba Įdiegtų MANIFEST failų (.manifest) ir MUM failų (.mum) sąraše nėra.

Visoms palaikomoms x86 pagrindo "Windows 7" versijoms

Visoms palaikomoms x64 pagrindo "Windows 7" ir "Windows Server 2008 R2" versijoms

Visoms palaikomoms IA-64 pagrindo versijoms Windows Server 2008 R2