Najnowsze wskazówki dotyczące zaostrzania systemu Windows i kluczowe daty

Zmiany protokołu Netlogon KB5021130 | Faza 2

Początkowa faza wymuszania. Usuwa możliwość wyłączenia uszczelniania RPC, ustawiając wartość 0 na podkluczu Rejestru RequireSeal .

KB5014754 uwierzytelniania opartego na certyfikacie | Faza 2

Powoduje usunięcie trybu wyłączonego.

Ochrona przed obejściem bezpiecznego rozruchu KB5025885 | Faza 1

Początkowa faza wdrażania. System Windows Aktualizacje wydany w dniu 9 maja 2023 r. lub później, dotyczy luk omówionych w cve-2023-24932, zmian składników rozruchu systemu Windows oraz dwóch plików odwołania, które można ręcznie zastosować (zasady integralności kodu i zaktualizowana lista nie zezwalania na bezpieczny rozruch (DBX)).

Zmiany protokołu Netlogon KB5021130 | Faza 3

Domyślnie wymuszanie. RequireSeal podklucz zostanie przeniesiony do trybu wymuszania, chyba że jawnie skonfigurujesz go w trybie zgodności.

KB5020805 podpisów PAC protokołu Kerberos | Faza 3

Trzecia faza wdrażania. Usuwa możliwość wyłączenia dodawania podpisu PAC przez ustawienie podklucza KrbtgtFullPacSignature na wartość 0.

Zmiany protokołu Netlogon KB5021130 | Faza 4

Ostateczne egzekwowanie. Aktualizacje systemu Windows wydane 11 lipca 2023 r. usuną możliwość ustawienia wartości 1 na podkluczu RequireSeal rejestru. Umożliwia to fazę wymuszania CVE-2022-38023.

KB5020805 podpisów PAC protokołu Kerberos | Faza 4

Tryb wy wymuszania początkowego. Usuwa możliwość ustawienia wartości 1 dla podklucza KrbtgtFullPacSignature i przejście do trybu wymuszania jako domyślnego (KrbtgtFullPacSignature = 3), które można zastąpić jawnym ustawieniem inspekcji. 

Ochrona przed obejściem bezpiecznego rozruchu KB5025885 | Faza 2

Druga faza wdrażania. Aktualizacje dla systemu Windows wydane 11 lipca 2023 r. obejmują automatyczne wdrażanie plików odwołań, nowe zdarzenia dziennika zdarzeń informujące o tym, czy wdrożenie odwołania zakończyło się pomyślnie, oraz pakiet aktualizacji dynamicznej SafeOS dla usługi WinRE.

KB5020805 podpisów PAC protokołu Kerberos | Faza 5

Faza pełnego wymuszania. Usuwa obsługę podklucza rejestru KrbtgtFullPacSignature, usuwa obsługę trybu inspekcji , a wszystkie bilety usługi bez nowych podpisów PAC zostaną odrzucone uwierzytelnianie.

Aktualizacje uprawnień usługi Active Directory (AD) KB5008383 | Faza 5

Ostateczna faza wdrażania. Ostatnia faza wdrażania może się rozpocząć po wykonaniu kroków wymienionych w sekcji "Wykonywanie akcji" KB5008383. Aby przejść do trybu wymuszania , postępuj zgodnie z instrukcjami w sekcji "Wskazówki dotyczące wdrażania", aby ustawić 28 i 29 bity atrybutu dSHeuristics . Następnie monitoruj zdarzenia 3044-3046. Raportują, gdy tryb wymuszania zablokował operację dodawania lub modyfikowania LDAP, która mogła być wcześniej dozwolona w trybie inspekcji . 

Ochrona przed obejściem bezpiecznego rozruchu KB5025885 | Faza 3

Trzecia faza wdrażania. Ta faza spowoduje dodanie dodatkowych środków łagodzących menedżera rozruchu. Ta faza rozpocznie się nie wcześniej niż 9 kwietnia 2024 r.

Zmiany sprawdzania poprawności pac KB5037754 | Faza trybu zgodności

Początkowa faza wdrażania rozpoczyna się wraz z aktualizacjami wydanymi 9 kwietnia 2024 r. Ta aktualizacja dodaje nowe zachowanie, które zapobiega podniesieniu luk w zabezpieczeniach uprawnień opisanych w cve-2024-26248 i CVE-2024-29056, ale nie wymusza ich, chyba że zostaną zaktualizowane zarówno kontrolery domeny systemu Windows, jak i klienci systemu Windows w środowisku.

Aby włączyć nowe zachowanie i ograniczyć luki w zabezpieczeniach, musisz upewnić się, że zaktualizowano całe środowisko systemu Windows (w tym zarówno kontrolery domeny, jak i klientów). Zdarzenia inspekcji zostaną zarejestrowane, aby ułatwić identyfikowanie urządzeń, które nie są aktualizowane.

Ochrona przed obejściem bezpiecznego rozruchu KB5025885 | Faza 3

Obowiązkowa faza wymuszania. Odwołania (zasady rozruchu integralności kodu i lista niedozwolonych bezpiecznego rozruchu) będą programowo wymuszane po zainstalowaniu aktualizacji systemu Windows dla wszystkich systemów, których dotyczy problem, bez możliwości wyłączenia.

Zmiany sprawdzania poprawności pac KB5037754 | Domyślna faza wymuszania

Aktualizacje wydana w styczniu 2025 r. lub później przeniesie wszystkie kontrolery domeny i klientów systemu Windows w środowisku do trybu Wymuszone. Ten tryb domyślnie wymusza bezpieczne zachowanie. Istniejące ustawienia klucza rejestru, które zostały wcześniej ustawione, zastąpią tę zmianę domyślnego zachowania.

Domyślne ustawienia trybu wymuszonego mogą zostać zastąpione przez administratora, aby przywrócić tryb zgodności.

KB5014754 uwierzytelniania opartego na certyfikacie | Faza 3

Tryb pełnego wymuszania. Jeśli nie można silnie zamapować certyfikatu, zostanie odrzucone uwierzytelnianie.

Zmiany sprawdzania poprawności pac KB5037754 | Faza

wymuszania Aktualizacje zabezpieczeń systemu Windows wydane w kwietniu 2025 r. lub później usuną obsługę podkluczy rejestru PacSignatureValidationLevel i CrossDomainFilteringLevel oraz wymuszą nowe bezpieczne zachowanie. Po zainstalowaniu aktualizacji z kwietnia 2025 r. nie będzie dostępna obsługa trybu zgodności.

Zabezpieczenia uwierzytelniania Kerberos dla KB5057784 CVE-2025-26647 | Tryb inspekcji

Początkowa faza wdrażania rozpoczyna się od aktualizacji wydanych 8 kwietnia 2025 r. Te aktualizacje dodają nowe zachowanie, które wykrywa lukę w zabezpieczeniach podwyższenia uprawnień opisaną w cve-2025-26647 , ale nie wymusza jej. Aby włączyć nowe zachowanie i zabezpieczyć się przed luką w zabezpieczeniach, musisz upewnić się, że wszystkie kontrolery domeny systemu Windows są zaktualizowane, a dla klucza rejestru AllowNtAuthPolicyBypass ustawiono wartość 2.

Zabezpieczenia uwierzytelniania Kerberos dla KB5057784 CVE-2025-26647 | Wymuszona przez fazę

domyślną Aktualizacje wydana w lipcu 2025 r. lub później, domyślnie wymusi sprawdzenie magazynu NTAuth. Ustawienie klucza rejestru AllowNtAuthPolicyBypass nadal umożliwia klientom powrót do trybu inspekcji w razie potrzeby. Jednak możliwość całkowitego wyłączenia tej aktualizacji zabezpieczeń zostanie usunięta.

Zabezpieczenia uwierzytelniania Kerberos dla KB5057784 CVE-2025-26647 | Tryb

wymuszania ​​​​​​​Aktualizacje wydana w październiku 2025 r. lub później, przestanie obsługiwać klucz rejestru AllowNtAuthPolicyBypass przez firmę Microsoft. Na tym etapie wszystkie certyfikaty muszą być wystawione przez organy należące do magazynu NTAuth.

Ochrona przed obejściem bezpiecznego rozruchu KB5025885 | Faza wymuszania

Faza wymuszania nie rozpocznie się przed styczniem 2026 r. W tym artykule zostanie wyświetlone ostrzeżenie z co najmniej sześciomiesięcznym wyprzedzeniem przed rozpoczęciem tej fazy. Po wydaniu aktualizacji dla fazy wymuszania będą one obejmować następujące elementy:

• Certyfikat "Windows Production PCA 2011" zostanie automatycznie odwołany przez dodanie go do listy zakazanych plików UEFI bezpiecznego rozruchu (DBX) na urządzeniach z obsługą. Te aktualizacje będą programowo wymuszane po zainstalowaniu aktualizacji systemu Windows we wszystkich systemach, których dotyczy problem, bez możliwości wyłączenia.