Resumo
O Netlogon Remote Protocol (também chamado de MS-NRPC) é uma interface RPC usada exclusivamente por dispositivos ingressados no domínio. O MS-NRPC inclui um método de autenticação e um método para estabelecer um canal seguro Netlogon. Essas atualizações impõem o comportamento de cliente Netlogon especificado para usar RPC seguro com canal seguro Netlogon entre computadores membro e controladores de domínio (DC) do Active Directory (AD).
Esta atualização de segurança resolve a vulnerabilidade impondo o RPC seguro ao usar o canal seguro Netlogon em uma versão em fases explicada na seção Tempo de atualizações para resolver a vulnerabilidade Netlogon CVE-2020-1472 . Para fornecer proteção de floresta do AD, todos os DCs devem ser atualizados, pois eles imporão o RPC seguro com o canal seguro Netlogon. Isso inclui controladores de domínio somente leitura (RODC).
Para saber mais sobre a vulnerabilidade, consulte CVE-2020-1472.
Observação
- Tome medidas
- Para proteger seu ambiente e evitar interrupções, você deve fazer o seguinte:
- ATUALIZE seus Controladores de Domínio com uma atualização lançada em 11 de agosto de 2020 ou posterior.
- DESCUBRA quais dispositivos estão fazendo conexões vulneráveis monitorando os logs de eventos.
- ADDRESS dispositivos não compatíveis que fazem conexões vulneráveis.
- HABILITE o modo de imposição para abordar a CVE-2020-1472 em seu ambiente.
- Observação A etapa 1 da instalação de atualizações lançadas em 11 de agosto de 2020 ou posterior resolverá o problema de segurança no CVE-2020-1472 para domínios e relações de confiança do Active Directory, bem como para dispositivos Windows. Para atenuar totalmente o problema de segurança para dispositivos de terceiros, você precisará concluir todas as etapas.
- Atenção A partir de fevereiro de 2021, o modo de imposição será habilitado em todos os Controladores de Domínio do Windows e bloqueará conexões vulneráveis de dispositivos não compatíveis. Nesse momento, você não poderá desabilitar o modo de imposição.
Observação Se você estiver usando o Windows Server 2008 R2 SP1, precisará de uma licença de ESU (Atualização de Segurança Estendida) para instalar com êxito qualquer atualização que resolva esse problema. Para obter mais informações sobre o programa ESU, consulte Perguntas frequentes sobre ciclo de vida - Atualizações de segurança estendidas.
Neste artigo:
- Resumo
- Tempo das atualizações para resolver a vulnerabilidade CVE-2020-1472 do Netlogon
- Diretrizes de implantação – implantar atualizações e impor conformidade
- "Controlador de domínio: permitir conexões de canal seguro de logon de rede vulneráveis" Política de Grupo
- Erros de log dos eventos do Windows relacionados ao CVE-2020-1472
- Valor do Registro para o modo de imposição
- Dispositivos de terceiros que implementam [MS-NRPC]: Protocolo Remoto Netlogon
- Perguntas frequentes
- Glossário
Tempo das atualizações para resolver a vulnerabilidade CVE-2020-1472 do Netlogon
As atualizações serão lançadas em duas fases: a fase inicial para atualizações lançadas em ou após 11 de agosto de 2020 e a fase de imposição para atualizações lançadas em ou após 9 de fevereiro de 2021.
11 de agosto de 2020 - Fase de Implantação Inicial
A fase inicial de implantação começa com as atualizações lançadas em 11 de agosto de 2020 e continua com atualizações posteriores até a fase de imposição. Essas e atualizações posteriores fazem alterações no protocolo Netlogon para proteger dispositivos Windows por padrão, registra eventos para descoberta de dispositivos não compatíveis e adiciona a capacidade de habilitar a proteção para todos os dispositivos ingressados no domínio com exceções explícitas. Esta versão:
- Impõe o uso seguro de RPC para contas de computador em dispositivos baseados no Windows.
- Impõe o uso seguro de RPC para contas de confiança.
- Impõe o uso seguro da RPC para todos os controladores de domínio Windows e não Windows.
- Inclui uma nova política de grupo para permitir contas de dispositivo não compatíveis (aquelas que usam conexões de canal seguro Netlogon vulneráveis). Mesmo quando os controladores de domínio estiverem em execução no modo de imposição ou após o início da fase de imposição , a conexão dos dispositivos permitidos não será recusada.
- FullSecureChannelProtection para habilitar o modo de imposição de DC para todas as contas de computador (a fase de imposição atualizará os DCs para o modo de imposição de DC).
- Inclui novos eventos quando as contas são negadas ou seriam negadas no modo de imposição do DC (e continuarão na fase de imposição). As IDs de eventos específicas são explicadas mais adiante neste artigo.
A atenuação consiste em instalar a atualização em todos os DCs e RODCs, monitorar novos eventos e abordar dispositivos não compatíveis que estão usando conexões de canal seguro Netlogon vulneráveis. As contas de computador em dispositivos não compatíveis podem ter permissão para usar conexões de canal seguro Netlogon vulneráveis; no entanto, eles devem ser atualizados para oferecer suporte ao RPC seguro para Netlogon e à conta aplicada assim que possível para remover o risco de ataque.
9 de fevereiro de 2021 - Fase de Imposição
A versão de 9 de fevereiro de 2021 marca a transição para a fase de imposição. Os controladores de domínio agora estarão no modo de imposição , independentemente da chave do Registro do modo de imposição. Isso exige que todos os dispositivos Windows e não Windows usem RPC seguro com canal seguro Netlogon ou permitam explicitamente a conta adicionando uma exceção para o dispositivo não compatível. Esta versão:
- Impõe o uso seguro de RPC para contas de computador em dispositivos não baseados no Windows, a menos que permitido pela política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis".
- O registro em log da ID de evento 5829 será removido. Como todas as conexões vulneráveis foram negadas, agora você só verá as IDs de evento 5827 e 5828 no log de eventos do sistema.
Diretrizes de implantação – implantar atualizações e impor conformidade
A Fase de Implantação Inicial consistirá nas seguintes etapas:
- Implantando as atualizações de 11 de agosto em todos os controladores de domínio da floresta.
- (a) Monitorar eventos de aviso e (b) agir em cada evento.
- (a) Depois que todos os eventos de aviso tiverem sido resolvidos, a proteção total poderá ser habilitada implantando o modo de imposição DC. (b) Todos os avisos devem ser resolvidos antes da atualização da fase de execução de 9 de fevereiro de 2021.
Etapa 1: ATUALIZAR
Implantar as atualizações de 11 de agosto de 2020
Implante as atualizações de 11 de agosto em todos os DCs (controladores de domínio) aplicáveis na floresta, incluindo RODCs (controladores de domínio somente leitura). Após a implantação desta atualização, os controladores de domínio corrigidos:
- Comece a impor o uso seguro de RPC para todas as contas de dispositivo baseadas em Windows, contas de confiança e todos os DCs.
- Registre as IDs de evento 5827 e 5828 no log de eventos do sistema, se as conexões forem negadas.
- Registre as IDs de evento 5830 e 5831 no log de eventos do sistema, se as conexões forem permitidas pela política de grupo "Controlador de domínio: permitir conexões de canal seguro de logon de rede vulneráveis".
- Registre a ID de evento 5829 no log de eventos do sistema sempre que uma conexão de canal seguro Netlogon vulnerável for permitida. Esses eventos devem ser resolvidos antes que o modo de imposição de DC seja configurado ou antes do início da fase de imposição em 9 de fevereiro de 2021.
Etapa 2a: LOCALIZAR
Detecção de dispositivos fora de conformidade usando a ID de evento 5829
Depois que as atualizações de 11 de agosto de 2020 forem aplicadas aos DCs, os eventos poderão ser coletados nos logs de eventos do DC para determinar quais dispositivos em seu ambiente estão usando conexões de canal seguro Netlogon vulneráveis (chamadas de dispositivos não compatíveis neste artigo). Monitore DCs corrigidos para eventos de ID de evento 5829. Os eventos incluirão informações relevantes para identificar os dispositivos não conformes.
Para monitorar eventos, use o software de monitoramento de eventos disponível ou use um script para monitorar seus controladores de domínio. Para obter um script de exemplo que você pode adaptar ao seu ambiente, consulte Script para ajudar no monitoramento de IDs de eventos relacionados a atualizações do Netlogon para CVE-2020-1472
Etapa 2b: ENDEREÇO
Abordando as IDs de evento 5827 e 5828
Por padrão, as versões com suporte do Windows que foram totalmente atualizadas não devem usar conexões de canal seguro Netlogon vulneráveis. Se um destes eventos for registrado no log de eventos do sistema para um dispositivo Windows:
- Confirme se o dispositivo está executando uma versão com o suporte do Windows.
- Certifique-se de que o dispositivo esteja totalmente atualizado.
- Verifique se o Membro do domínio: Criptografar digitalmente ou assinar dados do canal seguro (sempre) está definido como Habilitado.
Para dispositivos não Windows que atuam como um DC, esses eventos serão registrados no log de eventos do sistema ao usar conexões de canal seguro Netlogon vulneráveis. Se um destes eventos for registrado:
Recomendado Trabalhe com o fabricante do dispositivo (OEM) ou com o fornecedor de software para obter suporte para RPC seguro com canal seguro Netlogon
- Se o controlador de domínio não compatível der suporte ao RPC seguro com o canal seguro Netlogon, habilite o RPC seguro no controlador de domínio.
- Se o controlador de domínio não compatível NÃO oferecer suporte ao RPC seguro no momento, trabalhe com o fabricante do dispositivo (OEM) ou com o fornecedor de software para obter uma atualização que ofereça suporte ao RPC seguro com o canal seguro Netlogon.
- Desative o controlador de domínio não compatível.
Vulnerável Se um controlador de domínio não compatível não puder dar suporte ao RPC seguro com o canal seguro Netlogon antes que os controladores de domínio estejam no modo de aplicação, adicione o controlador de domínio usando a política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis" descrita abaixo.
Observação
Atenção Permitir que os controladores de domínio usem conexões vulneráveis pela política de grupo tornará a floresta vulnerável a ataques. O objetivo final deve ser abordar e remover todas as contas dessa política de grupo.
Abordando o evento 5829
A ID de evento 5829 é gerada quando uma conexão vulnerável é permitida durante a fase inicial de implantação. Essas conexões serão negadas quando os DCs estiverem no modo de imposição. Nesses eventos, concentre-se no nome do computador, no domínio e nas versões do sistema operacional identificadas para determinar se dispositivos não compatíveis e como eles precisam ser resolvidos.
As formas de lidar com dispositivos não compatíveis:
Recomendado Trabalhe com o fabricante de dispositivos (OEM) ou com o fornecedor de software para obter suporte para RPC seguro com o canal seguro Netlogon:
- Se o dispositivo não compatível der suporte a RPC seguro com canal seguro Netlogon, habilite o RPC seguro no dispositivo.
- Se o dispositivo não compatível NÃO for compatível no momento com RPC seguro com canal seguro Netlogon, fale com o fabricante do dispositivo ou com o fornecedor de software para obter uma atualização que permita que o RPC seguro com canal seguro Netlogon seja habilitado.
- Desative o dispositivo não compatível.
Vulnerável Se um dispositivo não compatível não puder dar suporte a RPC seguro com canal seguro Netlogon antes que os DCs estejam no modo de aplicação, adicione o dispositivo usando a política de grupo "Controlador de domínio: permitir conexões vulneráveis de canal seguro Netlogon" descrita abaixo.
Observação
Atenção Permitir que contas de dispositivo usem conexões vulneráveis pela política de grupo colocará essas contas do AD em risco. O objetivo final deve ser abordar e remover todas as contas dessa política de grupo.
Permitir conexões vulneráveis de dispositivos de terceiros
Use a política de grupo "Controlador de domínio: permitir conexões de canal seguro de logon de rede vulneráveis" para adicionar contas não compatíveis. Isso só deve ser considerado uma solução de curto prazo até que os dispositivos não compatíveis sejam resolvidos, conforme descrito acima. Observação Permitir conexões vulneráveis de dispositivos não compatíveis pode ter impacto de segurança desconhecido e deve ser permitido com cautela.
- Criou um(s) grupo(s) de segurança para contas que terão permissão para usar um canal seguro de Netlogon vulnerável.
- Na Política de Grupo, acesse Configuração > do Computador, Configurações do Windows>, Configurações de Segurança, Políticas >> Locais, Opções de Segurança
- Pesquise "Controlador de domínio: permitir conexões de canal seguro de logon de rede vulneráveis".
- Se o grupo Administrador ou qualquer grupo não criado especificamente para uso com esta Política de Grupo estiver presente, remova-o.
- Adicione um grupo de segurança feito especificamente para uso com essa Política de Grupo ao descritor de segurança com a permissão "Permitir". Observação A permissão "Negar" se comporta da mesma maneira como se a conta não tivesse sido adicionada, ou seja, as contas não terão permissão para tornar vulneráveis canais seguros de Netlogon.
- Depois que os grupos de segurança forem adicionados, a política de grupo deverá ser replicada para cada controlador de domínio.
- Periodicamente, monitore os eventos 5827, 5828 e 5829 para determinar quais contas estão usando conexões de canal seguro vulneráveis.
- Adicione essas contas de computador ao(s) grupo(s) de segurança, conforme necessário. Prática recomendada Use grupos de segurança na política de grupo e adicione contas ao grupo para que a associação seja replicada por meio da replicação normal do AD. Isso evita atualizações frequentes da política de grupo e atrasos na replicação.
Depois que todos os dispositivos não compatíveis forem resolvidos, você poderá mover seus controladores de domínio para o modo de imposição (consulte a próxima seção).
Observação
Atenção Permitir que os controladores de domínio usem conexões vulneráveis para contas confiáveis pela política de grupo tornará a floresta vulnerável a ataques. As contas de confiança geralmente são nomeadas após o domínio confiável, por exemplo: O controlador de domínio no domínio a tem uma relação de confiança com um controlador de domínio no domínio b. Internamente, o controlador de domínio no domínio-a tem uma conta de confiança chamada "domain-b$" que representa o objeto de confiança para o domínio-b. Se o controlador de domínio no domínio a quiser expor a floresta ao risco de ataque permitindo conexões de canal seguro Netlogon vulneráveis da conta de confiança do domínio b, um administrador poderá usar Add-adgroupmember –identity "Nome do grupo de segurança" -members "domain-b$" para adicionar a conta de confiança ao grupo de segurança.
Etapa 3a: HABILITAR
Mudança para o modo de imposição antes da fase de imposição de fevereiro de 2021
Depois que todos os dispositivos não compatíveis tiverem sido resolvidos, seja habilitando o RPC seguro ou permitindo conexões vulneráveis com a política de grupo "Controlador de domínio: permitir conexões vulneráveis de canal seguro Netlogon", defina a chave do Registro FullSecureChannelProtection como 1.
Observação Se você estiver usando a política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis", verifique se a política de grupo foi replicada e aplicada a todos os controladores de domínio antes de definir a chave do Registro FullSecureChannelProtection.
Quando a chave do Registro FullSecureChannelProtection for implantada, os controladores de domínio estarão no modo de imposição. Essa configuração exige que todos os dispositivos que usam o canal seguro Netlogon:
- Use RPC seguro.
- São permitidas na política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis".
Observação
Atenção Os clientes de terceiros que não oferecerem suporte a RPC seguro com conexões de canal seguro Netlogon serão negados quando a chave do Registro do modo de imposição de DC for implantada, o que pode interromper os serviços de produção.
Etapa 3b: Fase de Imposição
Implantar atualizações de 9 de fevereiro de 2021
A implantação de atualizações lançadas em 9 de fevereiro de 2021 ou posteriormente ativará o modo de imposição DC. O modo de imposição DC é quando todas as conexões Netlogon são necessárias para usar o RPC seguro ou a conta deve ter sido adicionada à política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis". No momento, a chave do Registro FullSecureChannelProtection não é mais necessária e não terá mais suporte.
"Controlador de domínio: permitir conexões de canal seguro de logon de rede vulneráveis" Política de Grupo
A prática recomendada é usar grupos de segurança na política de grupo para que a associação seja replicada por meio da replicação normal do AD. Isso evita atualizações frequentes da política de grupo e atrasos na replicação.
| Caminho da política e nome da configuração | Descrição |
|---|---|
| Caminho da política: Configuração do > Computador Configurações do Windows > Configurações de Segurança Políticas >> Locais Opções de Segurança Nome da configuração: Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis Reinicialização necessária? Não |
Essa configuração de segurança determina se o controlador de domínio ignorará o RPC seguro para conexões de canal seguro Netlogon para contas de computador especificadas. Essa política deve ser aplicada a todos os controladores de domínio em uma floresta, habilitando a política na UO dos controladores de domínio. Quando a lista Criar Conexões Vulneráveis (lista de permissões) for configurada:
Padrão: essa política não está configurada. Nenhum computador ou conta de confiança está explicitamente isento do RPC seguro com a imposição de conexões de canal seguro Netlogon. Essa política é compatível com o Windows Server 2008 R2 SP1 e posterior. |
Erros de log dos eventos do Windows relacionados ao CVE-2020-1472
Há três categorias de eventos:
1. Eventos registrados quando uma conexão é negada porque foi tentada uma tentativa de conexão de canal seguro Netlogon vulnerável:
- Erro 5827 (contas de computador)
- Erro 5828 (contas de confiança)
2. Eventos registrados quando uma conexão é permitida porque a conta foi adicionada à política de grupo "Controlador de domínio: permitir conexões de canal seguro Netlogon vulneráveis":
- 5830 (contas de computador) Aviso
- 5831 (contas confiáveis) Aviso
3. Eventos registrados quando uma conexão é permitida na versão inicial que será negada no modo de imposição DC:
- 5829 (contas de computador) Aviso
ID do evento 5827
A ID do evento 5827 será registrada quando uma conexão de canal seguro Netlogon vulnerável de uma conta de computador for negada.
| Log de eventos | Sistema |
|---|---|
| Origem do evento | NETLOGON |
| ID de Evento | 5827 |
| Nível | Erro |
| Texto da mensagem do evento | O serviço Netlogon negou uma conexão de canal seguro Netlogon vulnerável de uma conta de computador. Machine SamAccountName: Domínio: Tipo de Conta: Sistema operacional da máquina: Construção do sistema operacional da máquina: Service Pack do Sistema Operacional do Computador: Para obter mais informações sobre o motivo pelo qual isso foi negado, visite https://go.microsoft.com/fwlink/?linkid=2133485. |
ID do Evento 5828
O ID de Evento 5828 será registado quando uma ligação de canal segura Netlogon vulnerável a partir de uma conta de confiança for negada.
| Log de eventos | Sistema |
|---|---|
| Origem do evento | NETLOGON |
| ID de Evento | 5828 |
| Nível | Erro |
| Texto da mensagem do evento | O serviço Netlogon negou uma conexão de canal seguro Netlogon vulnerável usando uma conta de confiança. Tipo de Conta: Nome de Confiança: Destino de Confiança: Endereço IP do Cliente: Para obter mais informações sobre o motivo pelo qual esta mensagem foi recusada, visite https://go.microsoft.com/fwlink/?linkid=2133485. |
ID do Evento 5829
O ID de Evento 5829 só será registado durante a Fase de Implementação Inicial, quando for permitida uma ligação de canal segura Netlogon vulnerável a partir de uma conta de máquina.
Quando o modo de imposição de DC é implementado ou quando a fase de Imposição começa com a implementação das atualizações de 9 de fevereiro de 2021, estas ligações serão negadas e será registado o ID de Evento 5827. É por isso que é importante monitorizar o Evento 5829 durante a Fase de Implementação Inicial e agir antes da fase de Imposição para evitar interrupções.
| Log de eventos | Sistema |
|---|---|
| Origem do evento | NETLOGON |
| ID de Evento | 5829 |
| Nível | Aviso |
| Texto da mensagem do evento | O serviço Netlogon permitia uma conexão de canal segura Netlogon vulnerável. Aviso: esta ligação será negada assim que a fase de aplicação de medidas for lançada. Para compreender melhor a fase de aplicação de medidas, visite https://go.microsoft.com/fwlink/?linkid=2133485. Máquina SamAccountName: Domínio: Tipo de Conta: Sistema Operativo da Máquina: Compilação do sistema operacional da máquina: Service Pack do Sistema Operativo da Máquina: |
ID do Evento 5830
O ID de Evento 5830 será registado quando uma ligação de conta de máquina de canal seguro Netlogon vulnerável for permitida pela política de grupo "Controlador de domínio: Permitir ligações de canal seguro Netlogon vulneráveis".
| Log de eventos | Sistema |
|---|---|
| Origem do evento | NETLOGON |
| ID de Evento | 5830 |
| Nível | Aviso |
| Texto da mensagem do evento | O serviço Netlogon permitiu uma conexão de canal seguro Netlogon vulnerável porque a conta da máquina é permitida na diretiva de grupo "Controlador de domínio: Permitir conexões de canal seguro Netlogon vulneráveis". Aviso: o uso de canais seguros vulneráveis do Netlogon exporá os dispositivos associados ao domínio a ataques. Para proteger o seu dispositivo contra ataques, remova uma conta de computador da política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis" após a atualização do cliente Netlogon de terceiros. Para entender melhor o risco de configurar contas de máquina para ter permissão para usar conexões de canal seguras vulneráveis do Netlogon, visite https://go.microsoft.com/fwlink/?linkid=2133485. Máquina SamAccountName: Domínio: Tipo de Conta: Sistema Operativo da Máquina: Compilação do sistema operacional da máquina: Service Pack do Sistema Operativo da Máquina: |
ID do Evento 5831
O ID de Evento 5831 será registado quando uma ligação de conta de confiança de canal seguro Netlogon vulnerável for permitida pela política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis".
| Log de eventos | Sistema |
|---|---|
| Origem do evento | NETLOGON |
| ID de Evento | 5831 |
| Nível | Aviso |
| Texto da mensagem do evento | O serviço Netlogon permitiu uma conexão de canal seguro Netlogon vulnerável porque a conta de confiança é permitida na diretiva de grupo "Controlador de domínio: Permitir conexões de canal seguro Netlogon vulneráveis". Aviso: o uso de canais seguros vulneráveis do Netlogon exporá as florestas do Active Directory a ataques. Para proteger suas florestas do Active Directory contra ataques, todas as relações de confiança devem usar RPC seguro com o canal seguro Netlogon. Remova uma conta de confiança da política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis" depois de o cliente Netlogon de terceiros nos controladores de domínio ter sido atualizado. Para compreender melhor o risco de configurar contas de confiança para permitir a utilização de ligações de canal seguras Netlogon vulneráveis, visite https://go.microsoft.com/fwlink/?linkid=2133485. Tipo de Conta: Nome de Confiança: Destino de Confiança: Endereço IP do Cliente: |
Valor do registo para o modo de imposição
Observação
Aviso Poderão ocorrer problemas sérios se você modificar incorretamente o Registro usando o Editor do Registro ou qualquer outro método. Esses problemas podem exigir a reinstalação do sistema operacional. A Microsoft não garante que esses problemas possam ser resolvidos. Modifique o Registro a seu próprio risco.
As atualizações de 11 de agosto de 2020 introduzem a seguinte definição de registo para ativar o modo de imposição antecipadamente. Isto será ativado independentemente da definição de registo na Fase de Aplicação de Medidas a partir de 9 de fevereiro de 2021:
| Subchave do Registro | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Valor | FullSecureChannelProtection |
| Tipo de dados | REG_DWORD |
| Dados | 1 – Isto ativa o modo de imposição. Os DCs negarão conexões de canal seguro Netlogon vulneráveis, a menos que a conta seja permitida pela lista Criar Conexão Vulnerável na política de grupo "Controlador de domínio: Permitir conexões de canal seguro Netlogon vulneráveis". 0 – Os DCs permitirão ligações de canal seguras Netlogon vulneráveis a partir de dispositivos que não sejam Windows. Esta opção será preterida na versão da fase de imposição. |
| É necessário reiniciar? | Não |
Dispositivos de terceiros implementando [MS-NRPC]: Netlogon Remote Protocol
Todos os clientes ou servidores de terceiros devem usar RPC seguro com o canal seguro Netlogon. Contacte o fabricante (OEM) do dispositivo ou os fornecedores de software para determinar se o respetivo software é compatível com o protocolo Netlogon Remote Protocol mais recente.
As atualizações de protocolo podem ser encontradas no site de Documentação do Protocolo do Windows.
Perguntas frequentes
1. O que usa o canal seguro Netlogon?
- O Windows & dispositivos associados a domínios de terceiros que tenham contas de computador no Active Directory (AD)
- Windows Server & controladores de domínio de terceiros em domínios fidedignos & fidedignos que tenham contas de confiança no AD
2. As soluções de terceiros podem ser afetadas?
Os dispositivos de terceiros podem não estar em conformidade. Se a sua solução de terceiros mantiver uma conta de máquina no AD, contacte o fornecedor para determinar se foi afetado.
3. Por que meu DC está negando contas que foram configuradas na política de grupo "Controlador de domínio: Permitir conexões de canal seguras Netlogon vulneráveis"?
Atrasos na replicação do AD e Sysvol ou falhas de aplicativos de diretiva de grupo no DC de autenticação podem fazer com que as alterações na diretiva de grupo de diretiva de grupo "Controlador de domínio: Permitir conexões de canal seguro Netlogon vulneráveis" estejam ausentes e resultem na negação da conta.
Os passos seguintes poderão ajudar a resolver o problema:
Se tiver configurado a política para conter um grupo e efetuado alterações de associação a grupos para adicionar a conta, marcar que o controlador de domínio que negou a ligação replicou os membros do grupo é alterado localmente. Observação Não é recomendado adicionar as contas diretamente à política de grupo.
Se você fez uma alteração na política e adicionou uma nova conta ou um novo grupo marcar que a alteração de política seja replicada e aplicada: Execute os comandos gpupdate /force e gpresult /h
Para obter mais informações sobre a solução de problemas Política de Grupo Aplicativo e componentes relacionados dependentes, consulte o seguinte:
4. Tenho um ID de Evento 5827 para um dispositivo Windows. Eu pensei que você disse que o Windows não é afetado?
Por predefinição, as versões suportadas do Windows que foram totalmente atualizadas não devem utilizar ligações de canal seguras Netlogon vulneráveis. Se um ID de evento 5827 for registado no registo de eventos de sistema para um dispositivo Windows:
- Confirme se o dispositivo está a executar uma versão suportada do Windows.
- Certifique-se de que o dispositivo está totalmente atualizado a partir do Windows Update.
- Verifique se o membro do domínio: criptografar digitalmente ou assinar dados de canal seguros (sempre) está definido como Habilitado em um GPO vinculado à UO para todos os seus DCs, como o GPO dos controladores de domínio padrão.
5. As estações de trabalho e os dispositivos de ponto final também precisam de ser atualizados?
Sim, devem ser atualizados, mas não estão especificamente vulneráveis ao CVE-2020-1472.
6. Os servidores Windows que não sejam DC ou outros dispositivos Windows precisam ser atualizados com as atualizações lançadas em 11 de agosto de 2020 ou posteriormente antes de atualizar os DCs?
Não, os DCs são a única função afetada pelo CVE-2020-1472 e podem ser atualizados independentemente dos servidores Windows não DC e outros dispositivos Windows.
7. Por que motivo o Windows Server 2008 SP2 não é atualizado para corrigir o CVE-2020-1472?
Windows Server 2008 SP2 não é vulnerável a esse CVE específico porque não usa AES para RPC seguro.
8. Preciso da ESU para o Windows Server 2008 R2 SP1 para resolver o CVE-2020-1472?
Sim, irá precisar da Extensão das Atualizações de Segurança (ESU) para instalar as atualizações de endereço CVE-2020-1472 para Windows Server 2008 R2 SP1.
9. Como fazer garantir que os meus controladores de domínio estão protegidos?
Ao implementar as atualizações de 11 de agosto de 2020 ou posterior a todos os controladores de domínio no seu ambiente.
Certifique-se de que nenhum dos dispositivos adicionados à política de grupo "Controlador de domínio: permitir ligações de canal seguras Netlogon vulneráveis" tem serviços de privilégios de administrador da empresa ou administrador de domínio, como o SCCM ou o Microsoft Exchange. Observação Qualquer dispositivo na lista de permissões terá permissão para usar conexões vulneráveis e pode expor seu ambiente ao ataque.
10. Se tiver implementado atualizações em todos os meus controladores de domínio, a minha empresa está protegida contra CVE-2020-1472?
A instalação das atualizações lançadas a 11 de agosto de 2020 ou posterior nos controladores de domínio protege as contas de computador baseadas no Windows, as contas fidedignas e as contas de controlador de domínio.
As contas de máquina do Active Directory para dispositivos de terceiros associados a um domínio não são protegidas até que o modo de imposição seja implementado. As contas de computador também não são protegidas se forem adicionadas à diretiva de grupo "Controlador de domínio: Permitir conexões de canal seguras Netlogon vulneráveis".
11. Como fazer garantir que as minhas identidades de dispositivo associadas ao domínio do Windows estão protegidas?
Certifique-se de que todos os controladores de domínio no seu ambiente instalaram as atualizações de 11 de agosto de 2020 ou posteriores.
Quaisquer identidades de dispositivo que tenham sido adicionadas à política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis" estarão vulneráveis a ataques.
12. Como fazer garantir que as minhas identidades de dispositivo de terceiros associados a um domínio estão protegidas?
Certifique-se de que todos os controladores de domínio no seu ambiente instalaram as atualizações de 11 de agosto de 2020 ou posteriores.
Ative o modo de imposição para negar ligações vulneráveis de identidades de dispositivos de terceiros não conformes.
Observação Com o modo de imposição ativado, quaisquer identidades de dispositivo de terceiros que tenham sido adicionadas à política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis" continuarão vulneráveis e poderão permitir que um atacante não autorizado aceda à sua rede ou dispositivos.
13. O que é o modo de aplicação?
O modo de imposição informa aos controladores de domínio para não permitirem conexões Netlogon de dispositivos que não usam RPC seguro, a menos que essas contas de dispositivo tenham sido adicionadas à diretiva de grupo "Controlador de domínio: Permitir conexões de canal seguro Netlogon vulneráveis".
Para obter mais informações, consulte a seção Valor do Registro para modo de imposição .
14. Que contas de computador devem ser adicionadas à política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis"?
Somente contas de máquina para dispositivos que não podem ser tornados seguros habilitando o RPC seguro no Canal Seguro Netlogon devem ser adicionadas à diretiva de grupo. Recomendamos que estes dispositivos sejam compatíveis ou substituídos para proteger o seu ambiente.
15. O que um invasor pode fazer com contas de computador que estão na diretiva de grupo "Controlador de domínio: permitir conexões de canal seguras Netlogon vulneráveis"?
Um invasor pode assumir o controle de uma identidade de máquina do Active Directory de qualquer conta de máquina adicionada à política de grupo e, posteriormente, aproveitar todas as permissões que a identidade da máquina tenha.
16. Por que eu gostaria de adicionar uma conta de computador à política de grupo "Controlador de domínio: Permitir conexões de canal seguras Netlogon vulneráveis"?
Se tiver um dispositivo de terceiros que não suporte RPC Seguro para o Canal Seguro Netlogon e pretender activar o modo de imposição, deverá adicionar a conta de computador desse dispositivo à política de grupo. Isso não é recomendado e pode deixar seu domínio em um estado potencialmente vulnerável. Recomendamos que utilize esta política de grupo para dar tempo à atualização ou substituição de quaisquer dispositivos de terceiros para os tornar conformes.
17. Quando gostaria de ativar o modo de imposição?
O modo de imposição deve ser ativado o mais rapidamente possível. Qualquer dispositivo de terceiros terá de ser resolvido tornando-os compatíveis ou adicionando-os à política de grupo "Controlador de domínio: Permitir ligações de canal seguras Netlogon vulneráveis". Observação Qualquer dispositivo na lista de permissões terá permissão para usar conexões vulneráveis e pode expor seu ambiente ao ataque.
Glossário
| Termo | Explicação |
|---|---|
| AD | Active Directory |
| DC | Controlador de Domínio |
| Modo de imposição | A chave de registo que permite ativar o modo de imposição antes de 9 de fevereiro de 2021. |
| Fase de Imposição | Fase a começar com as atualizações de 9 de fevereiro de 2021, onde o modo de imposição será ativado em todos os Controladores de Domínio do Windows, independentemente da definição de registo. Os DCs negarão conexões vulneráveis de todos os dispositivos não compatíveis, a menos que elas sejam adicionadas à política de grupo "Controlador de domínio: Permitir conexões de canal seguras Netlogon vulneráveis". |
| Fase de implantação inicial | Fase que começa com as atualizações de 11 de agosto de 2020 e continua com atualizações posteriores até à fase de Aplicação. |
| conta de máquina | Também conhecido como computador do Active Directory ou objeto de computador. Consulte o glossário MS-NPRC para obter a definição completa. |
| MS-NRPC | Microsoft Netlogon Remote ProtoCol |
| Dispositivo não compatível | Um dispositivo não compatível é aquele que usa uma conexão de canal segura vulnerável Netlogon. |
| RODC | Controladores de domínio só de leitura |
| Ligação vulnerável | Uma conexão vulnerável é uma conexão de canal seguro Netlogon que não usa RPC seguro. |