Cele mai recente îndrumări de întărire Windows și datele cheie

Modificările protocolului Netlogon KB5021130 | Faza 2

Faza inițială de punere în aplicare. Elimină posibilitatea de a dezactiva sigilarea RPC prin setarea valorii 0 la subcheia de registry RequireSeal .

Autentificare bazată pe certificat KB5014754 | Faza 2

Elimină modul Dezactivat.

Protecții de ocolire a bootării securizate KB5025885 | Faza 1

Faza inițială de implementare. Actualizările Windows lansate pe sau după 9 mai 2023 tratează vulnerabilitățile discutate în CVE-2023-24932, modificările componentelor de boot Windows și două fișiere de revocare care pot fi aplicate manual (o politică de integritate a codului și o listă de refuz a pornirii sigure (DBX) actualizată).

Modificările protocolului Netlogon KB5021130 | Faza 3

Impunere în mod implicit. Subcheia RequireSeal va fi mutată în modul de impunere dacă nu o configurați în mod explicit pentru a fi în modul de compatibilitate.

Semnături Kerberos PAC KB5020805 | Faza 3

A treia fază de implementare. Elimină capacitatea de a dezactiva adăugarea semnăturii PAC prin setarea subcheii KrbtgtFullPacSignature la o valoare de 0.

Modificările protocolului Netlogon KB5021130 | Faza 4

Aplicarea finală. Actualizările Windows lansate pe 11 iulie 2023 vor elimina posibilitatea de a seta valoarea 1 pentru subcheia de registry RequireSeal . Acest lucru permite etapa de impunere a CVE-2022-38023.

Semnături Kerberos PAC KB5020805 | Faza 4

Modul de impunere inițială. Elimină capacitatea de a seta valoarea 1 pentru subcheia KrbtgtFullPacSignature și trece în modul de impunere în mod implicit (KrbtgtFullPacSignature = 3), lucru pe care îl puteți înlocui cu o setare de auditare explicită.

Protecții de ocolire a bootării securizate KB5025885 | Faza 2

A doua fază de implementare. Actualizările pentru Windows lansate la sau după 11 iulie 2023 includ implementarea automată a fișierelor de revocare, noi evenimente jurnal de evenimente pentru a raporta dacă implementarea revocarii a reușit și pachetul de actualizare dinamică SafeOS pentru WinRE.

Actualizări de permisiuni Active Directory (AD) KB5008383 | Faza 5

Faza finală de implementare. Faza finală de implementare poate începe după ce ați finalizat pașii listați în secțiunea "Acționați" din KB5008383. Pentru a trece la modul de impunere , urmați instrucțiunile din secțiunea "Instrucțiuni de implementare" pentru a seta biții 28 și 29 pentru atributul dSHeuristics . Apoi urmăriți evenimentele 3044-3046. Aceștia raportează atunci când modul de impunere a blocat o operațiune de adăugare sau modificare LDAP care putea să fi fost permisă anterior în modul de auditare .

Protecții de ocolire a bootării securizate KB5025885 | Faza 3

A treia fază de implementare. Această etapă va adăuga atenuări suplimentare ale managerului de boot. Această etapă va începe nu mai devreme de 9 aprilie 2024.

Modificări validare PAC KB5037754 | Faza modului de compatibilitate
Faza inițială de implementare începe cu actualizările lansate pe 9 aprilie 2024. Această actualizare adaugă un comportament nou care previne sporirea vulnerabilităților de privilegii descrise în CVE-2024-26248 și CVE-2024-29056 , dar nu-l impune decât dacă controlerele de domeniu Windows și clienții Windows din mediu sunt actualizați.
Pentru a activa noul comportament și a atenua vulnerabilitățile, trebuie să vă asigurați că întregul mediu Windows (inclusiv controlerele de domeniu și clienții) este actualizat. Evenimentele de audit vor fi înregistrate în jurnal pentru a ajuta la identificarea dispozitivelor neactualizate.

Protecții de ocolire a bootării securizate KB5025885 | Faza 3

Faza de punere în aplicare obligatorie. Revocarile (Politica de boot de integritate a codului și lista de opțiuni de dezactivare a pornirii sigure) vor fi aplicate programatic după instalarea actualizărilor pentru Windows pe toate sistemele afectate, fără opțiunea de dezactivare.

Autentificare bazată pe certificat KB5014754 | Faza 3

Modul Impunere totală. Dacă un certificat nu poate fi mapat puternic, autentificarea va fi refuzată.

Modificări validare PAC KB5037754 | Faza de punere în aplicare

Actualizările de securitate Windows lansate în sau după aprilie 2025 vor elimina suportul pentru subcheile de registry PacSignatureValidationLevel și CrossDomainFilteringLevel și vor impune noul comportament securizat. Nu va exista suport pentru modul de compatibilitate după instalarea actualizării din aprilie 2025.

Protecții de autentificare Kerberos pentru CVE-2025-26647 KB5057784 | Modul de auditare

Faza inițială de implementare începe cu actualizările lansate pe 8 aprilie 2025. Aceste actualizări adaugă un comportament nou care detectează vulnerabilitatea de creștere a privilegiilor descrisă în CVE-2025-26647 , dar nu o impune. Pentru a activa noul comportament și a fi în siguranță împotriva vulnerabilității, trebuie să vă asigurați că toate controlerele de domeniu Windows sunt actualizate și că setarea cheii de registry AllowNtAuthPolicyBypass este setată la 2.

Protecții de autentificare Kerberos pentru CVE-2025-26647 KB5057784 | Faza impusă prin implicit

Actualizările lansate în sau după iulie 2025 vor impune în mod implicit verificarea magazinului NTAuth. Setarea cheii de registry AllowNtAuthPolicyBypass le va permite în continuare clienților să revină la modul de auditare, dacă este necesar. Cu toate acestea, capacitatea de a dezactiva complet această actualizare de securitate va fi eliminată.

Protecții de ocolire a bootării securizate KB5025885 | Faza de punere în aplicare

Faza de punere în aplicare nu va începe înainte de ianuarie 2026 și vom oferi cel puțin șase luni de avertizare în avans în acest articol înainte de începerea acestei faze. Atunci când sunt lansate actualizări pentru faza de impunere, acestea vor include următoarele:

• Certificatul "Windows Production PCA 2011" va fi revocat automat prin adăugarea la Lista de interzise UEFI (DBX) Secure Boot pe dispozitivele capabile. Aceste actualizări vor fi aplicate programatic după instalarea actualizărilor pentru Windows pe toate sistemele afectate, fără opțiunea de dezactivare.