Рекомендации по безопасности Майкрософт: обновление для улучшения защиты учетных данных и управления ими: 13 мая 2014 г.

ВВЕДЕНИЕ

Корпорация Майкрософт выпустила рекомендации майкрософт по безопасности по этой проблеме для ИТ-специалистов. Рекомендации по безопасности содержат дополнительные сведения, связанные с безопасностью. Чтобы просмотреть рекомендации по безопасности, перейдите на следующий веб-сайт Майкрософт:

https://technet.microsoft.com/security/advisory/2871997 Важно! Помимо обновления 2871997, было несколько других обновлений, которые способствуют улучшению защиты учетных данных. Внимательно прочитайте эту статью, чтобы понять весь набор доступных обновлений.

Часто задаваемые вопросы об обновлении

Содержит ли это обновление какие-либо дополнительные изменения, связанные с безопасностью, в функциональных возможностях?
В дополнение к изменениям, перечисленным для уязвимостей, описанных в этом бюллетене, это обновление включает в себя углубленные обновления для защиты, которые помогают улучшить защиту учетных данных и элементы управления проверкой подлинности домена, чтобы уменьшить кражу учетных данных. Дополнительные сведения см. в статье Рекомендации по безопасности Майкрософт 2871997.

Дополнительные сведения

В этом обновлении представлен параметр реестра TokenLeakDetectDelaySecs.

Важно! В этом разделе, методе или задаче содержатся инструкции по изменению реестра. Однако ошибки при изменении реестра могут привести к серьезным проблемам. Поэтому будьте внимательны, выполняя описанные действия. В качестве дополнительной меры предосторожности перед внесением изменений создайте резервную копию реестра. Тогда в случае возникновения проблемы вы сможете восстановить реестр. Дополнительные сведения о том, как создать резервную копию и восстановить реестр, щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:

322756 Резервное копирование и восстановление реестра в Windows
После установки этого обновления для системы безопасности по умолчанию для незащищенных пользователей в Windows 7 и Windows 8 не требуется принудительное удаление учетных данных для сеанса входа. Чтобы переопределить это значение по умолчанию, добавьте следующее слово реестра и присвойте ему рекомендуемое значение в 30 секунд.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Это приведет к удалению всех учетных данных пользователей, вышедших из системы, через 30 секунд, независимо от того, есть ли еще ссылка на нее. Это то же, что и поведение по умолчанию для Windows 8.1 и Windows 10.

Поведение по умолчанию после применения 3126593 обновления для системы безопасности (MS16-014)

После установки обновления для системы безопасности 3126593 по умолчанию используется принудительное удаление учетных данных для всех пользователей. Если вы хотите отменить изменения прежнее поведение, задайте для записи TokenLeakDetectDelaySecs значение 0. Это отключает очистку учетных данных для пользователей, не защищенных пользователей, пока сохраняется ссылка.

Изменения

14 октября 2014 г. корпорация Майкрософт выпустила следующие обновления, чтобы добавить режим ограниченного Администратор для подключения к удаленному рабочему столу и протокола удаленного рабочего стола:

2984972 для поддерживаемых выпусков Windows 7 и Windows Server 2008 R2

2984976 для поддерживаемых выпусков Windows 7 и Windows Server 2008 R2 с установленным обновлением 2592687 (обновление протокола удаленного рабочего стола 8.0). Клиенты, устанавливающие обновления 2984976 , также должны установить обновление 2984972 .

2984981 для поддерживаемых выпусков Windows 7 и Windows Server 2008 R2 с установленным обновлением 2830477 (обновление клиента подключения к удаленному рабочему столу 8.1). Клиенты, устанавливающие обновления 2984981, также должны установить обновление 2984972 .

2973501 для поддерживаемых выпусков Windows 8, Windows Server 2012 и Windows RT.
Примечание. Поддерживаемые выпуски Windows 8.1, Windows Server 2012 R2 и Windows RT 8.1 уже включают эту функцию и не требуют этого обновления.

9 сентября 2014 г. корпорация Майкрософт выпустила следующие выпуски:

2982378 Советы по безопасности Майкрософт: обновление для улучшения защиты учетных данных и управления ими для Windows 7 и Windows Server 2008 R2: 9 сентября 2014 г. 8 июля 2014 г. корпорация Майкрософт выпустила следующее:

2973351 Советы по безопасности Майкрософт: обновление реестра для улучшения защиты учетных данных и управления ими для систем под управлением Windows, на которых установлено обновление 2919355: 8 июля 2014 г.

2975625 Советы по безопасности Майкрософт: обновление реестра для улучшения защиты учетных данных и управления для систем Windows, на которых не установлено обновление 2919355: 8 июля 2014 г. Это обновление предоставляет настраиваемые параметры реестра для управления режимом ограниченного Администратор для поставщика поддержки безопасности учетных данных (CredSSP).

Примечание. Обновление изменяет функциональность режима ограниченного Администратор по умолчанию в Windows 8.1, Windows Server 2012 R2 и Windows RT 8.1. Дополнительные сведения см. в разделе часто задаваемых вопросов рекомендаций. Следующие файлы доступны для скачивания в Центре загрузки Майкрософт.

Примечание. Используйте следующую таблицу, чтобы определить, какие обновления подходят для вашей системы.

Параметры WDigest

После установки этого обновления для системы безопасности можно управлять сохранением установленных учетных данных WDigest с помощью параметра реестра. Чтобы предотвратить хранение учетных данных WDigest в памяти, групповая политика параметр можно применить к записи реестра UseLogonCredential в следующем подразделе:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Если значение UseLogonCredential равно 0, WDigest не будет хранить учетные данные в памяти.
• Если для параметра UseLogonCredential задано значение 1, WDigest будет хранить учетные данные в памяти.

После установки этого обновления для системы безопасности значение по умолчанию для этого значения равно 1 в Windows 7, Windows Server 2008 R2, Windows 8 и Windows Server 2012. Вы можете использовать решение "простое исправление", описанное в этой статье, чтобы изменить этот параметр на 0. Это отключит хранение паролей WDigest в памяти.

Примечание. По умолчанию в Windows 8.1 и Windows Server 2012 R2 и более поздних версиях кэширование учетных данных в памяти для WDigest отключено (значение UseLogonCredential по умолчанию равно 0, если запись реестра отсутствует).

Наблюдаемое изменение в поведении, когда для параметра UseLogonCredential задано значение 0 , заключается в том, что при использовании WDigest учетные данные требуются чаще.

Вот простое исправление

Это простое решение для исправления изменяет раздел реестра UseLogonCredential , чтобы отключить хранение паролей WDigest в памяти. После установки обновления безопасности 2871997, а затем применения этого простого решения для исправления к системам под управлением Windows 7, Windows Server 2008 R2, Windows 8 или Windows Server 2012, в памяти больше не должны храниться учетные данные "Базовый" (чистый текст).

Примечание. Чтобы использовать это простое решение для исправления, необходимо установить 2871997 обновление для системы безопасности.

Чтобы включить это простое решение для исправления, нажмите кнопку Скачать . В диалоговом окне Загрузка файла нажмите кнопку Запустить или Открыть и следуйте инструкциям мастера простого исправления.

• Возможно, этот мастер будет доступен только на английском языке. Тем не менее, автоматическое исправление подходит также для версий Windows на других языках.
• Если вы работаете не на том компьютере, где возникла проблема, сохраните средство простого исправления на флэш-накопителе или компакт-диске, а затем запустите его на нужном компьютере.

Отключение хранения паролей WDigest в памяти

Центр загрузки Майкрософт

Автономный пакет обновления можно получить в Центре загрузки Майкрософт. Следуйте инструкциям по установке на странице загрузки, чтобы установить обновление.

Щелкните ссылку для скачивания в следующей таблице, которая соответствует версии Windows, которую вы используете. Узнайте, работает ли на компьютере 32- или 64-разрядная версия Windows.

Для всех поддерживаемых x86-разрядных версий Windows 7 пакет.

Для всех поддерживаемых 64-разрядных версий Windows 7 пакет.

Для всех поддерживаемых x86-разрядных версий Windows Embedded Standard 7 пакет.

Для всех поддерживаемых 64-разрядных версий Windows Embedded Standard 7 пакет.

Для всех поддерживаемых 64-разрядных версий Windows Server 2008 R2 пакет.

Для всех поддерживаемых версий IA-64 Windows Server 2008 R2 пакет.

Для всех поддерживаемых x86-разрядных версий Windows 8 пакет.

Для всех поддерживаемых 64-разрядных версий Windows 8 пакет.

Для всех поддерживаемых 64-разрядных версий Windows Server 2012 пакет.

Дата выпуска: 9 сентября 2014 г.

Дополнительные сведения о том, как скачать файлы поддержки Майкрософт, щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:

119591 Как получить файлы поддержки Майкрософт от веб-службы корпорация Майкрософт проверила этот файл на наличие вирусов. Корпорация Майкрософт использовала самое последнее программное обеспечение для обнаружения вирусов, доступное на дату публикации файла. Файл хранится на серверах с повышенной безопасностью, которые помогают предотвратить любые несанкционированные изменения файла.

СВЕДЕНИЯ О ФАЙЛЕ

Версия этого обновления ПО на английском языке (Соединенные Штаты) устанавливает файлы с атрибутами, которые перечислены в таблице ниже. Значения даты и времени для этих файлов указаны в формате UTC. Даты и время для этих файлов на локальном компьютере отображаются по местному времени и с учетом текущего летнего времени (DST). Кроме того, при выполнении определенных операций с файлами значения даты и времени могут изменяться.

Сведения о файлах Windows 7 и Windows Server 2008 R2

• Файлы, относящиеся к определенному продукту, вехе (RTM, SPn) и ветви службы (LDR, GDR), можно определить, изучив номера версий файлов, как показано в следующей таблице:

  Версия	Продукт	Вехой	Ветвь службы
  6.1.760 1. 18 xxx	Windows 7 и Windows Server 2008 R2	Пакет обновления 1 (SP1)	ГДР
  6.1.760 1. 22 xxx	Windows 7 и Windows Server 2008 R2	Пакет обновления 1 (SP1)	LDR

• Ветви служб GDR содержат только те исправления, которые широко выпускаются для решения распространенных критических проблем. Ветви служб LDR содержат исправления в дополнение к широко выпущенным исправлениям.

Примечание. Установленные файлы MANIFEST (МАНИФЕСТ) и MUM (MUM), которые установлены, не указаны.

Для всех поддерживаемых x86-разрядных версий Windows 7

Для всех поддерживаемых 64-разрядных версий Windows 7 и Windows Server 2008 R2

Для всех поддерживаемых версий на основе IA-64 Windows Server 2008 R2