Hantera ändringarna i säkra kanal anslutningar i Netlogon som är kopplade till CVE-2020-1472

Distribuera 11 augusti 2020 uppdateringar

Distribuera de elfte uppdateringen för alla tillämpliga domänkontrollanter (DCs) i skogen, t. ex. skrivskyddade domänkontrollanter. När du har distribuerat denna uppdatering korrigerad DCs kommer:

• Börja framtvinga säker RPC-användning för alla Windows-baserade enhets konton, förtroende konton och alla domänkontrollanter.

• Logga händelse-ID 5827 och 5828 i system händelse loggen, om anslutningar nekas.

• Logga händelse-ID 5830 och 5831 i system händelse loggen, om det är tillåtet att ansluta i "domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip.

• Logga händelse-ID 5829 i system händelse loggen när en sårbar säker kanal anslutning för Netlogon tillåts. De här händelserna ska vara adresserade innan det tvingande konfigurations läget för domänkontrollant konfigureras eller innan den tvingande fasen startar den 9 februari 2021.

Identifiera icke-kompatibla enheter med hjälp av Event ID 5829

Efter att de 11 augusti 2020 uppdateringarna har installerats i DCs kan händelser samlas in i händelse loggar för DOMÄNKONTROLLANT för att avgöra vilka enheter i din miljö som använder sårbara säkra kanal anslutningar i Netlogon (kallas som ej kompatibla enheter i den här artikeln). Övervaka patched DCs för händelse-ID 5829-händelser. I händelserna används relevant information för att identifiera de icke-kompatibla enheterna.

Om du vill övervaka händelser kan du använda tillgängliga program för händelse kontroll eller genom att använda ett skript för att övervaka din domänkontrollant.  Ett exempel skript som du kan använda för att anpassa sig till miljön finns i skript som hjälper dig att övervaka händelse-ID: n som är relaterade till Netlogon-uppdateringar för CVE-2020-1472

Adresserings händelser ID 5827 och 5828

Som standard ska de versioner av Windows som stöds och som inte är helt uppdaterade inte använda sårbara anslutnings kanaler i Netlogon. Om någon av de här händelserna loggas i system händelse loggen för en Windows-enhet:

1. Kontrol lera att enheten kör versioner av Windows som stöds.

2. Kontrol lera att enheten har uppdaterats helt.

3. Kontrol lera att domän medlem: Kryptera eller signera data för säkra kanaler digitalt (alltid) är aktive rad.

För klienter som inte är Windows-enheter som agerar som domänkontrollanter loggas händelserna i system händelse loggen när sårbara anslutningar för säkra kanaler för Netlogon används. Om någon av de här händelserna loggas:

• Rekommenderas Arbeta med tillverkaren av enheten eller program varan för att få support för säker RPC med säker Netlogon-kanal

  1. Om den icke-kompatibla DOMÄNKONTROLLANTen stöder säker RPC med säker Netlogon-kanal aktiverar du Secure RPC på DOMÄNKONTROLLANTen.

  2. Om den icke-kompatibla DOMÄNKONTROLLANTen för närvarande inte stöder Secure RPC, ska du arbeta med tillverkaren av enhets tillverkaren eller program varu tillverkaren för att få en uppdatering som stöder Secure RPC med Secure Netlogon-kanalen.

  3. Dra tillbaka den icke-kompatibla DOMÄNKONTROLLANTen.

• Utsatt Om en icke-kompatibel DOMÄNKONTROLLANT inte stöder säker RPC med säker klient för Netlogon innan domänkontrollanten är i verk ställande lägelägger du till domänkontrollanten med hjälp av domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip beskrivs nedan.

Adresserings händelse 5829

Händelse-ID 5829 genereras när en sårbar anslutning tillåts under den första distributions fasen. De här anslutningarna kommer att nekas när DCs är i verk ställnings läge. I de här händelserna ska du fokusera på det dator namn, domän-och OS-versioner som identifieras för att fastställa de icke-kompatibla enheterna och hur de ska tas emot.

Olika sätt att adressera icke-kompatibla enheter:

• Rekommenderas Arbeta med tillverkaren av enheten eller program varan för att få support för säker RPC med säker Netlogon-kanal:

  1. Om den icke-kompatibla enheten har stöd för Secure RPC med säker Netlogon-kanal aktiverar du Secure RPC på enheten.

  2. Om den icke-kompatibla enheten för närvarande inte stöder Secure RPC med säker Netlogon-kanal kan du arbeta med tillverkaren av tillverkaren eller program varan för att få en uppdatering som gör att Secure RPC med säker Netlogon-kanal aktive ras.

  3. Dra tillbaka den icke-kompatibla enheten.

• Utsatt Om en icke-kompatibel enhet inte stöder säker RPC med säker klient för Netlogon innan DCs är i verk ställande lägelägger du till enheten med hjälp av domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip beskrivs nedan.

Tillåta sårbara anslutningar från tredje parts enheter

Använd domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip för att lägga till icke-kompatibla konton. Det borde bara vara en kortsiktig påföljd tills icke-kompatibla enheter behandlas enligt beskrivningen ovan. Anteckning Att tillåta sårbara anslutningar från icke-kompatibla enheter kan ha okända säkerhets effekter och bör vara försiktiga.

1. Skapar en eller flera säkerhets grupper för konton som kommer att ha tillåtelse att använda en sårbar säker kanal för Netlogon.

2. Gå till dator konfiguration i grup princip > Windows-inställningar > säkerhets inställningar > lokala principer > säkerhets alternativ

3. Sök efter "domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon.

4. Om gruppen Administratörer eller om någon grupp som inte har skapats för att användas med den här grup principen finns, tar du bort den.

5. Lägg till en säkerhets grupp som särskilt gjorts för att användas med den här grup principen för säkerhets beskrivningen med behörigheten "Tillåt". Anteckning Behörigheten neka fungerar på samma sätt som om kontot inte lades till, dvs. kontona kommer inte att kunna göra sårbara och säkra kanaler för Netlogon.

6. När säkerhets gruppen har lagts till måste grup principen replikeras till alla domänkontrollanter.

7. Kontrol lera regelbundet, övervaka händelser 5827, 5828 och 5829 för att avgöra vilka konton som använder sårbara säkra kanal anslutningar.

8. Lägg till dator kontona i de säkerhets grupper som behövs. Metod tips Använd säkerhets grupper i grup principen och lägga till konton i gruppen så att medlemskapet replikeras via normal AD-replikering. Det här undviker vanliga uppdateringar av grup principer och fördröjningar vid replikering.

När alla enheter som inte är kompatibla har lösts kan du flytta domänkontrollanten till verk ställnings läge (se nästa avsnitt).

Övergå till verk ställnings läge före verk ställande fasen 2021 februari

När alla enheter som inte är kompatibla har adresser ATS, antingen genom att aktivera Secure RPC eller genom att tillåta sårbara anslutningar med domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip, ange register nyckeln FullSecureChannelProtection till 1.

Anteckning Om du använder domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip, kontrol lera att grup principen har replikerats och används för alla domänkontrollanter innan du anger register nyckeln FullSecureChannelProtection.

När register nyckeln FullSecureChannelProtection har distribuerats blir DCs i verk ställnings läge. Den här inställningen kräver att alla enheter använder en säker kanal för Netlogon:

• Använd Secure RPC.

• Är tillåtna i domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip.

Distribuera nio uppdateringar för februari 2021

Distribution av uppdateringar som släpptes 9 februari 2021 eller senare aktiverar aktiverat lägeför domänkontrollant. Läget för aktive ras domänkontrollant är när alla anslutningar för Netlogon antingen krävs för att använda Secure RPC, men kontot måste ha lagts till i domänkontrollant: Tillåt sårbara anslutningar för säkra kanaler i Netlogon "grup princip. För närvarande behövs inte längre register nyckeln FullSecureChannelProtection och stöds inte längre.