İş Tuşları için yetim Windows Hello'yu temizlemek için WHfBTools PowerShell modüllerini kullanma

WHfBTools PowerShell modülü kurulumu

PowerShell üzerinden yükleyin

PS> Install-Module WHfBTools

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module WHfBTools

Veya PowerShell Gallery'den indirme yi kullanarak yükleyin

1. https://www.powershellgallery.com/packages/WHfBTools'a git

2. Ham .nupkg dosyasını yerel bir klasöre indirin ve .zip uzantısı ile yeniden adlandırın

3. İçeriği yerel bir klasöre ayıklayın, örneğin C:\ADV190026

PowerShell'i başlatın, aşağıdaki komutları kopyalayın ve çalıştırın:

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV190026\WHfBTools

PS> Import-Module .\WHfBTools.psd1

WHfBTools modüllerini kullanmak için bağımlılıkların yüklenmesi

Otomatik anahtarlar için Azure Active Directory'yi sorgulıyorsanız, MSAL.PS PowerShell modüllerini yükleyin

PowerShell üzerinden yükleyin

PS> Install-Module -Name MSAL.PS -RequiredVersion 4.5.1.1

PS> Import-Module MSAL.PS

Veya PowerShell Gallery'den indirme yi kullanarak yükleyin

1. https://www.powershellgallery.com/packages/MSAL.PS/4.5.1.1'a git

2. Ham .nupkg dosyasını yerel bir klasöre indirin ve .zip uzantısı ile yeniden adlandırın

3. İçeriği yerel bir klasöre ayıklayın, örneğin C:\MSAL.PS

PowerShell'i başlatın, aşağıdaki komutları kopyalayın ve çalıştırın:

PS> CD C:\MSAL.PS

PS> Import-Module .\MSAL.PS.psd1

Adverilen anahtarlar için Active Directory'yi sorgulıyorsanız, Uzaktan Sunucu Yönetici Araçları'nı (RSAT): Etkin Dizin Etki Alanı Hizmetleri ve Hafif Dizin Hizmetleri Araçlarını yükleyin

Ayarlar (Windows 10, sürüm 1809 veya sonrası) üzerinden yükleme

1. Ayarlar 'a git -> Uygulamalar -> İsteğe Bağlı Özellikler -> Özellik ekleme

2. SELECT RSAT: Active Directory Domain Services ve Lightweight Directory Services Tools

3. Yükle'yi seçin

Veya PowerShell üzerinden yükleyin

PS> dism /online /Add-Capability /CapabilityName:Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

Veya download üzerinden yükleyin

1. https://www.microsoft.com/download/details.aspx?id=45520 gidin (Windows 10 Bağlantısı)

2. Windows 10 Yükleyici için Uzaktan Sunucu Yönetim Araçlarını İndirin

3. İndirme tamamlandıktan sonra Yükleyici'yi başlatın

CVE-2017-15361 (ROCA) tarafındanetkilenen yetim anahtarlar ve anahtarlar için sorgulama

Aşağıdaki komutu kullanarak Azure Etkin Dizini'ndeki anahtarlar için sorgula:

PS> Get-AzureADWHfBKeys -Logging -Report -Tenant contoso.com -All | Export-Csv C:\AzureKeys.csv

Bu komut sorgulayacak "contoso.com" Tüm kayıtlı Windows Hello for Business ortak anahtarları için kiracı ve bu bilgileriC:\AzureKeys.csv. Değiştirmekcontoso.comkiracınızı sorgulamak için kiracı adınız ile.

Csv çıkışı,AzureKeys.csv, her anahtar için aşağıdaki bilgileri içerecektir:

• Kullanıcı Adı

• Kiracı

• Kullanım

• Anahtar Kimliği

• Yaratılış Zamanı

• Yetim Durumu

• Durumları Bildirin Destekler

• ROCA Güvenlik Açığı Durumu

Get-AzureADWHfBKeysayrıca sorgulandı anahtarların bir özetini çıkaracaktır. Bu özet aşağıdaki bilgileri sağlar:

• Taranmış kullanıcı sayısı

• Taranan anahtar sayısı

• Anahtarlı kullanıcı sayısı

• ROCA savunmasız anahtarlarının sayısı

Not Azure AD kiracınızda, windows hello for Business tuşları ile ilişkili eski aygıtlar olabilir. Bu aygıtlar etkin olarak kullanılmasa bile bu anahtarlar yetim olarak bildirilmez. Artık anahtarları sorgulamadan önce eski aygıtları temizlemek için Azure AD'deki eski aygıtları yönetme yi izlemenizi öneririz.

Aşağıdaki komutu kullanarak Active Directory'deki anahtarlar için sorgu:

PS> Get-ADWHfBKeys -Logging -Report -Domain contoso | Export-Csv C:\ADKeys.csv

Bu komut sorgulayacak "contoso" Tüm kayıtlı Windows Hello for Business ortak anahtarları için etki alanı ve bu bilgileriC:\ADKeys.csv. Değiştirmekcontoso etki alanınızı sorgulamak için etki alanı adınızı ile.

Csv çıkışı,ADKeys.csv, her anahtar için aşağıdaki bilgileri içerecektir:

• Kullanıcı Etki Alanı

• Kullanıcı SAM Hesap Adı

• Kullanıcı Ayırt Edici Adı

• Anahtar Sürümü

• Anahtar Kimliği

• Yaratılış Zamanı

• Anahtar Malzeme

• Anahtar Kaynak

• Anahtar Kullanımı

• Anahtar Aygıt Kimliği

• Yaklaşık Son Oturum Açma Zaman Damgası

• Oluşturma zamanı

• Özel Anahtar Bilgileri

• KeyLinkTargetDN

• Yetim Durumu

• ROCA Güvenlik Açığı Durumu

• KeyRawLDAPValue

Get-ADWHfBKeysayrıca sorgulandı anahtarların bir özetini çıkaracaktır. Bu özet aşağıdaki bilgileri sağlar:

• Taranmış kullanıcı sayısı

• Anahtarlı kullanıcı sayısı

• Taranan anahtar sayısı

• ROCA savunmasız anahtarlarının sayısı

• Yetim anahtar sayısı (SkipCheckForOrphanedKeys belirtilmemişse)

Not: Azure AD'nin birleştiği aygıtlara sahip karma bir ortamınız varsa ve şirket içi etki alanınızda "Get-ADWHfBKeys" çalıştırıyorsanız, yetim anahtarların sayısı doğru olmayabilir. Bunun nedeni, Azure AD'ye katılan aygıtların Etkin Dizin'de bulunmaması ve Azure AD'ye katılan aygıtlarla ilişkili tuşların öksüz olarak gösterilebis olmasıdır.

Yetim, ROCA savunmasız anahtarları dizinden kaldırma

Aşağıdaki adımları kullanarak Azure Etkin Dizini'ndeki tuşları kaldırın:

1. Filtre Orphaned ve RocaVulnerable sütunlarıAzureKeys.csvdoğru

2. Filtre uygulanmış sonuçları yeni bir dosyaya kopyalama,C:\ROCAKeys.csv

3. Tuşları silmek için aşağıdaki komutu çalıştırın:

PS> Import-Csv C:\ROCAKeys.csv | Remove-AzureADWHfBKey -Tenant contoso.com -Logging

Bu komut, öksüz, ROCA savunmasız anahtarlarının listesini içeri aktarım ve bunlarıcontoso.comKiracı. Değiştirmekcontoso.com anahtarları kiracınızdan kaldırmak için kiracı adınızı kullanarak.

N ote RocA'nın henüz yetim olmayan savunmasız WHfB tuşlarını silerseniz, kullanıcılarınızda kesintiye neden olur. Bu anahtarların dizinden çıkarmadan önce bu anahtarların yetim olduğundan emin olmalısınız.

Aşağıdaki adımları kullanarak Active Directory'deki anahtarlarıkaldırın:

Not Karma ortamlarda Etkin Dizini'nden kaldırılan anahtarlar, anahtarların Azure AD Connect eşitleme işleminin bir parçası olarak yeniden oluşturulmasına neden olur. Karma bir ortamdaysanız, tuşları yalnızca Azure AD'den kaldırın

1. OrphanedKey ve ROCAVulnerable sütunlarını filtreleyinADKeys.csv doğru

2. Filtre uygulanmış sonuçları yeni bir dosyaya kopyalama,C:\ROCAKeys.csv

3. Tuşları silmek için aşağıdaki komutu çalıştırın:

PS> Import-Csv C:\ROCAKeys.csv | Remove-ADWHfBKey -Logging

Bu komut, öksüz, ROCA savunmasız anahtarlarının listesini içeri aktarım ve bunları etki alanınızdan kaldırır.

Not Henüz yetim kalınmayan ROCA savunmasız WHfB tuşlarını silerseniz, kullanıcılarınızda kesintiye neden olur. Bu anahtarların dizinden çıkarmadan önce bu anahtarların yetim olduğundan emin olmalısınız.