注意
- 更新日期 2025 年 1 月 3 日
- 已移除手動啟用步驟的參照。 若為 Windows Server 2022，則在 2023 年 11 月 14 日之前和 Windows Server 2019 的 2024 年 1 月 9 日之前，需要該步驟。
簡介
LDAP 通道繫結 和 LDAP 簽章 提供增加 LDAP 用戶端與 Active Directory 網域控制站之間通訊安全性的方法。 Active Directory 網域控制站上存在一組不安全的 LDAP 通道繫結及 LDAP 簽署預設設定，可讓 LDAP 用戶端與其通訊，而不需要強制執行 LDAP 通道繫結和 LDAP 簽署。 這可能會開啟 Active Directory 網域控制站，進入權限提高弱點。
這個弱點可能會讓中間人攻擊者成功將驗證要求轉寄給尚未設定為需要通道繫結、簽署或密封連入連線的 Microsoft 網域伺服器。
Microsoft建議系統管理員進行 ADV190023 中所述的強化變更。
在 2020 年 3 月 10 日，我們透過提供下列選項讓系統管理員強化 Active Directory 網域控制站上 LDAP 通道繫結的設定，藉此解決此弱點：
- 網域控制站：LDAP 伺服器通道繫結權杖需求群組原則。
- 通道繫結權杖 (CBT) 在目錄服務事件記錄檔中具有事件寄件者 Microsoft-Windows-Active Directory_DomainService 簽署事件 3039、3040 和 3041。
重要：2020 年 3 月 10 日的更新及可預見的未來將不會變更新的或現有的 Active Directory 網域控制站上的 LDAP 簽署或 LDAP 通道繫結預設原則或其登錄對應項。
LDAP 簽署 網域控制站： LDAP 伺服器簽署要求 原則已存在於所有支援的 Windows 版本中。 從 Windows Server 2022 23H2 版本開始，所有新版本的 Windows 都將包含本文中的所有變更。
為什麼需要此變更
藉由將伺服器設定為拒絕未要求籤署 ( (完整性驗證) 的簡單驗證和安全層 SASL) LDAP 繫結，或拒絕在非 SSL/TLS 加密的純文字 () 連線上執行的 LDAP 簡單繫結，可以大幅改善 Active Directory 網域控制站的安全性。 SASL 可以包括協商協定、Kerberos 協定、NTLM 協定和摘要協定。
未簽名的網路流量容易受到重播攻擊，其中入侵者會攔截身份驗證嘗試和票證發行。 入侵者可以重用票證以喬裝合法使用者。 此外，未簽署的網路流量容易受到中間人攻擊 (MiTM) 攻擊，其中入侵者會擷取用戶端與伺服器之間的封包、變更封包，然後將其轉送至伺服器。 如果在 Active Directory 網域控制站上發生這種情況，攻擊者可能會導致伺服器根據來自 LDAP 用戶端的偽造要求做出決策。 LDAPS 會使用自己不同的網路連接埠來連線用戶端和伺服器。 LDAP 的預設連接埠是連接埠 389，但 LDAPS 使用連接埠 636，並在與用戶端連線時建立 SSL/TLS。
通道繫結權杖有助於使透過 SSL/TLS 的 LDAP 驗證更加安全，防止中間人攻擊。
2020 年 3 月 10 日更新
重要 2020 年 3 月 10 日更新並未變更新的或現有的 Active Directory 網域控制站上的 LDAP 簽章或 LDAP 通道繫結預設原則，或其登錄對應項。
2020 年 3 月 10 日發行的 Windows 更新新增了下列功能：
- 新事件會記錄在與 LDAP 通道繫結相關的事件檢視器中。 有關這些事件的詳細資訊，請參閱 表 1 和 表 2 。
- 新的網域控制站： LDAP 伺服器通道繫結權杖需求 在支援的裝置上設定 LDAP 通道繫結的群組原則。
LDAP 簽署原則設定與登錄設定之間的對應包括如下所示：
- 原則設定： 「網域控制站： LDAP 伺服器簽章要求」
- 登錄設定： LDAPServerIntegrity
- 資料類型： DWORD
- 登錄路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| 群組原則設定 | 登錄設定 |
|---|---|
| 無 | 1 |
| 要求簽章 | 2 |
LDAP 通道繫結原則設定與登錄設定之間的對應包括如下所示：
- 原則設定： 「網域控制站：LDAP 伺服器通道繫結權杖需求」
- 登錄設定： LdapEnforceChannelBinding
- 資料類型： DWORD
- 登錄路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| 群組原則設定 | 登錄設定 |
|---|---|
| [永不] | 0 |
| 支援時機 | 1 |
| 永遠 | 2 |
表 1：LDAP 簽署事件
| 事件識別碼 | 描述 | 觸發程序 |
|---|---|---|
| 2886 | 透過設定伺服器來強制執行 LDAP 簽章的驗證，可以大幅改善這些網域控制站的安全性。 | 如果群組原則設定為 [無]，則在啟動或服務啟動時每 24 小時觸發一次。 記錄層級下限：0 或更高 |
| 2887 | 您可以將這些網域控制站設定為拒絕簡單的 LDAP 繫結要求，以及其他不包含 LDAP 簽署的繫結要求，以改善其安全性。 | 當群組原則設定為 [無] 且至少完成一個未受保護的繫結時，每 24 小時觸發一次。 記錄層級下限：0 或更高 |
| 2888 | 您可以將這些網域控制站設定為拒絕簡單的 LDAP 繫結要求，以及其他不包含 LDAP 簽署的繫結要求，以改善其安全性。 | 當群組原則設定為 [需要簽署] 且至少拒絕一個未受保護的繫結時，每隔 24 小時觸發一次。 記錄層級下限：0 或更高 |
| 2889 | 您可以將這些網域控制站設定為拒絕簡單的 LDAP 繫結要求，以及其他不包含 LDAP 簽署的繫結要求，以改善其安全性。 | 當用戶端未在連接埠 389 上的工作階段使用繫結簽章時觸發。 最低記錄層級：2 或更高 |
表 2：CBT 事件
| 事件 | 描述 | 觸發程序 |
|---|---|---|
| 3039 | 下列用戶端透過 SSL/TLS 執行 LDAP 繫結，但未能通過 LDAP 通道繫結權杖驗證。 | 在下列任一情況下觸發： 記錄層級下限： 2 |
| 3040 | 在過去的 24 小時內，已執行 # 個未受保護的 LDAP 繫結。 | 當 CBT 群組原則設定為 [永不] 且至少已完成一個未受保護的繫結時，每 24 小時觸發一次。 記錄層級下限： 0 |
| 3041 | 透過將伺服器設定為強制執行 LDAP 通道繫結權杖的驗證，可以大幅改善此目錄伺服器的安全性。 | 如果 CBT 群組原則設定為 [永不]，則在啟動或服務啟動時每 24 小時觸發一次。 記錄層級下限： 0 |
若要在登錄中設定記錄層級，請使用類似下列的命令：
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics /v “16 LDAP Interface Events” /t REG_DWORD /d 2
如需如何設定 Active Directory 診斷事件記錄的詳細資訊，請參閱 如何設定 Active Directory 和 LDS 診斷事件記錄。
2023 年 8 月 8 日更新
部分用戶端電腦無法使用 LDAP 通道繫結權杖繫結至 Active Directory 網域控制站 (DC) 。 Microsoft 已於 2023 年 8 月 8 日發行安全性更新。 針對 Windows Server 2022，此更新新增了供系統管理員稽核這些用戶端的選項。 您可以在目錄服務事件記錄檔中使用事件來源 **Microsoft-Windows-ActiveDirectory_DomainService** 來啟用 CBT 事件 3074 和 3075。
重要 2023 年 8 月 8 日的更新並未變更 LDAP 簽署、LDAP 通道繫結預設原則，或新的或現有 Active Directory DC 上的登錄對應項。
2020 年 3 月更新一節中的所有指導方針也適用於這裡。 新的稽核事件將需要上述指南中所述的原則和登錄設定。 還有一個啟用步驟可查看新的稽核事件。 但 2023 年 11 月 14 日的更新移除了該啟用步驟。 新的實作詳細資料位於下方的建議動作章節中。
表 3：CBT 事件
| 事件 | 描述 | 觸發程序 |
|---|---|---|
| 3074 | 下列用戶端透過 SSL/TLS 執行 LDAP 繫結，而且如果目錄伺服器已設定為強制執行通道繫結權杖的驗證，則通道繫結權杖驗證可能失敗。 | 在下列任一情況下觸發：
|
| 3075 | 下列用戶端透過 SSL/TLS 執行 LDAP 繫結，且未提供通道繫結資訊。 當將此目錄伺服器設定為強制執行通道繫結權杖的驗證時，將會拒絕此繫結作業。 | 在下列任一情況下觸發： 記錄層級下限： 2 |
備註 當您將記錄層級設定至少為 2 時，會記錄事件識別碼 3074。 系統管理員可以使用此來稽核其環境，尋找無法使用通道繫結權杖的用戶端。 事件將包含以下診斷資訊以識別用戶端：
Client IP address:
192.168.10.5：62709
用戶端嘗試驗證的身分識別：
CONTOSO\Administrator
用戶端支援通道繫結：FALSE
支援時允許用戶端 模式：TRUE
稽核結果旗標：0x42
| 旗標名稱 | 標幟值 | 註解 |
|---|---|---|
| SEC_CHANNEL_BINDINGS_RESULT_CLIENT_SUPPORT | 0x01 | 驗證套件指示用戶端版本應支援繫結 |
| SEC_CHANNEL_BINDINGS_RESULT_ABSENT | 0x02 | 繫結會省略或全部為零 |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISMATCH | 0x04 | 通道繫結雜湊不正確 |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISSING | 0x08 | 此用戶端不允許遺失通道繫結 |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MATCHED | 0x10 | 用戶端和伺服器繫結相符 |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_PROXY | 0x20 | ASC_REQ_PROXY_BINDINGS要求用戶端提供繫結 |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MISSING | 0x40 | ASC_REQ_ALLOW_MISSING_BINDINGS 允許的用戶端 |
旗標值包括位元，0x30是有效的 CBT 欄位，旗標值包括位元，0x0C表示已偽造的 CBT。
2023 年 10 月 10 日更新
2023 年 8 月新增的稽核變更現在可在 Windows Server 2019 上使用。 針對該作業系統，此更新新增了供管理員稽核這些用戶端的選項。 您可以啟用 CBT 事件 3074 和 3075。 使用目錄服務事件記錄檔中的事件來源 **Microsoft-Windows-ActiveDirectory_DomainService**。
重要 2023 年 10 月 10 日的更新並未變更 LDAP 簽署、LDAP 通道繫結預設原則，或新的或現有 Active Directory DC 上的登錄對應項。
2020 年 3 月更新一節中的所有指導方針也適用於這裡。 新的稽核事件將需要上述指南中所述的原則和登錄設定。 還有一個啟用步驟可查看新的稽核事件。 但 2024 年 1 月 9 日的更新移除了該啟用步驟。 新的實作詳細資料位於下方的建議動作章節中。
2023 年 11 月 14 日更新
2023 年 8 月新增的稽核變更現在可在 Windows Server 2022 上使用，而不需要手動啟用步驟。 依照建議動作中的步驟執行。
2024 年 1 月 9 日更新
2023 年 10 月中新增的稽核變更現在可在 Windows Server 2019 上使用，而不需要手動啟用步驟。 依照建議動作中的步驟執行。
建議動作
強烈建議客戶儘早採取以下步驟：
請確定 2020 年 3 月 10 日或更新版本的 Windows 更新已安裝在網域控制站 (DC) 角色電腦上。 如果要啟用 LDAP 通道繫結稽核事件，請確保已在 Windows Server 2022 或 Server 2019 DC 上安裝 2023 年 11 月 14 日或更新版本的更新。
將 LDAP 事件診斷記錄啟用為 2 或更高。
監視所有篩選的 DC 角色電腦上的目錄服務事件記錄檔：
針對以下引用的每個 IP 位址，識別裝置的品牌、型號和類型：
- 事件 2889，表示進行未簽署的 LDAP 呼叫
- 未使用 LDAP 通道繫結的事件 3039
- 事件 3074 或 3075 表示無法進行 LDAP 通道繫結
裝置類型
將裝置類型分為 3 種類別中的 1 種：
設備或路由器 -
- 請連絡裝置提供者。
未在 Windows 作業系統上執行的裝置 -
- 確認作業系統和應用程式同時支援 LDAP 通道繫結和 LDAP 簽章。 請透過使用作業系統和應用程式提供者來執行此動作。
在 Windows 作業系統上執行的裝置 -
- LDAP 簽署可供所有受支援 Windows 版本上的所有應用程式使用。 確認您的應用程式或服務使用 LDAP 簽章。
- LDAP 通道繫結要求所有 Windows 裝置都安裝 CVE-2017-8563 。 確認您的應用程式或服務正在使用 LDAP 通道繫結。
使用本機、遠端、一般或裝置特定的追蹤工具。 其中包括網路捕獲、進程管理員或偵錯追蹤。 判斷核心作業系統、服務或應用程式是否正在執行未簽署的 LDAP 繫結，或未使用 CBT。
使用 Windows 工作管理員或類似項目，將流程識別碼對應至流程、服務和應用程式名稱。
安全性更新排程
2020 年 3 月 10 日更新新增控制項，讓系統管理員強化 Active Directory 網域控制站上的 LDAP 通道繫結和 LDAP 簽署設定。 2023 年 8 月 8 日和 10 月 10 日的更新新增選項，讓系統管理員稽核無法使用 LDAP 通道繫結權杖的用戶端電腦。 強烈建議客戶儘早採取本文所建議的動作。
| 目標日期 | 事件 | 適用於 |
|---|---|---|
| 2020 年 3 月 10 日 |
必要項目：Windows Update 上提供所有支援 Windows 平台的安全性更新。 備註 對於未獲標準支援的 Windows 平台，此安全性更新只能透過適用的延伸支援方案提供。 CVE-2017-8563 在 Windows Server 2008 和更新版本中新增 LDAP 通道繫結支援。 Windows 10 版本 1709 及更新版本支援通道繫結權杖。 Windows XP 不支援 LDAP 通道繫結，當 LDAP 通道繫結是使用 Always 的值進行設定時會失敗，但會與設定為使用更寬鬆的 LDAP 通道繫結設定的 DC 進行交互操作。 |
Windows Server 2022 Windows 10 版本 20H2 Windows 10 版本 1909 (19H2) Windows Server 2019 (1809 \ RS5) Windows Server 2016 (1607 \ RS1) Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 (ESU) Windows Server 2008 SP2 (延伸安全性更新 (ESU) ) |
| 2023 年 8 月 8 日 | 新增 LDAP 通道繫結權杖稽核事件 (3074 & 3075) 。 它們在 Windows Server 2022 上預設為停用。 | Windows Server 2022 |
| 2023 年 10 月 10 日 | 新增 LDAP 通道繫結權杖稽核事件 (3074 & 3075) 。 它們在 Windows Server 2019 上預設為停用。 | Windows Server 2019 |
| 2023 年 11 月 14 日 | LDAP 通道繫結權杖稽核事件可在 Windows Server 2022 上使用，而不需要手動啟用步驟。 | Windows Server 2022 |
| 2024 年 1 月 9 日 | LDAP 通道繫結權杖稽核事件可在 Windows Server 2019 上使用，而不需要手動啟用步驟。 | Windows Server 2019 |
常見問題集
如需有關 Active Directory 網域控制站上的 LDAP 通道繫結和 LDAP 簽署常見問題的解答，請參閱：