如何管理與 CVE-2020-1472 相關聯的 Netlogon 安全通道連線變更

套用到
Windows Server 2019, all editions Windows Server 2016, all editions Windows Server, version 1909, all editions Windows Server, version 1903, all editions Windows Server, version 1809 (Datacenter, Standard) Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 Service Pack 1

摘要

Netlogon 遠端通訊協定 (也稱為 MS-NRPC) 是加入網域的裝置專用的 RPC 介面。 MS-NRPC 包含驗證方法，以及建立 Netlogon 安全通道的方法。 這些更新會強制執行指定的 Netlogon 用戶端行為，以在成員電腦與 Active Directory 之間使用安全 RPC 與 Active Directory (AD) 網域控制站之間 (DC) 。

解決 Netlogon 弱點 CVE-2020-1472 的更新時間 一節中所述的分階段發行中，使用 Netlogon 安全通道時，此安全性更新可透過強制執行安全 RPC 來解決此弱點。 若要提供 AD 樹系保護，所有 DC 都必須更新，因為它們會使用 Netlogon 安全通道強制執行安全 RPC。 這包括 (RODC) 的唯讀網域控制站。

若要深入了解此弱點，請參閱 CVE-2020-1472。

注意

  • 採取行動
  • 為了保護您的環境和避免運作中斷，您必須執行下列各項：
  1. 以 2020 年 8 月 11 日或更新版本發行的更新來更新您的網域控制站。
  2. 監視事件記錄檔，找出哪些裝置正在建立易受攻擊的連線。
  3. 解決 建立易受攻擊連線的不相容裝置。
  4. 啟用解決環境中CVE-2020-1472 的強制模式。
  • 備註 安裝 2020 年 8 月 11 日或更新版本發佈的更新的步驟 1，將解決 CVE-2020-1472 中 Active Directory 網域和信任以及 Windows 裝置的安全性問題。 若要完全緩解協力廠商裝置的安全性問題，您必須完成所有步驟。
  • 警告 自 2021 年 2 月開始，所有 Windows 網域控制站都會啟用強制模式，並且會封鎖來自不相容裝置的易受攻擊連線。  屆時，您將無法停用強制模式。

         備註如果您使用的是 Windows Server 2008 R2 SP1，需要延伸安全性更新 (ESU) 授權，才能成功安裝任何解決此問題的更新。 如需有關 ESU 計畫的詳細資訊，請參閱生命週期常見問題集 - 延伸安全性匯報。

本文內容：

解決 Netlogon 弱點 CVE-2020-1472 的更新時間

更新會分成兩個階段發行：更新的初始階段在 2020 年 8 月 11 日或之後發行，更新的強制階段在 2021 年 2 月 9 日或之後發行。

2020 年 8 月 11 日 - 初始部署階段

初始部署階段從 2020 年 8 月 11 日發行的更新開始，一直持續到之後的更新直到 強制階段。 這些更新和較新的更新會變更 Netlogon 通訊協定，以預設為保護 Windows 裝置、記錄不相容裝置探索的事件，並新增為所有已加入網域的裝置啟用保護的能力，但有明確的例外。 此版本：

  • 在 Windows 型裝置上強制執行電腦帳戶的安全 RPC 使用方式。
  • 強制執行信任帳戶的安全 RPC 使用方式。
  • 強制對所有 Windows 和非 Windows DC 使用安全 RPC。
  • 包含新的群組原則，以允許不符合規範的裝置帳戶 (使用易受攻擊的 Netlogon 安全通道連線的帳戶) 。 即使 DC 在 強制模式 或 強制階段 開始之後執行，允許的裝置也不會被拒絕連線。
  • 用於為所有電腦帳戶啟用 DC 強制模式 的 FullSecureChannelProtection 登錄機碼 (強制階段會將 DC 更新為 DC 強制模式) 。
  • 在 DC 強制模式 (中帳戶遭到拒絕或將會遭到拒絕時，包括新事件，並將在 強制階段) 中繼續進行。 本文稍後會說明特定事件 ID。

風險降低措施包括在所有 DC 和 RODC 上安裝更新、監視新事件，以及解決使用易受攻擊的 Netlogon 安全通道連線的不相容裝置。 不相容裝置上的電腦帳戶可能會被允許使用易受攻擊的 Netlogon 安全通道連線;不過，它們應該盡快更新，以支援 Netlogon 和帳戶強制執行的安全 RPC，以移除攻擊風險。

2021 年 2 月 9 日 - 強制階段

2021 年 2 月 9 日版本標誌著轉換到強制階段。 無論強制模式登錄機碼為何，DC 現在都將處於 強制模式 。  這需要所有 Windows 和非 Windows 裝置透過 Netlogon 安全通道使用安全 RPC，或透過新增不相容裝置的例外狀況來明確允許帳戶。 此版本：

部署指導方針 - 部署更新並強制執行合規性

初始部署階段將包括以下步驟：

  1. 將 8 月 11 日的更新部署至樹系中的所有 DC。
  2. () 監視 器以尋找警告事件 ，並 (b) 對每個事件採取行動。
  3. () 解決所有警告事件之後，部署 DC 強制模式即可啟用全面保護。 (b) 所有警告都應在 2021 年 2 月 9 日的強制階段更新之前解決。

步驟 1：更新

部署 2020 年 8 月 11 日更新

將 8 月 11 日的更新部署至樹系中所有適用的網域控制站 () DC，包括唯讀網域控制站 (RODC) 。 部署此更新之後，已修補的 DC 將會：

  • 開始對所有 Windows 型裝置帳戶、信任帳戶及所有 DC 強制執行安全的 RPC 使用方式。
  • 如果連線遭到拒絕，請在系統事件記錄檔中記錄事件識別碼 5827 和 5828。
  • 如果 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則允許連線，則在系統事件記錄中記錄事件識別碼 5830 和 5831。
  • 每當允許易受攻擊的 Netlogon 安全通道連線時，系統事件記錄檔中的記錄事件識別碼 5829。 這些事件應在設定 DC 強制模式 之前，或在強制階段於 2021 年 2 月 9 日開始之前解決。

步驟 2a：尋找

使用事件識別碼 5829 偵測不相容裝置

2020 年 8 月 11 日更新套用至 DC 之後，可以在 DC 事件記錄檔中收集事件，以判斷環境中的哪些裝置正在使用易受攻擊的 Netlogon 安全通道連線， (本文) 中稱為不相容裝置。 監視已修補的 DC 中的事件識別碼 5829 事件。 這些事件將包括用於識別不相容裝置的相關資訊。

若要監視事件，請使用可用的事件監視軟體，或使用指令碼來監視您的 DC。  如需可適應環境調整的範例指令碼，請參閱 指令碼以協助監控與 CVE-2020-1472 的 Netlogon 更新相關的事件識別碼

步驟 2b：位址

定址事件識別碼 5827 和 5828

根據預設，已完整更新的 受支援 Windows 版本 不應使用易受攻擊的 Netlogon 安全通道連線。 如果以下其中一個事件記錄在 Windows 裝置的系統事件日誌中：

  1. 確認裝置正在執行 支援的 Windows 版本。
  2. 確定裝置已完整更新。
  3. 檢查以確保 [網域成員： 一律) (以數位方式加密或簽章安全通道資料 ] 設定為 [已啟用]。

對於充當網域控制站的非 Windows 裝置，當使用易受攻擊的 Netlogon 安全通道連線時，這些事件會記錄在系統事件記錄檔中。 如果記錄下列其中一個事件：

  • 推薦項目 與裝置製造商 (OEM) 或軟體廠商合作，以透過 Netlogon 安全通道取得安全 RPC 的支援

    1. 如果不相容的 DC 支援具有 Netlogon 安全通道的安全 RPC，請在 DC 上啟用安全 RPC。
    2. 如果不相容的 DC 目前不支援安全 RPC，請與裝置製造商 (OEM) 或軟體廠商合作，以取得支援透過 Netlogon 安全通道進行安全 RPC 的更新。
    3. 淘汰不相容的 DC。

  • 易受攻擊如果在 DC 進入強制模式之前，不相容的 DC 無法透過 Netlogon 安全通道支援安全 RPC，請使用下述的「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則來新增 DC。

注意

警告 允許 DC 透過群組原則使用易受攻擊的連線，會讓樹系容易受到攻擊。 最終目標應該是解決並移除此群組原則中的所有帳戶。

定址事件 5829

在初始部署階段允許易受攻擊的連線時，會產生事件識別碼 5829。 當 DC 處於 強制模式時，將會拒絕這些連線。 在這些事件中，請著重於識別的電腦名稱、網域和作業系統版本，以判斷不符合規範的裝置以及需要如何解決它們。

解決不相容裝置的方法：

  • 推薦項目 與裝置製造商 (OEM) 或軟體廠商合作，以透過 Netlogon 安全通道取得安全 RPC 的支援：

    1. 如果不相容裝置支援具有 Netlogon 安全通道的安全 RPC，請在裝置上啟用安全 RPC。
    2. 如果不相容裝置目前不支援透過 Netlogon 安全通道的安全 RPC，請與裝置製造商或軟體廠商合作，以取得允許透過 Netlogon 安全通道啟用安全 RPC 的更新。
    3. 淘汰不相容的裝置。

  • 易受攻擊如果不相容裝置無法在 DC 進入強制模式之前透過 Netlogon 安全通道支援安全 RPC，請使用下述的「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則來新增裝置。

注意

警告 允許裝置帳戶使用群組原則易受攻擊的連線，會使這些 AD 帳戶處於危險之中。 最終目標應該是解決並移除此群組原則中的所有帳戶。

允許來自協力廠商裝置的易受攻擊連線

使用 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則 來新增不相容帳戶。 這只能視為短期補救，直到如上所述解決不相容裝置為止。 備註 允許來自不相容裝置的易受攻擊連線可能會產生未知的安全性影響，應謹慎允許。

  1. 已為允許使用易受攻擊的 Netlogon 安全通道的帳戶 () 的安全性群組。
  2. 在群組原則中，移至 [電腦設定>]、[Windows 設定>]、[安全性設定>]、[本機原則]、[>安全性選項]
  3. 搜尋「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」。
  4. 如果存在 Administrator 群組，或者有任何未特別建立用於此群組原則的群組，請將其移除。
  5. 將專為此群組原則搭配使用的安全性群組新增至具有 「允許」權限的安全性描述元。 備註 「拒絕」權限的行為方式與未新增帳戶時相同，也就是不允許帳戶建立易受攻擊的 Netlogon 安全通道。
  6. 新增安全性群組 () 之後，群組原則必須複寫到每個 DC。
  7. 定期監視事件 5827、5828 和 5829，以判斷哪些帳戶正在使用易受攻擊的安全通道連線。
  8. 視需要將這些電腦帳戶新增至安全性群組 () 。 最佳作法 在群組原則中使用安全性群組，並將帳戶新增至群組，以便透過一般 AD 複寫複寫成員資格。 這可避免頻繁的群組原則更新和複寫延遲。

解決所有不相容裝置問題之後，您可以將 DC 移至 強制模式 ， (請參閱下一節) 。

注意

警告 允許 DC 透過群組原則將易受攻擊的連線用於信任帳戶，會使樹系容易受到攻擊。 信任帳戶通常以受信任網域命名，例如：網域 a 中的 DC 與網域 b 中的 DC 具有信任。 在內部，網域 a 中的 DC 有一個名為「domain-b$」的信任帳戶，代表網域 b 的信任物件。 如果網域 a 中的 DC 想要透過允許來自網域 b 信任帳戶的易受攻擊的 Netlogon 安全通道連線，使樹系面臨攻擊風險，系統管理員可以使用 Add-adgroupmember –identity “Name of security group” -members “domain-b$” 將信任帳戶新增至安全性群組。

步驟 3a：啟用

在 2021 年 2 月強制階段之前移至強制模式

啟用安全 RPC 或使用 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則允許易受攻擊的連線，解決所有不相容裝置之後，將 FullSecureChannelProtection 登錄機碼設為 1。

備註 如果您使用的是 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則，請先確定群組原則已複寫並套用至所有 DC，再設定 FullSecureChannelProtection 登錄機碼。

部署 FullSecureChannelProtection 登錄機碼時，DC 將進入 強制模式。 此設定要求所有使用 Netlogon 安全通道的裝置：

注意

警告 部署 DC 強制模式 登錄機碼時，不支援使用 Netlogon 安全通道連線的安全 RPC 的協力廠商用戶端將會遭到拒絕，這可能會中斷生產服務。

步驟 3b：強制階段

部署 2021 年 2 月 9 日更新

部署 2021 年 2 月 9 日或更新版本發佈的更新將會開啟 DC 強制模式。 DC 強制模式 是指所有 Netlogon 連線都必須使用安全 RPC，或帳戶必須新增至 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則。 目前已不再需要 FullSecureChannelProtection 登錄機碼，且將不再受到支援。

「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則

最佳做法是在群組原則中使用安全性群組，以便透過一般 AD 複寫來複寫成員資格。 這可避免頻繁的群組原則更新和複寫延遲。

原則路徑和設定名稱 描述
原則路徑： 電腦設定 Windows 設定 >> 安全性設定 > 本機原則 > 安全性選項

設定名稱： 網域控制站：允許易受攻擊的 Netlogon 安全通道連線
是否需要重新開機？ 否		 此安全性設定可決定網域控制站是否針對指定的電腦帳戶略過 Netlogon 安全通道連線的安全 RPC。

此原則應該透過啟用網域控制站 OU 上的原則，套用至樹系中的所有網域控制站。

設定 [建立易受攻擊的連線] 清單 (允許清單) 時：

  • 允許：網域控制站會允許指定的群組/帳戶使用不需安全 RPC 的 Netlogon 安全通道。
  • 拒絕：此設定與預設行為相同。 網域控制站會要求指定的群組/帳戶使用具有安全 RPC 的 Netlogon 安全通道。
警告啟用此原則將會公開您已加入網域的裝置和您的 Active Directory 樹系，這可能會讓它們處於風險之中。 當您部署更新時，此原則應該做為協力廠商裝置的暫時措施。 更新協力廠商裝置以支援搭配 Netlogon 安全通道使用安全 RPC 後，應從「建立易受攻擊的連線」清單中移除該帳戶。 若要更瞭解將帳戶設定為允許使用易受攻擊的 Netlogon 安全通道連線的風險，請瀏覽 https://go.microsoft.com/fwlink/?linkid=2133485。

預設值：未設定此原則。 沒有電腦或信任帳戶明確地從使用 Netlogon 安全通道連線強制執行的安全 RPC 中免除。

Windows Server 2008 R2 SP1 和更新版本支援此原則。

事件分為三個類別：

1. 因為嘗試了易受攻擊的 Netlogon 安全通道連線而導致連線遭拒絕時所記錄的事件：

  • 5827 (電腦帳戶) 錯誤
  • 5828 (信任帳戶) 錯誤

2. 因為帳戶已新增至 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則而允許連線時所記錄的事件：

  • 5830 (電腦帳戶) 警告
  • 5831 (信任帳戶) 警告

3. 在初始版本中允許連線時所記錄的事件，該連線將在 DC 強制模式中遭到拒絕：

  • 5829 (電腦帳戶) 警告

事件識別碼 5827

當來自電腦帳戶的易受攻擊的 Netlogon 安全通道連線遭到拒絕時，則會記錄事件識別碼 5827。

事件記錄檔 系統
事件來源 NETLOGON
事件識別碼 5827
等級 錯誤
事件訊息文字 Netlogon 服務拒絕來自電腦帳戶的易受攻擊的 Netlogon 安全通道連線。
電腦 SamAccountName：
網域：
帳戶類型：
機器作業系統：
電腦作業系統組建：
電腦作業系統 Service Pack：
如需有關拒絕原因的詳細資訊，請造訪 https://go.microsoft.com/fwlink/?linkid=2133485。

事件識別碼 5828

當來自信任帳戶的易受攻擊的 Netlogon 安全通道連線遭到拒絕時，則會記錄事件識別碼 5828。

事件記錄檔 系統
事件來源 NETLOGON
事件識別碼 5828
等級 錯誤
事件訊息文字 Netlogon 服務使用信任帳戶拒絕易受攻擊的 Netlogon 安全通道連線。
帳戶類型：
信任名稱：
信任目標：
用戶端 IP 位址：
如需有關拒絕原因的詳細資訊，請造訪 https://go.microsoft.com/fwlink/?linkid=2133485。

事件識別碼 5829

事件識別碼 5829 只會在 初始部署階段記錄，此時允許來自電腦帳戶的易受攻擊的 Netlogon 安全通道連線。

部署 DC 強制模式 或 強制階段 一旦開始部署 2021 年 2 月 9 日的更新，這些連線會遭到拒絕，並記錄事件識別碼 5827。 這就是為什麼在初始部署階段監視事件 5829 並在強制階段之前採取行動以避免中斷的原因。

事件記錄檔 系統
事件來源 NETLOGON
事件識別碼 5829
等級 警告
事件訊息文字 Netlogon 服務允許易受攻擊的 Netlogon 安全通道連線。
警告：一旦強制階段釋放，將會拒絕此連線。 若要更加了解強制階段，請造訪 https://go.microsoft.com/fwlink/?linkid=2133485。
電腦 SamAccountName：
網域：
帳戶類型：
機器作業系統：
電腦作業系統組建：
電腦作業系統 Service Pack：

事件識別碼 5830

當 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則允許易受攻擊的 Netlogon 安全通道電腦帳戶連線時，將會記錄事件識別碼 5830。

事件記錄檔 系統
事件來源 NETLOGON
事件識別碼 5830
等級 警告
事件訊息文字 Netlogon 服務允許易受攻擊的 Netlogon 安全通道連線，因為「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則中允許電腦帳戶。
警告：使用易受攻擊的 Netlogon 安全通道會使已加入網域的裝置遭受攻擊。 若要保護您的裝置免於攻擊，請在更新協力廠商 Netlogon 用戶端後，從「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則中移除電腦帳戶。 若要更瞭解設定電腦帳戶以允許使用易受攻擊的 Netlogon 安全通道連線的風險，請造訪 https://go.microsoft.com/fwlink/?linkid=2133485。
電腦 SamAccountName：
網域：
帳戶類型：
機器作業系統：
電腦作業系統組建：
電腦作業系統 Service Pack：

事件識別碼 5831

當 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則允許易受攻擊的 Netlogon 安全通道信任帳戶連線時，將會記錄事件識別碼 5831。

事件記錄檔 系統
事件來源 NETLOGON
事件識別碼 5831
等級 警告
事件訊息文字 Netlogon 服務允許易受攻擊的 Netlogon 安全通道連線，因為在「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則中允許信任帳戶。
警告：若使用易受攻擊的 Netlogon 安全通道，Active Directory 樹系會暴露在攻擊之下。 若要保護您的 Active Directory 樹系免於攻擊，所有信任都必須使用安全 RPC 搭配 Netlogon 安全通道。 更新網域控制站上的協力廠商 Netlogon 用戶端之後，從「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則移除信任帳戶。 若要更瞭解將信任帳戶設定為允許使用易受攻擊的 Netlogon 安全通道連線的風險，請造訪 https://go.microsoft.com/fwlink/?linkid=2133485。
帳戶類型：
信任名稱：
信任目標：
用戶端 IP 位址：

強制模式的登錄值

注意

警告：如果您使用「登錄編輯程式」或其他方法不當修改登錄，可能會發生嚴重問題。 這些問題可能會迫使您重新安裝作業系統。 Microsoft 不保證這些問題都能順利解決。 Modify the registry at your own risk.

2020 年 8 月 11 日更新引進下列登錄設定，以提早啟用強制模式。 從 2021 年 2 月 9 日開始的強制階段中，無論登錄設定為何，都會啟用此設定：

登錄子機碼 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
值 FullSecureChannelProtection
資料類型 REG_DWORD
資料 1 – 這會啟用強制模式。 除非 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則中的 [建立易受攻擊的連線] 清單允許該帳戶，否則 DC 將會拒絕易受攻擊的 Netlogon 安全通道連線。
0 – DC 將允許來自非 Windows 裝置的易受攻擊的 Netlogon 安全通道連線。 此選項將在強制階段版本中取代。
是否需要重新開機？ 否

執行 [MS-NRPC]： Netlogon 遠端通訊協定的協力廠商裝置

所有協力廠商用戶端或伺服器都必須使用安全 RPC 搭配 Netlogon 安全通道。 請連絡裝置製造商 (OEM) 或軟體廠商，以判斷其軟體是否與最新的 Netlogon 遠端通訊協定相容。

您可以在 Windows 通訊協定文件網站上找到通訊協定更新。

常見問題集 (FAQ)

1. Netlogon 安全通道的用途是什麼？
  • Windows & 在 Active Directory (AD) 中擁有電腦帳戶的已加入網域協力廠商的裝置
  • Windows Server &信任網域中的協力廠商網域控制站 & 信任網域，其在 AD 中具有信任帳戶
2. 協力廠商解決方案會受到影響嗎？

協力廠商裝置可能不符合規範。 如果您的協力廠商解決方案在 AD 中維護電腦帳戶，請連絡廠商以判斷您是否受到影響。

3. 為什麼我的 DC 會拒絕在「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則中設定的帳戶？

AD 和 Sysvol 複寫的延遲或驗證 DC 上的群組原則應用程式失敗，可能會導致群組原則「 網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則 的變更遺失，並導致帳戶遭拒絕。

下列步驟可能有助於疑難排解問題：

4. 我有 Windows 裝置的事件識別碼 5827。我以為您說 Windows 不受影響？

根據預設，已完整更新的 受支援 Windows 版本 不應使用易受攻擊的 Netlogon 安全通道連線。 如果事件識別碼 5827 記錄在 Windows 裝置的系統事件記錄檔中：

  1. 確認裝置正在執行 支援的 Windows 版本。
  2. 確定裝置已從 Windows Update 完全更新。
  3. 檢查以確保網域成員：在連結到所有 () OU 的 GPO 中，一 律進行數位加密或簽章 ，例如預設網域控制站 GPO。
5. 工作站和端點裝置是否也需要更新？

是，它們應該更新，但並非特別容易受到 CVE-2020-1472 攻擊。

6.在更新 DC 之前，是否需要使用 2020 年 8 月 11 日或更新版本發佈的更新來更新非 DC Windows 伺服器或其他 Windows 裝置？

否，DC 是唯一受 CVE-2020-1472 影響的角色，可以獨立於非 DC Windows 伺服器和其他 Windows 裝置進行更新。

7. 為什麼未更新 Windows Server 2008 SP2 以解決 CVE-2020-1472？

Windows Server 2008 SP2 不易受到此特定 CVE 的攻擊，因為它不使用 AES 進行安全 RPC。

8. Windows Server 2008 R2 SP1 是否需要 ESU 來解決 CVE-2020-1472？

是的，您需要延伸安全性更新 (ESU) ，才能安裝可解決 Windows Server 2008 R2 SP1 CVE-2020-1472 的更新。

9. 如何？確保我的網域控制站受到保護？

將 2020 年 8 月 11 日或更新版本的更新部署到您環境中的所有網域控制站。

請確定新增至「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則的裝置都沒有企業管理員或網域管理員權限服務，例如 SCCM 或 Microsoft Exchange。   備註 允許清單中的任何裝置將被允許使用易受攻擊的連線，並可能讓您的環境遭受攻擊。

10.如果我已將更新部署至所有網域控制站，我的企業是否受到 CVE-2020-1472 保護？

在網域控制站上安裝 2020 年 8 月 11 日或更新版本發佈的更新，可保護 Windows 電腦帳戶、信任帳戶和網域控制站帳戶。

在部署強制模式之前，已加入網域的協力廠商裝置的 Active Directory 電腦帳戶 不會 受到保護。 如果將電腦帳戶新增至「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則，也會受到保護。

11.如何？確保我的 Windows 加入網域的裝置身分識別受到保護？

請確定您環境中的所有網域控制站都已安裝 2020 年 8 月 11 日或更新版本的更新。

任何已新增至「 網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則 的裝置身分識別都將容易受到攻擊。

12.如何？確保我的第三方加入網域的裝置身分識別受到保護？

請確定您環境中的所有網域控制站都已安裝 2020 年 8 月 11 日或更新版本的更新。

啟用強制模式以拒絕來自不相容協力廠商裝置身分識別的易受攻擊連線。
 
備註 啟用強制模式後，已新增至 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則 的任何協力廠商裝置身分識別仍然容易受到攻擊，並可能允許攻擊者未經授權存取您的網路或裝置。

13. 什麼是強制模式？

強制模式會告知網域控制站，除非這些裝置帳戶已新增至 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則，否則不允許來自未使用安全 RPC 的裝置的 Netlogon 連線。

如需詳細資訊，請參閱 強制模式的登錄值 一節。

14. 哪些電腦帳戶應該新增到「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則？

只有無法透過在 Netlogon 安全通道上啟用安全 RPC 來確保安全的裝置的電腦帳戶才應新增至群組原則。  建議讓這些裝置符合規範或更換這些裝置，以保護您的環境。

15. 攻擊者可以對位於「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則上的電腦帳戶執行什麼動作？

攻擊者可以接管新增至群組原則的任何電腦帳戶的 Active Directory 電腦身分識別，並隨後利用機器身分識別擁有的任何權限。

16. 為什麼我要將電腦帳戶新增至「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則？

如果您有不支援 Netlogon 安全通道安全 RPC 的協力廠商裝置，而且您想要啟用強制模式，您應將該裝置的電腦帳戶新增至群組原則。 不建議這樣做，而且可能會讓您的網域處於潛在易受攻擊的狀態。  建議使用此群組原則，以便有時間更新或取代任何協力廠商裝置，以使其符合規範。

17. 何時要啟用強制模式？

應儘快啟用強制模式。  任何協力廠商裝置都需要透過使其符合規範或將其新增到 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則來解決。 備註 允許清單中的任何裝置將被允許使用易受攻擊的連線，並可能讓您的環境遭受攻擊。

字彙

字詞 定義
廣告 Active Directory
DC 網域控制站
強制模式 可讓您在 2021 年 2 月 9 日之前啟用 強制模式 的登錄機碼。
強制階段 從 2021 年 2 月 9 日更新開始的階段，其中無論登錄設定為何，所有 Windows 網域控制站都會啟用 強制模式 。 除非將所有不相容裝置的易受攻擊連線新增至 「網域控制站： 允許易受攻擊的 Netlogon 安全通道連線」群組原則，否則 DC 會拒絕來自所有不相容裝置的易受攻擊連線。
初始部署階段 階段從 2020 年 8 月 11 日的更新開始，一直持續到之後的更新直到強制階段。
電腦帳戶 也稱為 Active Directory 電腦或電腦物件。 如需完整定義，請參閱 MS-NPRC 詞彙表 。
MS-NRPC Microsoft Netlogon 遠端 ProtoCol
不相容裝置 不相容裝置是指使用易受攻擊的 Netlogon 安全通道連線的裝置。
RODC 唯讀網域控制站
易受攻擊的連線 易受攻擊的連線是不使用安全 RPC 的 Netlogon 安全通道連線。