環境保護のためのガイドラインとツール
CVE-2020-1472より
By Yaron Kassner最高技術責任者兼共同創業者 Silverfort
Securaは最近、 ホワイトペーパー 私が最近見た中で最悪の脆弱性の1つについてです。これはZeroLogon、別名CVE-2020-1472と呼ばれています。国土安全保障省（DHS）は、影響を受けるWindows Serverにパッチを適用する緊急指令も発表しました。そして、彼らは誇張しているわけではありません。この脆弱性により、攻撃者は認証されていないパケットをドメインコントローラーに送信するだけで、ドメイン管理者アカウントを作成できます。つまり、 ネットワーク上の誰でもドメイン全体を乗っ取ることができる。
技術的な詳細に興味のある方は、ホワイトペーパーを読むことを強くお勧めします。説明されている攻撃は巧妙で、NRPCプロトコルの固有の脆弱性を悪用しています。この攻撃に非常に興味を持った人々が、 完全に動作するエクスプロイト そしてGitHubに公開しました。まだアップデートを適用していない方は、この記事を読むのをやめて、今すぐ適用してください。適用が終わったら、またこの記事に戻ってきてください。
ほとんどの脆弱性と同様に、マイクロソフトは アドバイザリーセキュリティアップデートも含まれています。アップデートをインストールしてそのまま忘れてしまいたくなる人もいるかもしれませんが、注意深い読者なら次のコメントに気づくでしょう。 「マイクロソフトはこの脆弱性に対し、段階的に対応を進めています。」
ええ、それは良いことではありません。段階的なロールアウトとは、ロールアウトの最初の段階ではシステムがまだ脆弱な状態にあることを意味します。この脆弱性はNRPCプロトコルに内在するものであるため、段階的なアプローチを取る必要がありました。パッチは、プロトコルの上にセキュリティ層を追加することで攻撃を防ぎます。それがセキュアRPCです。残念ながら、サーバー側、つまりドメインコントローラーを更新するだけでは不十分です。プロトコルが機能するにはクライアントも更新する必要があるからです。MicrosoftはWindowsデバイスには対応しましたが、サポートが終了したレガシーオペレーティングシステムやサードパーティ製品には対応していません。つまり、セキュアRPCを強制すると、これらの互換性のないシステムが動作しなくなるということです。
最初の段階では、Active Directory は Windows デバイスに対してセキュアな RPC を強制的に適用するため、最悪の攻撃形態は防止できます。しかし、他のクライアントは依然として脆弱なままである可能性があります。
私たちは シンプルなツール このツールは、ドメイン内のドメインコントローラーを順に処理し、すべてにパッチが適用されているかどうかを確認します。Securaが公開したオリジナルのテストツールをベースにしていますが、一度に1台のドメインコントローラーで実行するのではなく、ドメインコントローラーを自動的に検出し、すべてに対して実行します。環境内のドメインコントローラーに漏れがないことを確認するために、このツールを実行することをお勧めします。パッチが適用されていないドメインコントローラーが1台でも存在すると、ドメイン全体が危険にさらされる可能性があります。
GitHubテストツールはこちらからダウンロードしてください
フェーズ2への移行
第 2 フェーズでは、AD は Windows デバイス以外のデバイスを含むすべてのコンピューターに対してセキュア RPC を強制します。第 2 フェーズは 2 月 2 日に自動的に実行されますが、それより前に開始することもできます。開始することをお勧めします。そのためには、まず、ネットワーク内にセキュアでない RPC に依存するクライアントがないことを確認する必要があります。Microsoft は、そのようなクライアントを検出するための監査ログを提供しています。 Silverfort も役立ちます: Silverfort 非セキュアな RPC を使用するクライアントを一覧表示するレポートを作成する。 Silverfortまずは、Microsoftのイベントログを監査することから始められます。
安全性の低いRPCクライアントをどう扱うべきか？
私の提案はこうです。まず、それらを「ドメインコントローラー: 脆弱な Netlogon セキュアチャネル接続を許可する」グループポリシーこれはこれらのクライアントを保護するものではありませんが、2021年2月まで待つことなく、残りのデバイスを今すぐ強制モードに移行できるようになります。
残りのデバイスをすべて強制モードに移行したら、セキュリティ対策が施されていないRPCクライアントの処理に取り掛かってください。そのまま放置しないでください！それらは脆弱な状態にあります！
これらのデバイスがサードパーティ製デバイスである場合は、ベンダーに連絡して、セキュアRPCで動作させるための解決策を問い合わせてください。
何らかの理由でクライアントがセキュア RPC で動作しない場合は、 Silverfort 保護に役立つ情報があります。詳しくは下記をご覧ください。
どのようにすることができます Silverfort すべての非セキュアなRPCクライアントがカバーされるまでサポートが必要ですか？
Silverfort ネットワーク内の Netlogon トラフィックを監視および制御します。これにより、 Silverfort 非セキュアな RPC を使用しているすべてのコンピュータを検出します。これらのデバイスでは、 Silverfort リスクを高めることができ、セキュリティを強化するなど、追加のセキュリティ層を提供できます。 認証 これらのデバイスとの間でやり取りされる要件。
推奨手順をまとめると以下のようになります。
1. ドメインコントローラーを更新する
2。 使用 Silverfortのオープンソースツール パッチ未適用ドメインコントローラーが残っているかどうかを確認する
3。 使用 Silverfort または、非セキュアなRPCを使用するクライアントの監査についてはMicrosoft
4. セキュアでないRPCクライアントを許可リストに追加する
5. ドメインをできるだけ早く強制モードに移行する
6. 安全でないRPCクライアントを修正するか、ネットワークから削除するプロセスを開始します。
7. その間、 Silverfort 脆弱な顧客を搾取から守り、その利用を制限する。
Yaron Kassner最高技術責任者兼共同創業者 Silverfort
SilverfortのCTO兼共同創業者 Yaron Kassner サイバーセキュリティとビッグデータ技術の専門家。共同設立前は Silverfortヤロンはシスコでビッグデータ専門コンサルタントを務めました。また、マイクロソフトではビッグデータ分析と機械学習アルゴリズムに関する新たな機能開発にも携わりました。それ以前は、イスラエル国防軍の精鋭サイバー部隊である8200部隊に所属し、優秀な研究開発チームを率い、大尉に昇進し、名誉ある優秀賞を受賞しました。ヤロンは、イスラエル工科大学（テクニオン）で数学の学士号（最優等）、コンピュータサイエンスの修士号および博士号を取得しています。
