Zerologon (CVE-2020-1472): Kritik Active Directory Güvenlik Açığı

Ağustos 2020'de Microsoft, Active Directory'deki kritik bir Windows Server güvenlik açığını gidermek için bir güncelleme yayınladı — CVE-2020-1472 (daha çok Zerologon olarak bilinir). Bu güncelleme, 4 ay önce tüm etki alanı denetleyicilerine başarıyla yüklendi. Ancak, tüm Windows yöneticileri, güncellemenin DC'lere yüklenmesinin hikayenin sonu olmadığını bilmiyor. Bu yazımızda Zerologon güvenlik açığından, AD domain controller'ların bundan nasıl korunacağından, neden Şubat 2021'de bir Zerologon güncellemesi daha yayınlanacağından ve tüm bunlarla bir Windows Server yöneticisinin yapması gerekenlerden bahsedeceğiz.

ZeroLogon: Windows Netlogon Güvenlik Açığı CVE-2020-1472

Tüm Windows Server sürümlerinde (2008 R2, 2012, 2016, 2019) Active Directory'de bulunan kritik güvenlik açığı CVE-2020-1472, kimliği doğrulanmamış bir kullanıcının uzaktan etki alanı yöneticisi ayrıcalıkları almasına olanak tanır. Netlogon Uzak Protokolü'ndeki (MS-NRPC) AES-CFB8 şifreleme protokolü uygulamasındaki bir hata nedeniyle, ağ üzerinden bir etki alanı denetleyicisine erişimi olan bir saldırgan ayrıcalıkları yükseltebilir ve etki alanı denetleyicisi hesap parolasını değiştirebilir reklamda. Daha sonra bir saldırgan, SYSTEM ayrıcalıklarına sahip bir DC'de kimlik doğrulaması yapabilir ve Active Directory üzerinde tam denetime sahip olabilir (etki alanı yönetici parolalarını sıfırlayabilir veya AD'de başka herhangi bir şey yapabilir).

Zerologon güvenlik açığını uygulamak için, saldırganın Netlogon üzerinden sıfırlarla başlayan belirli bir sırayı kullanarak bir bağlantı kurması gerekir (şu bağlantı noktaları kullanılır: RPC konumlandırıcı TCP/135, RPC dinamik bağlantı noktası aralığı ve TCP/445 üzerinden SMB protokolü). Netlogon güvenlik açığı, meşru etki alanı bilgisayarının kimliğine bürünmenize izin verir ve ayrıcalıklarınızı yükselttikten sonra DC hesabı parolasını değiştirebilirsiniz.

Güvenlik açığına maksimum CVSS derecesi (10 üzerinden 10) verildi.

Tüm Windows Server sürümleri etkilenir:

• Windows Sunucusu 2019, Windows Sunucusu 2016;

• Windows Server 2004, 1909, 1903;

• Windows Sunucusu 2012 R2/2012;

• Windows Server 2008 R2 SP1.

Şu anda çalışan birkaç Zerologon kamu açığı vardır (mimikatz'a ayrıca bir zerologon modülü eklenmiştir).

DC'lerinizi sıfır oturum açma güvenlik açığı açısından test etmek için bir Python betiği vardır: https://github.com/SecuraBV/CVE-2020-1472.

Zerologon'a Karşı Windows Sunucu Güncellemeleri

Microsoft artık Windows Server 2008 R2'yi desteklemediğinden, bu işletim sistemi sürümü için genel kullanıma açık bir hata düzeltmesi yoktur. Ancak, 1 yıllık bir Genişletilmiş Güvenlik Güncellemeleri (ESU) aboneliği satın aldıysanız, WS2008R2 için 4571729 güncellemesini indirip yükleyebilirsiniz.

Diğer Windows Server sürümlerinde Windows Update, WSUS'ta güncellemeler bulunur veya güncellemeleri Microsoft Update Kataloğu'ndan manuel olarak indirebilir ve MSU güncelleme dosyasını manuel olarak yükleyebilirsiniz.

• Windows Server 2019 (KB4565349), Windows Server 2016 (KB571694);

• Windows Server 2004 (4566782), 1909 (KB4565351), 1903 (KB4565351);

• Windows Server 2012 R2 (KB4571723), Windows Server 2012 (KB4571702).

Active Directory Etki Alanı Denetleyicilerini ZeroLogon'dan Koruma

Zerologon güvenlik açığını gideren güncellemeler Ağustos 2020'de yayınlandı. Active Directory'nizi korumak için, Windows Server sürümünüz için Ağustos toplu güncellemesini (veya sonraki bir güncellemeyi) tüm etki alanı denetleyicilerine yüklemelisiniz.

Aslında, yama geçici bir düzeltmedir.

Microsoft, Netlogon'da güvenli Uzaktan Yordam Çağrısına (RPC) sorunsuz geçiş sağlamak için Zerologon'u iki aşamada düzeltecektir:

• İlk (dağıtım) aşama. Ağustos yaması, etki alanı denetleyicilerini bilinen saldırı senaryosundan korumaya yönelik bir acil durum düzeltmesidir. Ancak bu güncelleme güvenlik açığını tamamen gidermez (DC'lere Netlogon aracılığıyla saldırmak için başka senaryolar da mümkündür). Netlogon için RPC protokolünün yeni güvenli sürümünü desteklemeyen eski sistemler, yine de bir etki alanı denetleyicisine bağlanabilir.

• İkinci (yaptırım) aşaması. Bir sonraki güncelleme 9 Şubat 2021'de yayınlanacak. Bu güncellemeyi yükledikten sonra, tüm etki alanı denetleyicileri eski Netlogon protokolünü kullanan bağlantıları reddedecektir (ancak, GPO kullanan eski cihazlar için hariç tutmalar ayarlayabilirsiniz, nasıl yapılacağını göstereceğiz) aşağıda).

İlk yamayı yükledikten sonra, Netlogon RPC'nin güvenli olmayan sürümünü kullanan cihaz bağlantı olaylarını etki alanı denetleyicisi günlüklerinde bulabilirsiniz. Ayrıca, ağınızda eski cihazlar yoksa, 2021'i beklemeden (FullSecureChannelProtection kayıt defteri parametresini kullanarak) etki alanı denetleyicilerinizde eski Netlogon RPC sürümü desteğini devre dışı bırakabilirsiniz.

Bir güvenlik güncelleştirmesi yükledikten sonra, güvenlik açığı bulunan bir Netlogon sürümünü kullanan bilgisayarları bağlama olayları, etki alanı denetleyicisi günlüklerine kaydedilir. Olay Görüntüleyici -> Windows Günlükleri -> Sistem'deki NETLOGON'dan aşağıdaki EventID'lere dikkat etmelisiniz:

• EventID 5827 ve 5828 — Netlogon hizmeti, bir bilgisayar hesabından güvenlik açığı bulunan bir Netlogon güvenli kanal bağlantısını reddetti. Bu mesaj, savunmasız bir Netlogon sürümü kullanan bu bilgisayarın bağlantısının reddedildiği anlamına gelir (bu, Şubat 2021'e kadar bir referans mesajıdır, bağlantıyı engellemek için gerçek bir eylem yapılmamıştır).

  

  Get-EventLog -LogName System -InstanceId 5827 -Source NETLOGON|Select-Object message| Export-Csv c:\ps\5827.csv -Encoding utf8

• EventID 5829 — savunmasız bir Netlogon sürümü kullanan bir bağlantıya izin verilir;

• EventID 583, 5831 — Cihaz, "Etki alanı denetleyicisi: Güvenlik açığı bulunan Netlogon güvenli kanal bağlantılarına izin ver" ilkesine eklendiğinden, güvenlik açığı bulunan bir Netlogon sürümü kullanan bir bağlantıya izin verilir.

Şubat 2021'e kadar, algılanan tüm cihazlara en son güvenlik güncellemelerini yüklemelisiniz. Windows'ta en son toplu güncelleştirmeyi yüklemeniz yeterlidir. Active Directory'ye bağlanmak için Netlogon Uzak Protokolü kullanan diğer tüm cihazlar için cihaz/yazılım satıcınızdan (OEM) güncelleme isteyin.

Etki alanı denetleyicilerini, bağlanan tüm cihazların Netlogon protokolünün güvenli sürümünü kullanması gereken bir moda sokan özel bir güvenlik güncelleştirmesi Şubat ayında yayınlanacak. Aynı zamanda, Event 5829'da belirtilen (güvenli Netlogon sürümünü desteklemeyen) cihazlar etki alanına bağlanamaz. Bu cihazları GPO hariç tutmalarına manuel olarak eklemeniz gerekecek.

Zerologon için Grup İlkeleri

Ağınızda yalnızca güvenli olmayan Netlogon sürümünü destekleyen hiçbir cihaz kalmadıysa, 9 Şubat 2021'den önce (bağlantıları reddeden ikinci aşama güncelleme yayınlanacağı zaman) DC'leri güvenli bir Netlogon sürümü kullanmaya zorlamak için ayrı bir GPO oluşturabilirsiniz. Güvenli olmayan bir Netlogon sürümü kullanarak). Bunu yapmak için GPO kullanarak aşağıdaki kayıt defteri anahtarını tüm DC'lerinize dağıtın:

• kayıt anahtarı:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

• Parametre tipi:

  DWORD

• Parametre adı:

  FullSecureChannelProtection

Olası değerler:

• 1 — zorlama modunu etkinleştirir. DC, güvenlik açığı bulunan bir Netlogon sürümü aracılığıyla yapılan bağlantıları reddedecektir. "Etki alanı denetleyicisi: Güvenlik açığı bulunan Netlogon güvenli kanal bağlantılarına izin ver" politikasına eklenen hesaplar için parametrenin bir etkisi yoktur (aşağıya bakın);

• 0 - bir DC'nin Windows olmayan cihazlardan savunmasız bir Netlogon sürümü kullanan bağlantıları kabul etmesine izin verir (bu seçenek, zorlama aşaması yayınında kullanımdan kaldırılacaktır).

Windows Olmayan Aygıtların Netlogon Kullanarak DC'ye Bağlanmasına Nasıl İzin Verilir?

GPO'da belirli cihazların/hesapların bir DC'ye bağlanmak için savunmasız bir Netlogon sürümünü kullanmasına izin veren özel bir parametre belirdi. Politikanın adı Alan denetleyicisi: Güvenlik açığı bulunan Netlogon güvenli kanal bağlantılarına izin ver'dir ve bunu Bilgisayar Yapılandırması -> Windows Ayarları -> Güvenlik Ayarları -> Yerel İlkeler -> Güvenlik Seçenekleri altında bulabilirsiniz. güçlü>

DC için politikayı etkinleştirin (Varsayılan Etki Alanı Denetleyicisi politika düzeyinde), Güvenliği Tanımla'yı tıklayın ve güvenli olmayan bir Netlogon protokolü kullanmasına izin verilen grubu belirtin (Güvenlik Açığı Bağlantı Oluştur -> İzin ver).