Kerberos'ta yaklaşan değişiklikler: Nasıl planlanmalı ve uygulanmalı?
Kerberos, Windows Server 2000'den bu yana Active Directory (AD) ortamlarında varsayılan kimlik doğrulama protokolü olmuştur. Kerberos, eski NTLM protokolünden çok daha güvenli olsa da kurşun geçirmez değildir. Gerçekten de, Kerberos dünya çapında pek çok BT ortamına erişimi kontrol ettiğinden, rakipler sürekli olarak onu kötüye kullanmanın yollarını arıyor ve buluyor. Buna göre, BT uzmanlarının güvenlik ihlali riskini azaltabilecek bilinen açıklardan yararlanma ve hafifletme önlemleri hakkında bilgi sahibi olmaları gerekir.
Şu anda bu, bir saldırganın ayrıcalıklarını yükseltmesine olanak verebilecek kritik Kerberos güvenlik açıklarını (CVE-2022-37966 ve CVE-2022-37967) ele alan 8 Kasım 2022 tarihli Windows güncellemelerine dikkat etmek anlamına geliyor. Microsoft, bu güncelleştirmelerin etki alanı denetleyicileri de dahil olmak üzere tüm cihazlara KB5021131 ve KB5020805'te açıklandığı şekilde yüklenmesini önerir.
Ancak Kasım ayı güncellemelerinin yüklenmesi, kimlik doğrulama sorunlarına, kullanıcı oturum açma hatasına, kullanıcıların paylaşılan klasörlere erişememesine ve diğer sorunlara neden oldu. Ayrıca, güvenlik açıklarının tamamen azaltılması, kuruluş yan etkileri gidermek için gerekli adımları atmadığı sürece Kerberos kimlik doğrulamasını bozacaktır. Buna göre Microsoft, önümüzdeki aylarda işinizi aksatmadan Kerberos kimlik doğrulamasını güvence altına almanıza yardımcı olacak bir dizi güvenlik güncelleştirmesi planlıyor.
Bu blog gönderisi, bu Kerberos güvenlik açıklarını gidermek için 8 Kasım güncellemelerinin dağıtılması ve Kerberos sağlamlaştırma sürecini tamamlayan gelecek güncellemelerin nasıl planlanacağı konusunda rehberlik sunmaktadır.
CVE-2022-37966'nın hafifletilmesi
KB5021131, CVE-2022-37966 ile ilgili Kerberos protokolü değişikliklerinin nasıl yönetileceğini ayrıntılarıyla anlatır. Orada ayrıntılı olarak açıklanan tüm adımları uygulamanızı öneririm. İkisine daha derinlemesine bakalım.
Etkilenen sistemleri belirleme
Kasım ayı güvenlik güncellemelerini alan denetleyicilerinize yükledikten sonra kimlik doğrulama hatalarıyla karşılaşabilirsiniz. Ayrıca kullanıcı hesaplarındaki şifreleme düzeyini AES yerine DES/RC4 olarak ayarladıysanız da tetiklenirler.
Etkilenebilecek sistemleri belirlemek için aşağıdaki PowerShell betiğini çalıştırın:
Get-ADObject -Filtre “msDS-supportedEncryptionTypes -bor 0x7 -ve -not msDS-supportedEncryptionTypes -bor 0x18”
KRBTGT hesabının şifresini sıfırlama
Diğer bir adım KRBTGT hesabının şifresinin sıfırlanmasını içerir. Altın Bilet saldırılarının Kerberos protokolündeki bir güvenlik açığından yararlandığını muhtemelen biliyorsunuzdur; KRBTGT hesabının şifre karma değeriyle şifrelenen herhangi bir bilet veren biletin (TGT) meşru olduğu varsayımı. Sonuç olarak, KRBTGT hesabınızın parola karmasını çalan bir saldırgan, kendisine ağınıza tam erişim izni verebilir.
Bu nedenle, eğer bir izinsiz giriş yaşadıysanız veya hatta buna sahip olduğunuzdan şüpheleniyorsanız, ağ stabil hale geldikten sonra bu şifreyi hemen değiştirmek isteyeceksiniz. Saldırı geçirmemiş olsanız bile yılda en az iki kez değiştirmelisiniz.
Ancak Kasım güvenlik güncelleştirmesini yükledikten sonra, KRBTGT hesabının parolasını değiştirmek için başka bir nedeniniz daha olur: AD Etki Alanı İşlevsel Düzeyini (DFL) Windows Server 2008 veya daha yüksek bir sürüme yükselttiğinizden beri bu parolayı sıfırlamadıysanız veya DFL'niz hala çalışıyorsa Windows Server 2003'te, sistem günlüklerinizde Olay Kimliği 42 hatalarını göreceksiniz.
Microsoft, KRBTGT parolasını sıfırlayan bir PowerShell betiği sağlar. Ancak bu betiği çalıştırmak için Server 2008 veya daha yüksek bir DFL'de olmanız gerekir. Hangi DFL'de olduğunuzu kontrol etmek için yükseltilmiş bir PowerShell isteminden aşağıdaki komutu çalıştırın:
Get-ADDomain | fl Adı, Etki AlanıModu
Halen daha eski bir seviyedeyseniz, en azından Server 2008'e geçip geçemeyeceğinizi araştırmanız akıllıca olacaktır. Ayrıca, etki alanı denetleyicilerinizi Windows Server 2019 veya 2022'ye taşımadıysanız, neyin saklandığını gözden geçirmeniz gerekir. yükseltmeden kurtulursunuz.
CVE-2022-37967'nin hafifletilmesi
8 Kasım 2022 güncellemeleri
Kasım güncellemeleri ayrıca CVE-2022-37967 için bir yama da içeriyor. KB5020805, bu güvenlik açığıyla ilgili Kerberos protokolü değişikliklerinin nasıl yönetileceğini ayrıntılı olarak açıklamaktadır ve orada sağlanan adımları incelemenizi önemle tavsiye ederim.
Düzeltme eki, Kerberos PAC arabelleğine Ayrıcalıklı Öznitelik Sertifikası (PAC) imzaları ekler. PAC, kullanıcının ayrıcalıkları hakkında bilgi içeren Kerberos biletinin bir uzantısıdır. Bu bilgiler, bir kullanıcı Active Directory etki alanında kimlik doğrulaması yaptığında etki alanı denetleyicisi tarafından Kerberos biletlerine eklenir. Kullanıcı daha sonra diğer sistemlerde kimlik doğrulaması yapmak için Kerberos biletini kullandığında, PAC okunabilir ve bu bilgileri sorgulamak için etki alanı denetleyicisine ulaşmadan ayrıcalık düzeylerini belirlemek için kullanılabilir.
PAC'ler çok hassas bilgiler içerir ve bu nedenle yıllar boyunca birçok Active Directory saldırı tekniğinin hedefi olmuştur. Sonuç olarak Microsoft, özellikle ek koruma ve doğrulama ekliyor.
Sander Berkouwer, bu güncellemeleri tüm etki alanı denetleyicilerinize uyguladıktan sonra, PAC imzalarının eksik olduğu veya doğrulama işlemi başarısız olan PAC imzalarının bulunduğu alanları belirlemeye çalışmanızı önerir. Bunu yapmak için aşağıdaki PowerShell komutunu çalıştırarak Denetim modunu etkinleştirin:
New-ItemProperty -Yol “HKLM:\System\CurrentControlSet\Services\KDC” -Ad KrbtgtFullPacSignature -Değer 2 -PropertyType DWORD -Force
Ardından şöyle diyor: "Kerberos ve Netlogon protokolü değişiklikleriyle ilgili sorunları belirlemek için etki alanı denetleyicilerindeki Sistem günlüklerini izleyin. ”
Kasım güncellemesi, Kerberos için ek güvenlik önlemlerinin uygulamaya konulması sürecindeki ilk adımdır. İmzaları Kerberos PAC arabelleğine ekler ancak kimlik doğrulama sırasında imzaları denetlemez. Bu nedenle, güvenli mod bu başlangıç dönemi için devre dışı bırakılır; çünkü Microsoft, kuruluşlar yan etkileri azaltmak için adımlar atmadığı takdirde kimlik doğrulamanın bozulacağını bilir.
Buna göre Microsoft, ek Kerberos sağlamlaştırması sağlamak için önümüzdeki birkaç ay içinde güncellemeler yayınlayacak. Planlanan değişikliklerin zaman çizelgesini ve bunların sizi nasıl etkileyeceğini inceleyelim.
13 Aralık 2022 güncellemeleri
Aralık ayı güvenlik sürümleri, PAC yaptırımını etkinleştirmenin etkisini inceleyebilmeniz için tüm etki alanı denetleyicilerini Denetim moduna geçirecektir.
Zorunluluk moduna geçmeden önce etki alanı işlev düzeyinin 2008 veya daha yüksek bir değere ayarlandığından emin olun. KB şu uyarıda bulunuyor: "2003 etki alanı işlevsel düzeyindeki etki alanlarıyla Zorunluluk moduna geçmek, kimlik doğrulama hatalarına neden olabilir. ”
Aşağıdakilere dikkat ettiğinizden emin olun:
- Alan adınız tam olarak güncellenmediyse veya önceden kesilmiş, ödenmemiş hizmet biletleri alan adınızda hâlâ mevcutsa, denetim etkinlikleri görünecektir.
- Eksik PAC imzalarını veya mevcut PAC imzalarının doğrulama hatalarını gösteren olayları izlemeye devam edin.
- Etki alanının tamamı güncellendikten ve bekleyen tüm biletlerin süresi dolduktan sonra denetim etkinlikleri artık görünmemelidir. Daha sonra hiçbir hata olmadan Uygulama moduna geçebilmelisiniz.
11 Nisan 2023 güncellemeleri
Bu güncellemeler, PAC imzalarını devre dışı bırakma özelliğini ortadan kaldıracak ve KrbtgtFullPacSignature kayıt anahtarını ekleyecektir.
11 Temmuz 2023 güncellemeleri
Gelecek Temmuz ayındaki güncelleme, KrbtgtFullPacSignature kayıt defteri anahtarını değiştirecek: Değeri 1 olarak ayarlama ve Uygulama moduna (3 değeri) geçme özelliğini kaldıracak. Ancak yine de bu değeri geçersiz kılabilirsiniz.
10 Ekim 2023 güncellemeleri
Ekim güncellemeleri, PAC imzası uygulamasını devre dışı bırakma özelliğini ortadan kaldıracak. PAC imzası olmayan tüm hizmet biletlerinin kimlik doğrulaması reddedilecektir.
Çözüm
Kerberos kimlik doğrulamasının güvenliği herhangi bir Active Directory ortamı için hayati öneme sahiptir. Burada açıklanan etki azaltma önlemleri konusunda proaktif davranarak alanınızı ve işletmenizi riske sokan kritik Kerberos güvenlik açıklarını giderebilirsiniz.