Netlogon の脆弱性発覚！2020年8月のWindows Update適用すべし

2020.09.01
Windows 10 Windows Server
8月, DC, Netlogon, remote protocol, Windows Update, セキュアチャネル, ドメインコントローラ, 脆弱性

1. 本記事について
2. Netlogonの脆弱性について
3. 追記 2020/09/17
- 3.1. Netlogon Remote Protocol (MS-NRPC)
- 3.2. Netlogon セキュアチャネルとは
4. 2020年8月のWindows Update適用すべし
5. 更新履歴
6. 参考URL

本記事について

本記事は、CVE-2020-1472にて報告された、Netlogonの脆弱性について記載したものです。
2020年8月のWindows Updateについては、こちらを参考にしてください。

Netlogonの脆弱性について

Netlogon Remote Protocol (MS-NRPC) を使用してドメインコントローラーの脆弱な Netlogon セキュアチャネル接続を確立する際、特権昇格の脆弱性が存在します。この脆弱性を悪用した場合、アプリケーションをネットワーク上のデバイスで実行できてしまいます。
脆弱性レベル（深刻度レベル）が10と評価されました。十分に警戒してください。

追記 2020/09/17

Secura社が本脆弱性を「Zerologon」と命名しました。理由としては、Netlogonの認証時に、パラメーターに「0」を入れることで、攻撃が可能になります。
攻撃者は脆弱性をつき、どのような攻撃ができるのか、より明確になりました。

ドメインコントローラーの認証フェーズにおいて、ネットワーク上のコンピューターとしてを詐称することが可能
Netlogonの認証プロセスにおけるセキュリティ機能を無効化
ドメインに参加しているすべてのコンピューターとそのパスワードが格納されたデータベース上の、コンピューターのパスワードを変更することが可能

提供：Image: Secura — https://www.secura.com/blog/zero-logon より引用

Netlogon Remote Protocol (MS-NRPC)

Netlogon リモートプロトコル（MS-NRPC）は、ドメイン参加しているデバイスによってローカルで使用されるRPCインターフェイス、ドメインベースのネットワークでユーザーおよびマシンの認証に使用されるRPCインターフェイスです。
Windows 2000バックアップ・ドメイン・コントローラより前のOSでユーザー、アカウント、データベースのレプリケーション（ドメインのメンバーからドメインコントローラーへのドメインの関係、ドメインのドメインコントローラー間の関係、およびドメイン間のドメインコントローラー間の関係維持）の関係性を管理する機能です。

Netlogon セキュアチャネルとは

Active Directory ドメインに参加しているデバイスは、ドメインコントローラーとの間の通信を保護するセキュアチャネルを使用します。認証資格情報などは、セキュアチャネルによって暗号化され、ローカル内部において、安全な状態でネットワークを経由してやりとりされます。セキュアチャネルは下図に説明されている通り、クライアントごとに個別に作成されます。

セキュアチャネルの概要図 — https://social.technet.microsoft.com/Forums/office/ja-JP/88efe577-fff1-4d9c-8618-bf26ac18a941/12489125131245212531123951252512464124581253112391123651239412?forum=Wcsupportja　より引用

ドメインコントローラーとクライアントは互いに、セキュアチャネルを確立るべく「コンピューターアカウントパスワード」を所持しています。このパスワードは、ドメインコントローラ上においてコンピューターアカウントの属性値に、クライアント上では LSA シークレットと呼ばれる領域に格納されています。

クライアントコンピューターの起動後、ログイン時にコンピューターアカウントのパスワードを用いて資格情報を生成し、ドメインコントローラにコンピューター認証要求します。認証に成功すると、認証処理の中で生成されたセッション・キーを使用しクライアントと DC の間にセキュアチャネルが確立されます。

2020年8月のWindows Update適用すべし

さて、今回のNetlogonの脆弱性において、Microsoft 社は、2段階の解決を提示しています。
まず脆弱性の対象は、以下の通りです。

対象

ドメインコントローラ

フォレスト内すべてのドメインコントローラ (RODC 含む)
Windows環境で構築されたドメインコントローラ

メンバーサーバー、ドメインクライアント

サポート対象内の Windows は、既定で Secure RPCを利用可能
追加の作業はないです。
ドメインコントローラが Secure RPC を利用できれば（更新プログラムを適用すれば）、ドメイン参加しているクライアントも自動的に Secure RPC を利用しますが、サポート対象外の Windows を使用している場合、Secure RPCを利用できません。アップグレードしてください。
Windows 以外は、Netlogon 実装が Secure RPC に対応するよう更新する必要があります。詳細は、OS提供元に確認します

1段階目

まず、1段階目は2020年8月のWindows Updateをフォレスト内のすべてのドメインコントローラにて行います。Windows Updateについては、こちらを参考にしてください。
この更新プログラムを適用することで、Windows デバイスでのみ、Netlogon プロトコルへ変更を加え、非準拠のデバイスとの通信のイベントをログに記録し、ドメインに参加しているすべてのデバイスの保護を有効にする機能を追加します。

1.5段階目（任意）

ドメインコントローラにてレジストリを利用することで、すべてのデバイスで保護された通信を行うことが可能です。これはあくまで、2段階目のテスト段階なので、必須ではありません。利用感を確かめるための操作です。
2段階目（2021年2月のWindows Update）で、本設定値は強制的に適用されるので、ご安心ください。