Ocena zabezpieczeń: odwracalne hasła znalezione w obiektach zasad grupy
To zalecenie dotyczące stanu zawiera listę wszystkich obiektów zasad grupy w środowisku zawierających dane haseł.
Dlaczego obiekty zasad grupy zawierające dane haseł mogą stanowić zagrożenie?
zasady grupy Preferencje (GPP) wcześniej zezwalał administratorom na uwzględnianie osadzonych poświadczeń w zasadach domeny. Jednak ta funkcja została usunięta wraz z wydaniem ms14-025 ze względu na obawy dotyczące zabezpieczeń związane z niezabezpieczonym przechowywaniem haseł. Jednak pliki zawierające te poświadczenia mogą nadal znajdować się w folderze SYSVOL, co oznacza, że każdy użytkownik domeny może uzyskać dostęp do plików i odszyfrować hasło przy użyciu publicznie dostępnego klucza AES.
Aby zapobiec potencjalnemu wykorzystywaniu przez przeciwników, zaleca się usunięcie wszelkich istniejących preferencji zawierających osadzone poświadczenia.
Kroki korygowania
Aby usunąć preferencje zawierające dane haseł, użyj konsoli zarządzania zasady grupy (GPMC) na kontrolerze domeny lub z klienta z zainstalowanymi narzędziami administracji zdalnej serwera (RSAT). Możesz usunąć wszelkie preferencje, wykonując następujące kroki:
W kontrolerze zasad grupy otwórz zasady grupy zgłoszone na karcie Uwidocznione jednostki.
Przejdź do konfiguracji preferencji zawierającej dane hasła i usuń obiekt. Kliknij przycisk Zastosuj i OK , aby zapisać zmiany.
Przykład:
Poczekaj na cykl odświeżania zasady grupy, aby zezwolić na propagację zmian do klientów (zwykle do 120 minut).
Po zastosowaniu zmian do wszystkich klientów usuń preferencję.
Powtórz kroki od 1 do 5 zgodnie z potrzebami, aby wyczyścić całe środowisko.