Microsoft ได้เสริมความแข็งแกร่งให้กับมาตรการรักษาความปลอดภัยของ Windows Server อีกครั้ง โดยเปิดตัวแพ็คเกจพื้นฐานที่ได้รับการปรับปรุงใหม่พร้อมทั้งขยายการป้องกันในบริการหลักต่างๆ
ตามรายงานจาก Neowin Microsoft ได้อัปเดตแพ็คเกจพื้นฐานความปลอดภัยสำหรับ Windows Server 2025 โดยแนะนำการควบคุมที่เข้มงวดยิ่งขึ้นซึ่งมุ่งเป้าไปที่สภาพแวดล้อมองค์กรและภาครัฐที่ใช้โครงสร้างพื้นฐาน Microsoft ที่ซับซ้อน
ข้อมูลพื้นฐานด้านความปลอดภัยมี Group Policy Objects (GPO) ที่กำหนดค่าไว้ล่วงหน้า การตั้งค่ารีจิสทรี และการกำหนดค่าความปลอดภัยที่แข็งแกร่งขึ้น ซึ่งองค์กรต่างๆ สามารถปรับใช้เพื่อสร้างมาตรฐานการป้องกันข้ามเซิร์ฟเวอร์
ด้วยเวอร์ชัน 2602 Microsoft ได้เปิดตัวการเปลี่ยนแปลงหลายอย่างที่ออกแบบมาเพื่อลดความเสี่ยงในการเพิ่มระดับสิทธิ์และปิดเวกเตอร์การโจมตีแบบเดิม
หนึ่งในการอัปเดตที่โดดเด่นที่สุดจะปิดใช้งานโหมดคำสั่ง sudo บนเซิร์ฟเวอร์สมาชิก (MS) และตัวควบคุมโดเมน (DC) การย้ายนี้ช่วยลดความเสี่ยงของการเลี่ยงการควบคุมบัญชีผู้ใช้ (UAC) และจำกัดการใช้สิทธิ์ระดับสูงในทางที่ผิด
การป้องกัน ROCA ย้ายไปที่โหมดบล็อก
Microsoft ยังได้เสริมการป้องกันการกลับมาของ Coppersmith’s Attack (ROCA) ซึ่งเป็นช่องโหว่ในการเข้ารหัสที่ส่งผลต่อคีย์ RSA บางตัว
ขณะนี้การตรวจสอบความถูกต้องของคีย์ Windows Hello for Business ที่มีช่องโหว่ ROCA ทำงานในโหมดบล็อกบนตัวควบคุมโดเมน การเปลี่ยนแปลงนี้จะป้องกันการใช้คีย์การตรวจสอบสิทธิ์ที่อาจถูกบุกรุก แทนที่จะตรวจสอบเพียงคีย์เหล่านั้น
ปิดใช้งานการทำงานอัตโนมัติของ Internet Explorer
ส่วนประกอบแบบเดิมยังคงได้รับความสนใจ การเปิดตัว Internet Explorer 11 ผ่านทางระบบอัตโนมัติของ COM ถูกปิดใช้งานเนื่องจากข้อกังวลด้านความปลอดภัยที่กำลังดำเนินอยู่
ในเวลาเดียวกัน การแท็ก Mark of the Web (MotW) ใช้กับไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ตหรือแหล่งอื่นๆ ที่ไม่น่าเชื่อถือ MotW เปิดใช้งานการป้องกันในตัว เช่น การกรอง SmartScreen และการบล็อกแมโครอัตโนมัติในแอปพลิเคชัน Microsoft Office
ขยายการตรวจสอบ NTLM และการทำให้ RPC แข็งแกร่งขึ้น
Microsoft ได้ปรับปรุงการมองเห็นและการควบคุมการรับรองความถูกต้องของ NTLM ทั่วทั้งโดเมน
ตรวจสอบการรับส่งข้อมูล NTLM ขาเข้าในขณะนี้เปิดใช้งานการตรวจสอบสำหรับบัญชีทั้งหมดบนเซิร์ฟเวอร์สมาชิกและตัวควบคุมโดเมน ตัวควบคุมโดเมนยังบังคับใช้การตรวจสอบการรับรองความถูกต้องของ NTLM เต็มรูปแบบ ในขณะที่การรับส่งข้อมูล NTLM ขาออกไปยังเซิร์ฟเวอร์ระยะไกลได้รับการตั้งค่าให้ตรวจสอบกิจกรรมทั้งหมด
มาตรการเหล่านี้ช่วยให้ผู้ดูแลระบบมีข้อมูลเชิงลึกที่ชัดเจนยิ่งขึ้นเกี่ยวกับการใช้การรับรองความถูกต้องแบบเดิม เนื่องจาก Microsoft ยังคงผลักดันองค์กรต่างๆ ไปสู่ทางเลือกที่ทันสมัย
การตั้งค่า Remote Procedure Call (RPC) ก็ถูกทำให้รัดกุมเช่นกัน การเชื่อมต่อถูกบังคับใช้ผ่าน RPC ผ่าน TCP โดยเปิดใช้งานการรับรองความถูกต้อง ในขณะที่ผู้ฟัง RPC บนเซิร์ฟเวอร์สมาชิกใช้ Kerberos บน TCP
ตัวจัดคิวงานพิมพ์และการปรับเปลี่ยนนโยบาย
ขณะนี้นโยบาย Print Spooler อนุญาตให้มีการเลียนแบบไคลเอ็นต์อย่างปลอดภัยโดยใช้ RESTRICTED SERVICES\PrintSpoolerService ซึ่งจัดการข้อกังวลด้านความปลอดภัยโดยไม่ต้องปิดใช้งานบริการการพิมพ์ที่จำเป็น
Microsoft ยังได้ลบนโยบายที่ป้องกันไม่ให้ดาวน์โหลดสิ่งที่แนบมาด้วย โดยสังเกตว่าใช้ไม่ได้กับ Windows Server 2025
นอกจากนี้ บริษัทยังได้แบ่งปันคำแนะนำเกี่ยวกับการหมดอายุของใบรับรอง Secure Boot และการทำให้เซิร์ฟเวอร์ SMB แข็งแกร่งขึ้น ซึ่งตอกย้ำกลยุทธ์การรักษาความปลอดภัยของแพลตฟอร์มที่กว้างขึ้น
การเปลี่ยนแปลงเหล่านี้เป็นไปตามการบังคับใช้ TLS 1.2 สำหรับ Azure Blob Storage ล่าสุดของ Microsoft ซึ่งเป็นส่วนหนึ่งของความพยายามที่กว้างขึ้นในการยุติมาตรฐานการเข้ารหัสที่ล้าสมัย
นอกจากนี้ Microsoft ได้ขยายโปรแกรม Windows 10 Extended Security Updates ให้รวม LTSB และเซิร์ฟเวอร์บางรุ่น บริษัทยังได้แนะนำการรองรับลายนิ้วมืออุปกรณ์ต่อพ่วงสำหรับการลงชื่อเข้าใช้ Windows Hello ที่ได้รับการปรับปรุงผ่านการอัปเดต KB5077230 ซึ่งช่วยเพิ่มความแข็งแกร่งให้กับการตรวจสอบสิทธิ์ระดับอุปกรณ์
ด้วยการปรับปรุงพื้นฐาน Windows Server 2025 Microsoft ยังคงปรับปรุงค่าเริ่มต้นการรักษาความปลอดภัยขององค์กรให้เข้มงวดมากขึ้น ในขณะที่องค์กรต่างๆ เตรียมพร้อมสำหรับภูมิทัศน์ภัยคุกคามที่ซับซ้อนมากขึ้น
*️⃣ ลิงค์ที่มา:
Neowin การบังคับใช้ TLS 1.2 สำหรับ Azure Blob Storage ได้ขยายโปรแกรม Windows 10 Extended Security Updates การปรับปรุงการลงชื่อเข้าใช้ Windows Hello ผ่านการอัปเดต KB5077230