Gruppo di sicurezza Utenti protetti

Utenti protetti è un gruppo di sicurezza globale per Active Directory (AD) progettato per la protezione dagli attacchi di furto di credenziali. Il gruppo attiva la protezione non configurabile nei dispositivi e nei computer host per impedire che le credenziali vengano memorizzate nella cache quando i membri del gruppo accedono.

Prerequisiti

Il sistema deve soddisfare i prerequisiti seguenti prima di poter distribuire un gruppo Utenti protetti:

• Negli host, deve essere in esecuzione uno dei sistemi operativi seguenti:

  • Windows 8.1 o versioni successive
  • Windows Server 2012 R2 o versione successiva con gli aggiornamenti della sicurezza più recenti installati

• Il livello di funzionalità del dominio deve essere impostato su Windows Server 2012 R2 o versione successiva. Per maggiori informazioni sui livelli di funzionalità, consultare la sezione Livelli di funzionalità della foresta e del dominio.

• Le appartenenze ai gruppi di sicurezza globali Utenti protetti limitano i membri all'uso solo di Advanced Encryption Standards (AES) per Kerberos. I membri del gruppo Utenti protetti devono essere in grado di eseguire l'autenticazione tramite AES.

Protezioni applicate da Active Directory

Diventare un membro del gruppo Utenti protetti significa che ACTIVE Directory applica automaticamente determinati controlli preconfigurati che gli utenti non potranno modificare a meno che non siano membri del gruppo.

Protezioni dei dispositivi per gli utenti protetti connessi

Quando l'utente che ha eseguito l'accesso è membro del gruppo Utenti protetti, il gruppo fornisce le seguenti protezioni:

• La delega delle credenziali (CredSSP) non memorizza nella cache le credenziali in testo normale dell'utente anche quando l'utente abilita l'impostazione dei criteri di gruppo Consenti delega credenziali predefinite.

• Per Windows 8.1 e versioni successive e Windows Server 2012 R2 e versioni successive, Digest di Windows non memorizza nella cache le credenziali in testo non crittografato dell'utente anche quando è stato abilitato Windows Digest.

• NTLM interrompe la memorizzazione nella cache delle credenziali in testo non crittografato dell'utente o della funzione unidirezionale NT (NTOWF).

• Kerberos interrompe la creazione di chiavi DES (Data Encryption Standard) o RC4. Kerberos non memorizza nella cache anche le credenziali di testo non crittografato o le chiavi a lungo termine dell'utente dopo l'acquisizione del ticket di concessione ticket iniziale (TGT).

• Il sistema non crea un verificatore memorizzato nella cache all'accesso o allo sblocco dell'utente, quindi i sistemi membri non supportano più l'accesso offline.

Dopo aver aggiunto un nuovo account utente al gruppo Utenti protetti, queste protezioni verranno attivate quando il nuovo utente protetto accede al proprio dispositivo.

Protezioni dei controller di dominio per gli utenti protetti

Gli account utente protetti che eseguono l'autenticazione in un dominio che esegue Windows Server 2012 R2 o versione successiva non sono in grado di eseguire le operazioni seguenti:

• Usare l'autenticazione NTLM.

• Usare i tipi di crittografia DES o RC4 nella preautenticazione Kerberos.

• Usare delega vincolata o non vincolata.

• Rinnovare i ticket di concessione ticket di Kerberos oltre la durata iniziale di quattro ore.

Al gruppo di tenti protetti si applicano le impostazioni non configurabili relative alla scadenza dei ticket di concessione ticket vengono stabilite per ciascun account membro. In genere, il controller di dominio imposta la durata e il rinnovo TGT in base ai due criteri di dominio seguenti:

• Durata massima ticket utente
• Durata massima rinnovo ticket utente

Per i membri utenti protetti, il gruppo imposta automaticamente questi limiti di durata su 600 minuti. L'utente non può modificare questo limite a meno che non lasci il gruppo.

Funzionamento del gruppo Utenti protetti

È possibile aggiungere utenti al gruppo Utenti protetti usando i metodi seguenti:

• Strumenti dell'interfaccia utente, ad esempio Active Directory Administrative Center (ADAC) o Utenti e computer di Active Directory.
• Strumento da riga di comando, ad esempio PowerShell.
• Con PowerShell, usando il cmdlet Add-ADGroupMember .

I membri del gruppo Utenti protetti possono solo eseguire l'autenticazione tramite Kerberos con crittografia AES (Advanced Encryption Standards). Questo metodo richiede le chiavi AES per l'account in Active Directory. L'amministratore predefinito non dispone di una chiave AES, a meno che non venga modificata la password per il dominio che esegue Windows Server 2008 o versioni successive. Qualsiasi account con la password modificata da un controller di dominio che esegue una versione precedente di Windows Server non è bloccato dall'autenticazione.

Per evitare blocchi e chiavi AES mancanti, è consigliabile seguire queste linee guida:

• Non eseguire test nei domini a meno che tutti i controller di dominio non eseguano Windows Server 2008 o versione successiva.

• Se è stata eseguita la migrazione di account da altri domini, è necessario reimpostare la password in modo che gli account abbiano hash AES. In caso contrario, questi account diventano in grado di eseguire l'autenticazione.

• Gli utenti devono modificare le password dopo il passaggio al livello di funzionalità del dominio di Windows Server 2008 o versione successiva. In questo modo, gli hash delle password AES vengono visualizzati quando diventano membri del gruppo Utenti protetti.

Aggiunta di un gruppo di sicurezza globale Utente protetto ai domini di livello inferiore

I controller di dominio che eseguono un sistema operativo precedente a Windows Server 2012 R2 supportano l'aggiunta di membri al nuovo gruppo di sicurezza Utenti protetti. In questo modo, questi membri possono trarre vantaggio dalle protezioni dei dispositivi prima di aggiornare il dominio.

Per creare un gruppo Utenti protetti in un controller di dominio che esegue una versione precedente di Windows Server:

1. Trasferire il ruolo dell'emulatore PDC in un controller di dominio che esegue Windows Server 2012 R2.

2. Replicare l'oggetto gruppo negli altri controller di dominio.

Successivamente, gli utenti possono trarre vantaggio dalle protezioni dei dispositivi prima di aggiornare il dominio.

Proprietà Active Directory del gruppo Utenti protetti

La seguente tabella specifica le proprietà Active Directory del gruppo Utenti protetti.

Registri eventi

Sono disponibili due registri amministrativi per la risoluzione dei problemi relativi agli eventi correlati a Utenti protetti. Questi nuovi registri si trovano nel Visualizzatore eventi e sono disabilitati per impostazione predefinita. Sono disponibili nel percorso Registri applicazioni e servizi\Microsoft\Windows\Microsoft\Autenticazione.

Per abilitare l'acquisizione di questi log:

1. Fare clic con il pulsante destro del mouse su Start, quindi selezionare Visualizzatore eventi.

2. Aprire Registri applicazioni e servizi\Microsoft\Windows\Authentication.

3. Per ogni log che si desidera abilitare, fare clic con il pulsante destro del mouse sul nome del log, quindi scegliere Abilita log.

Risorse aggiuntive

• Protezione e gestione delle credenziali

• Criteri di autenticazione e silo di criteri di autenticazione

• Come configurare gli account protetti