technion/disablesmbcompressionCVE-2020-0796 脆弱性緩和 - Active Directory 管理用テンプレート
CVE-2020-0796 脆弱性の緩和策 - Active Directory 管理用テンプレート
新しい SMB3 の脆弱性について私たちが知っている限りでは、SMB3 サーバー向けに以下の緩和策が提供されています。
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force
このリポジトリには、この設定への使いやすいインターフェースを提供する ADMX テンプレートが含まれています。これにより、提供された緩和策を簡単に大規模展開でき、必要に応じて簡単にロールバックできます。
新しい admx ファイルをインストールする方法については、Microsoft のガイドを参照してください: https://support.microsoft.com/en-au/help/3087759/how-to-create-and-manage-the-central-store-for-group-policy-administra
[Administrative Templates] の下にある、新しい [SMB Compression Support] 設定を以下のように見つけます。
Windows 10 以外のマシンに展開する前に、慎重に検討することをお勧めします。Windows 2016 Server は脆弱ではなく、Windows 2019 の SAC ビルド（Server Core のみ）だけが脆弱と見なされています。S2D などのサーバーロールに対するこの設定の影響については、ほとんど（まったく）QA が行われていません。いつものように、大規模な展開の前に、まず小規模なグループでテストしてください。
実際には、ほとんどの環境で SMB 圧縮が実行されていないようです。ただし、これがご自身に適しているかどうかを検討してください。
「緩和策」と説明されているものは、完全な修正と見なすべきではありません。パッチが公開され次第、必ず適用してください。この変更によりローカル SMB サーバーでの圧縮が無効になりますが、Microsoft のガイドでは、これが依然としてクライアントへの攻撃に悪用される可能性があることが示唆されています。詳細については、Microsoft のガイダンスを参照してください。