KB5040268：如何管理与 CVE-2024-3596 关联的访问请求数据包攻击漏洞

Access-Request 数据包已删除，因为它包含 Proxy-State 属性，但缺少 Message-Authenticator 属性。 请考虑更改 RADIUS 客户端以包括 Message-Authenticator 属性。 或者，使用 limitProxyState 配置为 RADIUS 客户端添加异常。

事件日志	系统
事件类型	错误
事件源	NPS
事件 ID	4418
事件文本	从包含 Proxy-State 属性的 RADIUS 客户端 <ip/name> 接收到 Access-Request 消息，但它未包含 Message-Authenticator 属性。 因此，已删除该请求。 出于安全考虑，Message-Authenticator 属性是必需的。 请参阅 https://support.microsoft.com/help/5040268 了解详细信息。

这是没有 Message-Authenticator 属性且存在 Proxy-State 的 Access-Request 数据包的 审核事件。 请考虑更改 RADIUS 客户端以包括 Message-Authenticator 属性。 启用 limitproxystate 配置后，将删除 RADIUS 数据包。

事件日志	系统
事件类型	警告
事件源	NPS
事件 ID	4419
事件文本	从包含 Proxy-State 属性的 RADIUS 客户端 <ip/name> 接收到 Access-Request 消息，但它未包含 Message-Authenticator 属性。 当前允许请求，因为 limitProxyState 是在审核模式下进行配置。 请参阅 https://support.microsoft.com/help/5040268 了解详细信息。

这是收到的 RADIUS 响应数据包的审核事件，代理中没有 Message-Authenticator 属性。 请考虑更改 Message-Authenticator 属性的指定 RADIUS 服务器。 启用 requiremsgauth 配置后，将删除 RADIUS 数据包。

事件日志	系统
事件类型	警告
事件源	NPS
事件 ID	4420
事件文本	RADIUS 代理从缺少 Message-Authenticator 属性的服务器 <ip/name> 收到响应。 当前允许响应，因为 requireMsgAuth 是在审核模式下进行配置。 请参阅 https://support.microsoft.com/help/5040268 了解详细信息。

如果未配置建议的设置，则在服务启动期间记录此事件。 如果 RADIUS 网络不安全，请考虑启用设置。 对于安全网络，可以忽略这些事件。

事件日志	系统
事件类型	警告
事件源	NPS
事件 ID	4421
事件文本	RequireMsgAuth 和/或 limitProxyState 配置处于 <Disable/Audit> 模式。 出于安全目的，应在“启用”模式下配置这些设置。 请参阅 https://support.microsoft.com/help/5040268 了解详细信息。

此配置使 NPS 代理能够开始在所有 Access-Request 数据包中发送 Message-Authenticator 属性。 若要启用此配置，请使用以下方法之一。

方法 1：使用 NPS Microsoft 管理控制台 (MMC)

若要使用 NPS MMC，请执行以下步骤：

1. 打开服务器上的 NPS 用户界面 (UI)。

2. 打开远程 Radius 服务器组。

3. 选择 Radius 服务器。

4. 转到“身份验证/记帐”。

5. 单击以选择“请求必须包含 Message-Authenticator 属性”复选框。

方法 2：使用 netsh 命令

若要使用 netsh，请运行以下命令：

有关详细信息，请参阅 远程 RADIUS 服务器组命令。

此配置需要所有 Access-Request 数据包中的 Message-Authenticator 属性，如果不存在，则删除数据包。

方法 1：使用 NPS Microsoft 管理控制台 (MMC)

若要使用 NPS MMC，请执行以下步骤：

1. 打开服务器上的 NPS 用户界面 (UI)。

2. 打开 Radius 客户端。

3. 选择 Radius 客户端。

4. 转到 高级设置。

5. 单击此项可选中“访问请求消息必须包含消息验证器属性”复选框。

有关详细信息，请参阅 配置 RADIUS 客户端。

方法 2：使用 netsh 命令

若要使用 netsh，请运行以下命令：

有关详细信息，请参阅 远程 RADIUS 服务器组命令。

此配置使 NPS 服务器能够删除可能易受攻击 Access-Request 数据包，这些数据包包含 Proxy-State 属性，但不包括 Message-Authenticator 属性。 此配置支持三种模式：

• 审核

• 启用

• 禁用

在 审核 模式下，记录警告事件（事件 ID： 4419），但仍会处理该请求。 使用此模式标识发送请求的不符合实体。

使用 netsh 命令根据需要配置、启用和添加异常。

1. 若要在 审核 模式下配置客户端，请运行以下命令：

   netsh nps set limitproxystate all = “审核”

2. 若要在“启用”模式下配置客户端，请运行以下命令：

   netsh nps set limitproxystate all = “启用” 

3. 若要添加异常以从 limitProxystate 验证中排除客户端，请运行以下命令：

   netsh nps set limitproxystate name = <客户端名称>异常 = “Yes” 

此配置使 NPS 代理可以删除没有 Message-Authenticator 属性的潜在易受攻击的响应消息。 此配置支持三种模式：

• 审核

• 启用

• 禁用

在 审核 模式下，记录警告事件（事件 ID： 4420），但仍会处理该请求。 使用此模式标识发送响应的不符合实体。

使用 netsh 命令根据需要配置、启用和添加异常。

1. 若要在 审核 模式下配置服务器，请运行以下命令：

   netsh nps set requiremsgauth all = "audit"

2. 若要为所有服务器启用配置，请运行以下命令：

   netsh nps set requiremsgauth all = "enable"

3. 若要添加异常以从 requireauthmsg 验证中排除服务器，请运行以下命令：

   netsh nps set requiremsgauth remoteservergroup = <远程服务器组名称> 地址 = <服务器地址> 异常 = “yes”

检查相关事件的 NPS 模块事件。 请考虑为受影响的客户端/服务器添加异常或配置调整。

否，本文中讨论的配置建议用于不安全的网络。 

本文中提到的第三方产品由 Microsoft 以外的其他公司提供。 对于这些产品的性能或可靠性，我们不作任何暗示保证或其他形式的保证

我们提供了第三方联系信息，以便你寻求技术支持。 该联系信息如有更改，恕不另行通知。 我们不保证此第三方联系信息的准确性。