CVE-2022-26923

IMMEDIATE ACTIONS:

1. Apply Microsoft security patches (May 2022 or later) to all Active Directory Certificate Services servers immediately

2. Audit all issued certificates from AD CS for suspicious issuance patterns, particularly for computer accounts

3. Review and restrict permissions on computer account creation and management

4. Monitor for exploitation attempts using Windows Event Viewer (Event ID 4887 for certificate requests)



PATCHING GUIDANCE:

1. Prioritize patching AD CS servers in production environments

2. Test patches in non-production environments first

3. Implement phased rollout to minimize service disruption

4. Verify certificate revocation list (CRL) functionality post-patching



COMPENSATING CONTROLS (if immediate patching not possible):

1. Implement strict access controls on certificate enrollment permissions

2. Disable certificate auto-enrollment where not required

3. Monitor certificate requests and issuance in real-time

4. Implement multi-factor authentication for privileged accounts

5. Restrict computer account creation to authorized administrators only



DETECTION RULES:

1. Monitor Event ID 4887 (Certificate Services received a certificate request) for anomalies

2. Alert on certificate requests from unexpected computer accounts

3. Track modifications to computer account attributes (servicePrincipalName, userAccountControl)

4. Monitor for SYSTEM-level process execution from non-system accounts

5. Implement YARA rules for known exploitation tools (Certipy, Certify)

الإجراءات الفورية:

1. تطبيق تصحيحات Microsoft الأمنية (مايو 2022 أو أحدث) على جميع خوادم خدمات شهادات Active Directory فوراً

2. تدقيق جميع الشهادات الصادرة من AD CS للتحقق من أنماط الإصدار المريبة

3. مراجعة وتقييد الأذونات على إنشاء حسابات الكمبيوتر

4. مراقبة محاولات الاستغلال باستخدام Windows Event Viewer (معرّف الحدث 4887)



إرشادات التصحيح:

1. إعطاء الأولوية لتصحيح خوادم AD CS في بيئات الإنتاج

2. اختبار التصحيحات في بيئات غير الإنتاج أولاً

3. تنفيذ طرح مرحلي لتقليل انقطاع الخدمة

4. التحقق من وظيفة قائمة إلغاء الشهادات بعد التصحيح



الضوابط البديلة:

1. تنفيذ ضوابط وصول صارمة على أذونات تسجيل الشهادات

2. تعطيل التسجيل التلقائي للشهادات حيث لا يكون مطلوباً

3. مراقبة طلبات الشهادات والإصدار في الوقت الفعلي

4. تنفيذ المصادقة متعددة العوامل للحسابات المميزة

5. تقييد إنشاء حسابات الكمبيوتر للمسؤولين المصرحين فقط



قواعد الكشف:

1. مراقبة معرّف الحدث 4887 للشذوذ

2. التنبيه على طلبات الشهادات من حسابات كمبيوتر غير متوقعة

3. تتبع تعديلات خصائص حسابات الكمبيوتر

4. مراقبة تنفيذ العمليات على مستوى SYSTEM من حسابات غير النظام

5. تنفيذ قواعد YARA لأدوات الاستغلال المعروفة