مایکروسافت به‌تازگی تأیید کرده است که نصب به‌روزرسانی‌های امنیتی اخیر ویندوز، در سیستم‌هایی که قابلیت امنیتی «Administrator protection» در آن‌ها فعال است، می‌تواند منجر به بروز اختلال در برقراری اتصال از طریق پروتکل دسکتاپ از راه دور (Remote Desktop) برای کاربران غیرادمین شود.
ریشه‌یابی فنی اختلال در اتصال RDP
بر اساس مستندات فنی منتشر شده در پاییز ۱۴۰۳، تداخل ایجاد شده مستقیماً به سازوکار احراز هویت در سطوح دسترسی محدود بازمی‌گردد. زمانی که قابلیت Administrator protection (که از ابزارهای امنیتی ویندوز برای مدیریت دسترسی‌های ارشد است) فعال باشد، سیاست‌های امنیتی سیستم‌عامل به گونه‌ای بازتعریف می‌شوند که دسترسی‌های Remote Desktop برای کاربران فاقد امتیازات مدیریتی (Non-admin) مسدود می‌گردد. این موضوع باعث می‌شود که کاربران در هنگام تلاش برای اتصال با خطای احراز هویت یا عدم دسترسی مواجه شوند.
تأثیر «Administrator protection» بر امنیت ویندوز
قابلیت Administrator protection با هدف کاهش سطح حملات سایبری (Attack Surface) طراحی شده است. این ویژگی با اجرای فرآیندها در کانتینرهای امنیتی ایزوله شده، مانع از دسترسی‌های خودکار و بدون نظارت به بخش‌های حساس سیستم می‌شود. با این حال، تغییرات اعمال شده در آپدیت‌های اخیر، توازنی را که مایکروسافت میان امنیت و دسترسی‌های از راه دور برقرار کرده بود، برهم زده است. مهندسان شبکه باید توجه داشته باشند که این مشکل صرفاً یک باگ نرم‌افزاری نیست، بلکه ناشی از سخت‌گیرانه‌تر شدن پالیسی‌های امنیتی در محیط‌های Remote Desktop Services است.
مشخصات فنی و سناریوهای درگیر
- سیستم‌عامل‌های تحت تأثیر: Windows 10, Windows 11 و نسخه‌های سرور مبتنی بر کد پایه جدید.
- علت ریشه‌ای: تضاد میان «Administrator protection» و کنترل دسترسی دسترسی از راه دور.
- وضعیت کاربر: محدود به حساب‌های کاربری بدون دسترسی مدیریتی (Standard Users).
- پروتکل درگیر: RDP (Remote Desktop Protocol).
راهکارهای پیشنهادی و مدیریت پیکربندی
اگر سازمان شما از زیرساخت‌های متمرکز استفاده می‌کند، توصیه می‌شود تا زمان انتشار پچ اصلاحی (Patch) رسمی توسط مایکروسافت، از متدهای زیر برای پایداری سرویس استفاده نمایید:
- بررسی Group Policy: بازبینی پالیسی‌های بخش
Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services. - غیرفعال‌سازی موقت: در صورتی که نیاز فوری به دسترسی وجود دارد، غیرفعال کردن موقت قابلیت Administrator protection در تنظیمات Windows Security پیشنهاد می‌شود (این کار با مسئولیت مدیر شبکه انجام شود).
- استفاده از جایگزین‌های امن: برای محیط‌های حساس، استفاده از پروتکل‌های جایگزین مانند WireGuard به همراه یک کلاینت RDP ایزوله، می‌تواند امنیت زیرساخت را تضمین کند.
نتیجه‌گیری و چشم‌انداز آینده
این رویداد بار دیگر اهمیت تست کردن به‌روزرسانی‌ها در محیط‌های ایزوله (Sandbox) پیش از پیاده‌سازی گسترده در سطح سازمان را برجسته کرد. مدیران شبکه باید در گزارش‌های فنی خود در مهر و آبان ۱۴۰۳، حتماً این تداخل را در فهرست «Known Issues» قرار دهند تا از قطعی‌های ناخواسته جلوگیری شود. مایکروسافت در بیانیه‌های خود وعده داده است که در آپدیت‌های آتی (Cumulative Updates)، سطح دسترسی کاربران استاندارد را در شرایط فعال بودن Administrator protection اصلاح نماید.
