KB5005413: Ограничаване на атаките на релета на NTLM на услугите за сертификати на Active Directory (AD CS)

Първично намаляване

Препоръчваме разрешаване на EPA и забраняване на HTTP на AD CS сървъри. Отворете диспечера Internet Information Services (IIS) и направете следното:

1. Разрешаване на EPA за записване в уеб на сертифициращ орган, задължително е по-защитена и препоръчвана опция:

   

2. Разрешаване на EPA за уеб услуга за записване на сертификати, Задължително е по-защитената и препоръчителна опция:
   
   
   
   След като разрешите EPA в потребителския интерфейс, файлът на Web.config, създаден от CES роля на<%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config, също трябва да се актуализира, като добавите<extendedProtectionPolicy>, зададен със стойност или на WhenSupported, или Винаги в зависимост от опцията Разширена защита, избрана в IIS пия по-горе.

   Забележка: Настройката Винаги се използва, когато потребителският интерфейс е зададен на Задължително, което е препоръчителната и най-защитена опция.

   За повече информация относно наличните опции за extendedProtectionPolicyвж.<транспорт > <основниhttpBinding>. Най-вероятните използвани настройки са следните:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Разрешаване на Изискване на SSL, което ще разреши само HTTPS връзки.
   
   

Допълнително намаляване

В допълнение към основните предпазни мерки ви препоръчваме да забраните удостоверяването на NTLM, когато е възможно. Следните предпазни мерки са изброени по ред от по-защитени до по-малко защитени:

• Забранете NTLM удостоверяването на вашия Windows домейнов контролер. Това може да се постигне, като следвате документацията в мрежовата защита: Ограничаване на NTLM: NTLM удостоверяване в този домейн.

• Забраняване на NTLM на всички AD CS сървъри във вашия домейн с помощта на груповите правила Мрежова защита: Ограничаване на NTLM: Входящ NTLM трафик. За да конфигурирате този GPO, отворете груповите правила и отидете на Компютърна конфигурация –>Windows Настройки -> Защита Настройки -> Локални правила -> Опции за защита и задайте Защита на мрежата: Ограничаване на NTLM: Входящ NTLM трафик за отказване на всички акаунти или отказ на всички акаунти за домейни.  Ако е необходимо, можете да добавите изключения, ако е необходимо, като използвате настройката Мрежова защита: Ограничаване на NTLM: Добавяне на изключения за сървъра в този домейн.

• Забранете NTLM за Internet Information Services (IIS) на AD CS сървъри във вашия домейн, изпълняващи услугите "Записване в уеб на сертифициращ орган" или "Уеб услуга за записване на сертификати".

За да направите това, отворете потребителския интерфейс на IIS Manager, задайте Windows на Negotiate:Kerberos: 

За повече информация вижте Microsoft Security Advisory ADV210003