KB5005413: Abwehr von NTLM-Relayangriffen auf Active Directory-Zertifikatdienste (AD CS)

Primäre Entschärfung

Es wird empfohlen, EPA zu aktivieren und HTTP auf AD CS-Servern zu deaktivieren. Öffnen Sie den Internetinformationsdienste-Manager (IIS), und gehen Sie wie folgt vor:

1. Aktivieren Sie EPA für die Webregistrierung der Zertifizierungsstelle. Erforderlich ist die sicherere und empfohlene Option:

   

2. Aktivieren Sie EPA für den Zertifikatregistrierungswebdienst. Erforderlich ist die sicherere und empfohlene Option:
   
   
   
   Nach dem Aktivieren von EPA auf der Benutzeroberfläche sollte die von der CES-Rolle unter <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config erstellte Web.config Datei aktualisiert werden, indem <extendedProtectionPolicy-> mit dem Wert "WhenSupported" oder " Immer abhängig von der option Erweiterter Schutz " hinzugefügt wird, die oben auf der IIS-Benutzeroberfläche ausgewählt wurde.

   Hinweis: Die Einstellung Immer wird verwendet, wenn die Benutzeroberfläche auf Erforderlich festgelegt ist. Dies ist die empfohlene und sicherste Option.

   Weitere Informationen zu den optionen, die für extendedProtectionPolicy verfügbar sind, finden Sie unter <transport> von <basicHttpBinding>. Die am häufigsten verwendeten Einstellungen sind wie folgt:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Aktivieren Sie SSL anfordern, wodurch nur HTTPS-Verbindungen aktiviert werden.
   
   

Zusätzliche Entschärfung

Zusätzlich zu den primären Entschärfungen empfiehlt es sich, die NTLM-Authentifizierung nach Möglichkeit zu deaktivieren. Die folgenden Risikominderungen sind in der Reihenfolge von sicherer bis weniger sicher aufgeführt:

• Deaktivieren Sie die NTLM-Authentifizierung auf Ihrem Windows-Domänencontroller. Dies kann anhand der Dokumentation unter Netzwerksicherheit: NtLM einschränken: NTLM-Authentifizierung in dieser Domäne beschrieben werden.

• Deaktivieren Sie NTLM auf allen AD CS-Servern in Ihrer Domäne mithilfe der Gruppenrichtlinie Netzwerksicherheit: NTLM einschränken: Eingehender NTLM-Datenverkehr. Um dieses Gruppenrichtlinienobjekt zu konfigurieren, öffnen Sie Gruppenrichtlinie, und wechseln Sie zu Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen, und legen Sie Netzwerksicherheit: NTLM: Eingehenden NTLM-Datenverkehr auf Alle Konten verweigern oder Alle Domänenkonten verweigern fest.  Bei Bedarf können Sie Ausnahmen nach Bedarf mithilfe der Einstellung Netzwerksicherheit: NTLM einschränken: Serverausnahmen in dieser Domäne hinzufügen hinzufügen.

• Deaktivieren Sie NTLM für Internetinformationsdienste (IIS) auf AD CS-Servern in Ihrer Domäne, in der die Dienste "Certificate Authority Web Enrollment" oder "Certificate Enrollment Web Service" ausgeführt werden.

Öffnen Sie dazu die IIS-Manager-Benutzeroberfläche, und legen Sie Windows-Authentifizierung auf Negotiate:Kerberos fest: 

Weitere Informationen finden Sie unter Microsoft-Sicherheitsempfehlung ADV210003.