KB5005413: ACTIVE Directory serditeenuste (AD CS) NTLM-i edastamise rünnakute leevendamine

Primaarne leevendamine

Soovitame LUBADA EPA ja keelata HTTP AD CS-serverites. Avage Internet Information Services (IIS) Manager ja tehke järgmist.

1. Luba EPA sertimisteenuse veebi registreerimiseks, nõutav on turvalisem ja soovitatavam suvand.

   

2. Luba EPA serdi registreerimise veebiteenuse jaoks, nõutav on turvalisem ja soovitatavam suvand:
   
   
   
   Pärast EPA lubamist kasutajaliideses peaks värskendama ka Web.config-faili, mille CES-i roll on <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config, lisades <extendedProtectionPolicy> väärtusega Kas Kuitagata või Alati, sõltuvalt ülalpool IIS-i kasutajaliideses valitud suvandist Laiendatud kaitse.

   Märkus.: Sätet Alati kasutatakse siis, kui kasutajaliidese väärtuseks on seatud Nõutav, mis on soovitatav ja kõige turvalisem suvand.

   Lisateavet laiendatudprotectionPolicysuvandite kohta leiate teemast <transport> <httpBinding>. Kõige tõenäolisemad sätted on järgmised.

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Luba nõua SSL-i,mis lubab ainult HTTPS-ühendused.
   
   

Täiendav leevendamine

Lisaks esmastele leevendustele soovitame võimaluse korral keelata NTLM-autentimine. Järgmised leevendusmeetmed on loetletud turvalisemast vähem turvaliseks.

• Keelake NTLM-autentimine Windows domeenikontrolleris. Selleks tuleb järgida dokumentatsiooni jaotises Võrgu turve: Ntlm-i piiramine: NTLM-autentimine selles domeenis.

• Keelake NTLM oma domeeni mis tahes AD CS-serverites, kasutades rühmapoliitikat Võrgu turve: Piira NTLM-i: sissetuleva NTLM-i liiklust. Selle GPO konfigureerimiseks avage rühmapoliitika ja valige Arvuti konfiguratsioon -> Windows Sätted -> Security Sätted -> Local Policies -> Security Options (Turbesuvandid) ja määrake Võrguturve: Piira NTLM-i: Sissetuleva NTLM-i liiklus keelab kõik kontod või Keela kõik domeenikontod.  Vajaduse korral saate vajaduse korral lisada erandeid, kasutades sätet Võrgu turve: Piira NTLM-i: lisage selles domeenis serveri erandid.

• Keelake NTLM Internet Information Services (IIS) jaoks oma domeeni AD CS-serverites, kus töötab teenused "Certificate Authority Web Enrollment" või "Certificate Enrollment Web Service".

Selleks avage IIS-i halduri kasutajaliides, määrake Windows väärtuseks Negotiate:Kerberos: 

Lisateavet leiate teemast Microsoft Security Advisory ADV210003