KB5005413: ublažavanje napada NTLM releja na servisu Active Directory Certificate Services (AD CS)

Primarno smanjenje

Preporučujemo da omogućite EPA i onemogućite HTTP na AD CS poslužiteljima. Otvorite upravitelj Internet Information Services (IIS) i učinite sljedeće:

1. Omogućite EPA za web-prijavu za izdavanje certifikata, obavezno je biti sigurnija i preporučena mogućnost:

   

2. OmogućiVANJE EPA-a za web-servis za prijavu certifikata, obavezno uz sigurniju i preporučenu mogućnost:
   
   
   
   Kada omogućite EPA u korisničkom suglasju, Web.config datoteku koju je stvorio CES uloga na web-mjestu<%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config trebala bi se ažurirati i dodavanjem<extendedProtectionPolicy> skupa s vrijednošću bilo koje od mogućnosti WhenSupported ili Uvijek, ovisno o mogućnosti Proširena zaštita odabrana u prethodnom IIS korisničkom suglasju.

   Napomena: Postavka Uvijek koristi se kada je UI postavljen naObavezno , što je preporučena i najatrasnija mogućnost.

   Dodatne informacije o mogućnostima koje su dostupne za proširenuzaštitnupolitijupotražite u članku<transport> osnovne <httpbinding>. Najčešće korištene postavke su sljedeće:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Omogući potreban SSLkoji će omogućiti samo HTTPS veze.
   
   

Dodatno smanjenje

Osim primarnih ublažavanja, preporučujemo da onemogućite provjeru autentičnosti NTLM-om kada je to moguće. Sljedeća ublažavanja navedena su u redoslijedu od sigurnije do manje sigurne:

• Onemogućite NTLM provjeru autentičnosti na Windows kontroleru domene. To se može postići slijedeći dokumentaciju u području Mrežna sigurnost: Ograničavanje NTLM-a: NTLM provjera autentičnosti u ovoj domeni.

• Onemogućivanje NTLM-a na bilo kojem AD CS poslužiteljima u vašoj domeni pomoću pravilnika grupe Sigurnost mreže: Ograničavanje NTLM-a: Dolazni NTLM promet. Da biste konfigurirali taj GPO, otvorite pravilnik grupe i idite na Konfiguracija računala ->Windows Postavke -> Security Postavke -> Local Policies -> Security Options i postavite Mrežna sigurnost: Ograničavanje NTLM-a: Dolazni NTLM promet na Odbij sve račune ili Odbij sve račune domene.  Ako je potrebno, možete po potrebi dodavati iznimke pomoću postavke Mrežna sigurnost: Ograničavanje NTLM-a: Dodavanje iznimki poslužitelja u ovoj domeni.

• Onemogućite NTLM za Internet Information Services (IIS) na AD CS poslužiteljima u vašoj domeni na kojima se izvode servisi "Certificate Authority Web Enrollment" ili "Certificate Enrollment Web Service".

Da biste to učinili, otvorite IIS Manager UI, postavite Windows provjere autentičnosti na Negotiate:Kerberos: 

Dodatne informacije potražite u članku Microsoft Security Advisory ADV210003