KB5005413: Az NTLM-továbbító által az Active Directory tanúsítványszolgáltatásokkal szembeni támadásokat mérve

Elsődleges kezelési megoldás

Azt javasoljuk, hogy kapcsolja be az EPA protokollt, és tiltsa le a HTTP protokollt az AD CS-kiszolgálókon. Nyissa meg Internet Information Services (IIS) kezelőt, és tegye a következőket:

1. Enable EPA for Certificate Authority Web Enrollment, Required being the more secure and recommended option:

   

2. Enable EPA for Certificate Enrollment Web Service, Required being the more secure and recommended option:
   
   
   
   Miután engedélyezte az EPA-t a felhasználói felületen, <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config helyen létrehozott Web.config-fájlt is frissíteni kell egy extendedProtectionPolicy> értékkel, amelynek értéke<fenti IIS felhasználói felületének Bővített védelem beállításától függően<WhenSupported vagy Always.

   Megjegyzés: A Mindig beállítást akkor használja a rendszer, ha a felhasználói felület Kötelező beállításra van állítva, ez az ajánlott és legbiztonságosabb beállítás.

   A extendedProtectionPolicyelérhető beállításairól további információt az ÁltalánoshttpBinding<> <httpBinding>. A leggyakrabban használt beállítások az alábbiak:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Engedélyezze az SSL-kapcsolat megkövetelésebeállítását, amely csak a HTTPS-kapcsolatokat engedélyezi.
   
   

További kezelési lehetőségek

Az elsődleges kezelési megoldások mellett azt javasoljuk, hogy lehetőség szerint tiltsa le az NTLM-hitelesítést. A következő kezelési lehetőségeket soroljuk fel a biztonságosabbtól a kevésbé biztonságos megoldáshoz sorrendben:

• Tiltsa le az NTLM-hitelesítést Windows tartományvezérlőn. Ezt a Következő hálózati biztonság: NTLM: NTLM-hitelesítéskorlátozása ebben a tartománybancímű dokumentumban tudja elvégezni.

• Tiltsa le az NTLM-et a tartomány bármelyik AD CS-kiszolgálója esetén a Következő csoportházirend: Az NTLM korlátozása: Bejövő NTLM-forgalom. A csoportházirend beállításához nyissa meg a csoportházirendet, és nyissa meg a Számítógép konfigurációja ->Windows Gépház -> Security Gépház -> Local Policies -> Security Options (Helyi házirendek ) lehetőséget, és állítsa be a Hálózati biztonság: Az NTLM korlátozása: Bejövő NTLM-forgalom elutasítása vagy Az összes tartományfiók elutasítása lehetőséget.  Szükség esetén szükség szerint felvehet kivételeket a Következő hálózatbiztonság beállítással: NTLM korlátozása:Kiszolgálói kivételek hozzáadása ebben a tartományban.

• Tiltsa le az NTLM-Internet Information Services (IIS) szolgáltatást a tartomány "Hitelesítésszolgáltatói webregisztráló" vagy "Tanúsítványregisztráló webszolgáltatás" szolgáltatását futtató AD CS-kiszolgálókon.

Az IIS Manager felhasználói felületének megnyitásához állítsa be a hitelesítést Windows: Kerberos: 

További információ: Microsoft biztonsági tanácsadó ADV210003