KB5005413: Attenuare gli attacchi di inoltro NTLM a Servizi certificati Active Directory

Attenuazione principale

È consigliabile abilitare EPA e disabilitare HTTP nei server Servizi certificati Active Directory. Aprire gestione Internet Information Services (IIS) ed eseguire le operazioni seguenti:

1. Abilitare EPA per la registrazione Web dell'Autorità di certificazione, obbligatorio per essere l'opzione più sicura e consigliata:

   

2. Abilitare EPA per il servizio Web di registrazione certificati, Obbligatorio essendo l'opzione più sicura e consigliata:
   
   
   
   Dopo aver abilitato EPA nell'interfaccia utente, il file Web.config creato dal ruolo CES in <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config deve essere aggiornato anche aggiungendo<extendedProtectionPolicy> impostato con un valore WhenSupported o Always a seconda dell'opzione Protezione estesa selezionata nell'interfaccia utente di IIS precedente.

   Nota:  L'impostazione Sempre viene usata quando l'interfaccia utente è impostata su Obbligatorio,che è l'opzione consigliata e più sicura.

   Per altre informazioni sulle opzioni disponibili per extendedProtectionPolicy,vedere<> di <basicHttpBinding>. Le impostazioni usate più probabilmente sono le seguenti:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Abilita Richiedi SSL,che abilita solo le connessioni HTTPS.
   
   

Ulteriore attenuazione

Oltre ai fattori attenuanti principali, è consigliabile disabilitare l'autenticazione NTLM, ove possibile. I fattori attenuanti seguenti sono elencati nell'ordine da più sicuro a meno sicuro:

• Disabilitare l'autenticazione NTLM nel controller Windows di dominio. Questa operazione può essere eseguita seguendo la documentazione in Sicurezza di rete: Limitare NTLM: autenticazione NTLM in questo dominio.

• Disabilitare NTLM in tutti i server Servizi certificati Active Directory nel dominio usando i criteri di gruppo Sicurezza di rete: Limitare NTLM: traffico NTLMin arrivo. Per configurare questo oggetto Criteri di gruppo, aprire Criteri di gruppo e passare a Configurazione computer -> Windows Impostazioni -> Sicurezza Impostazioni -> Criteri locali -> Opzioni di sicurezza e impostare Sicurezza di rete: Limita NTLM: Traffico NTLM in arrivo su Nega tutti gli account o Nega tutti gli account di dominio.  Se necessario, è possibile aggiungere eccezioni in base alle esigenze usando l'impostazione Sicurezza di rete: Limita NTLM: Aggiungereeccezioni del server in questo dominio.

• Disabilitare NTLM per Internet Information Services (IIS) nei server Servizi certificati Active Directory nel dominio che eseguono i servizi "Registrazione Web autorità di certificazione" o "Servizio Web di registrazione certificati".

A questo scopo, aprire l'interfaccia utente di Gestione IIS, impostare Windows autenticazione su Negotiate:Kerberos: 

Per altre informazioni, vedere Microsoft Security Advisory ADV210003