KB5005413: NTLM perdavimo atakų "Active Directory" sertifikatų tarnybos (AD CS) švelninimas

Pirminis mažinimas

Rekomenduojame įgalinti EPA ir išjungti HTTP AD CS serveriuose. Atidarykite Informacinės interneto paslaugos (IIS) tvarkytuvą ir atlikite šiuos veiksmus:

1. Įgalinti sertifikato institucijos žiniatinklio registracijos EPA, būtina, kad būtų saugiau ir rekomenduojama parinktis:

   

2. Įgalinti SERTIFIKATO registracijos žiniatinklio tarnybos EPA, būtina saugiau ir rekomenduojama parinktis:
   
   
   
   Įgalinus EPA vartotojo sąsają, "Web.config" failą, kurį sukūrė CES vaidmuo, esantis<%windir%>\systemdata\CES\<CA pavadinimas>_CES_Kerberos\web.config, taip pat turėtų būti atnaujintas įtraukiant "<extendedProtectionPolicy>" rinkinį su "WhenSupported" arba "Always" reikšme, atsižvelgiant į anksčiau iis UI pasirinktą parinktį Išplėstinė apsauga.

   Pastaba: Parametras Visada naudojamas, kai vartotojo sąsaja nustatyta kaip Būtina ,kuri yra rekomenduojama ir saugiausia parinktis.

   Daugiau informacijos apie galimas išplėstinio apsaugospolicyparinktis žr. <> <HttpBinding>. Labiausiai tikėtini naudoti parametrai yra šie:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Įjungti Reikalauti SSL, kuri įgalins tik HTTPS ryšius.
   
   

Papildomas mažinimas

Be pirminių mažinimo priemonių, rekomenduojame, jei įmanoma, išjungti NTLM autentifikavimą. Toliau išvardyti rizikos mažinimo priemonės, kad nuo saugesnės iki mažiau saugios:

• Išjunkite NTLM autentifikavimą savo Windows valdiklyje. Tai galima atlikti naudojant tinklo saugos dokumentaciją: Apriboti NTLM: NTLM autentifikavimas šiame domene.

• Išjunkite NTLM bet kuriame JŪSŲ domeno AD CS serveryje naudodami grupės strategiją Tinklo sauga: NTLM apribojimas: gaunamas NTLM srautas. Norėdami sukonfigūruoti šį GPO, atidarykite grupės strategiją ir eikite į Kompiuterio konfigūravimas ->Windows Parametrai -> Sauga Parametrai -> Vietinės strategijos -> Saugos parinktys ir nustatykite Tinklo sauga: NTLM: Gaunamo NTLM srauto apribojimas į Atmesti visas paskyras arba Atmesti visas domeno paskyras.  Jei reikia, galite įtraukti išimčių, jei reikia, naudodami parametrą Tinklo sauga: Apriboti NTLM: įtraukti serverio išimtis šiame domene.

• Išjunkite "NTLM" Informacinės interneto paslaugos (IIS) AD CS serveriuose jūsų domene, kuriame veikia "Certificate Authority Web Enrollment" arba "Certificate Enrollment Web Service" tarnybos.

Norėdami tai padaryti, atidarykite IIS tvarkytuvo vartotojo sąsają, Windows autentifikavimą į Negotiate:Kerberos: 

Daugiau informacijos ieškokite "Microsoft" saugos patarime ADV210003