KB5005413: NTLM pārraides uzbrukumu mitigēšana Active Directory sertifikātu pakalpojumos (AD CS)

Primārā risku mazināšana

Iesakām iespējot EPA un atspējot HTTP AD CS serveros. Atveriet Interneta informācijas pakalpojumi (IIS) pārvaldnieku un rīkojieties šādi:

1. Iespējojiet EPA sertificēšanas iestādes tīmekļa reģistrācijai; nepieciešama drošāka un ieteicamāka opcija:

   

2. Iespējojiet EPA sertifikātu reģistrēšanas tīmekļa pakalpojumam; nepieciešama drošāka un ieteicamā opcija:
   
   
   
   Pēc EPA iespējošanas UI arī Web.config fails, ko izveidojusi CES loma vietnē <%windir%>\systemdata\CES\<CA nosaukums>_CES_Kerberos\web.config, arī ir jāatjaunina, pievienojot <extendedProtectionPolicy> ar vērtību WhenSupported vai Always atkarībā no iepriekš atlasītajā IIS LIETOTĀJA INTERFEISā atlasītas paplašinātās aizsardzības opcijas.

   Piezīme.: Iestatījums Vienmēr tiek izmantots, ja LIETOTĀJA interfeiss ir iestatīts uz Obligāts, kas ir ieteicamā un drošākā opcija.

   Papildinformāciju par extendedProtectionPolicypieejamajām opcijām skatiet sadaļā <transporta> <httpBinding>. Visdrīzāk izmantotie iestatījumi ir šādi:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Iespējot Pieprasīt SSL, kas iespējos tikai HTTPS savienojumus.
   
   

Papildu risku mazināšana

Papildus primārajiem risku mazināšanas pasākumiem ir ieteicams atspējot NTLM autentifikāciju, ja iespējams. Tālāk norādītās risku mazināšanas iespējas ir norādītas secībā no drošāka līdz mazāk drošam.

• Atspējojiet NTLM autentifikāciju savā Windows kontrollerī. To var paveikt, izmantojot tīkla drošības dokumentāciju: NTLM ierobežošana: NTLM autentifikācija šajā domēnā.

• Atspējojiet NTLM jebkurā AD CS serveros savā domēnā, izmantojot grupas politiku Tīkla drošība: NTLM ierobežošana: ienākošais NTLM trafiks. Lai konfigurētu šo GPO, atveriet grupas politiku un dodieties uz Datora konfigurācija ->Windows Iestatījumi -> Security Iestatījumi -> Local Policies -> Security Options un iestatiet tīkla drošību: NTLM: ienākošā NTLM trafika ierobežošana uz Aizliegt visus kontus vai Aizliegt visus domēnu kontus.  Ja nepieciešams, varat pievienot izņēmumus, ja nepieciešams, izmantojot iestatījumu Tīkla drošība: NTLM ierobežošana: servera izņēmumu pievienošana šajā domēnā.

• Atspējojiet NTLM Interneta informācijas pakalpojumi pakalpojumiem (IIS) AD CS serveros jūsu domēnā, kuros darbojas pakalpojuma "Sertificēšanas iestādes tīmekļa reģistrācija" vai "Sertificēšanas reģistrēšanas tīmekļa pakalpojums".

Lai to izdarītu, atveriet IIS pārvaldnieka UI, iestatiet Windows Apspried:Kerberos: 

Papildinformāciju skatiet rakstā Microsoft drošības ieteikums ADV210003