KB5005413: Begrensende NTLM-videresendingsangrep på Active Directory Certificate Services (AD CS)

Primær innstramming

Vi anbefaler at du aktiverer EPA og deaktiverer HTTP på AD CS-servere. Åpne Internet Information Services (IIS) Manager, og gjør følgende:

1. Aktiver EPA for nettregistrering for sertifiseringsinstans, Obligatorisk å være det sikrere og anbefalte alternativet:

   

2. Aktiver EPA for webtjenesten for sertifikatregistrering Kreves for å være det sikrere og anbefalte alternativet:
   
   
   
   Når du har aktivert EPA i brukergrensesnittet, bør også Web.config-filen som er opprettet av ces-rollen på <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config, oppdateres ved å legge til <extendedProtectionPolicy>angitt med verdien WhenSupported eller Always, avhengig av alternativet Utvidet beskyttelse som er valgt i IIS-brukergrensesnittet ovenfor.

   Obs!: Innstillingen Alltid brukes når brukergrensesnittet er satt til Obligatorisk, som er det anbefalte og sikreste alternativet.

   Hvis du vil ha mer informasjon om alternativene som er tilgjengelige for extendedProtectionPolicy, kan du<transport> av <grunnleggendeHttpBinding>. De mest sannsynlige brukte innstillingene er som følger:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Aktiver Krev SSL, som bare aktiverer HTTPS-tilkoblinger.
   
   

Ytterligere reduksjoner

I tillegg til de primære begrensningene anbefaler vi at du deaktiverer NTLM-godkjenning der det er mulig. Følgende begrensninger er oppført i rekkefølge fra sikrere til mindre sikker:

• Deaktiver NTLM-godkjenning på Windows domenekontrolleren. Dette kan gjøres ved å følge dokumentasjonen i Nettverkssikkerhet: Begrens NTLM: NTLM-godkjenning i dette domenet.

• Deaktiver NTLM på alle AD CS-servere i domenet ved hjelp av gruppepolicyen Nettverkssikkerhet: Begrens NTLM: Innkommende NTLM-trafikk. Hvis du vil konfigurere dette gruppepolicyobjektet, åpner du Gruppepolicy og går til Datamaskinkonfigurasjon ->Windows Innstillinger -> Security Innstillinger -> Lokale policyer -> Sikkerhetsalternativer og angir Nettverkssikkerhet: Begrens NTLM: Innkommende NTLM-trafikk til Avslå alle kontoer eller Avslå alle domenekontoer .  Hvis det er nødvendig, kan du legge til unntak etter behov ved hjelp av innstillingen Nettverkssikkerhet: Begrens NTLM: Legg til serverunntak i dette domenet.

• Deaktiver NTLM for Internet Information Services (IIS) på AD CS-servere i domenet som kjører netregistreringstjenestene for sertifiseringsinstans eller sertifikatregistrering.

Hvis du vil gjøre dette, åpner du IIS Manager-brukergrensesnittet ved å Windows godkjenning til Negotiate:Kerberos: 

Hvis du vil ha mer informasjon, kan du se Microsofts sikkerhetsveiledning ADV210003