KB5005413: NTLM Relay-aanvallen op Active Directory Certificate Services (AD CS) verminderen

Primaire beperking

We raden u aan OM EPO in te stellen en HTTP uit te zetten op AD CS-servers. Open de Internet Information Services (IIS) Manager en ga als volgt te werk:

1. EPO inschakelen voor webinschrijving van certificeringsinstantie, vereist omdat dit de veiligere en aanbevolen optie is:

   

2. EPO inschakelen voor de webservice voor certificaatinschrijving, vereist dat dit de veiligere en aanbevolen optie
   
   is:
   
   Nadat u EPO hebt ingeschakeld in de gebruikersinterface, moet het Web.config-bestand dat is gemaakt door de CES-rol bij <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config ook worden bijgewerkt door<extendedProtectionPolicy> set toe te voegen met een waarde van WhenSupported of Altijd, afhankelijk van de optie Uitgebreide beveiliging die is geselecteerd in de bovenstaande IIS-gebruikersinterface.

   Opmerking: De instelling Altijd wordt gebruikt wanneer de gebruikersinterface is ingesteld op Vereist,wat de aanbevolen en veiligste optie is.

   Zie<transport> of <basicHttpBinding>voor meer informatie over de beschikbare opties voor uitgebreideProtectionPolicy. De meest waarschijnlijk gebruikte instellingen zijn als volgt:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Schakel SSL vereisen in,zodat alleen HTTPS-verbindingen worden ingeschakeld.
   
   

Aanvullende beperking

Naast de primaire mitigaties raden we u aan NTLM-verificatie waar mogelijk uit te schakelen. De volgende risico's worden weergegeven in volgorde van veiliger naar minder veilig:

• Schakel NTLM-verificatie uit op Windows domeincontroller. U kunt dit doen door de documentatie in Netwerkbeveiliging te volgen: NTLM beperken: NTLM-verificatie in dit domein.

• NTLM uitschakelen op ad-CS-servers in uw domein met behulp van het groepsbeleid Netwerkbeveiliging: NTLM: Binnenkomend NTLM-verkeer beperken. Als u dit GPO wilt configureren, opent u Groepsbeleid en gaat u naar Computerconfiguratie -> Windows Instellingen -> Security Instellingen -> Lokaal beleid -> Beveiligingsopties en stelt u Netwerkbeveiliging in: NTLM: Binnenkomend NTLM-verkeer beperken tot Alle accounts weigeren of Alle domeinaccounts weigeren.  Indien nodig kunt u uitzonderingen toevoegen met de instelling Netwerkbeveiliging: NTLM beperken: Serverafzonderingen toevoegen in dit domein.

• Schakel NTLM voor Internet Information Services (IIS) uit op AD CS-servers in uw domein met de services 'Certificate Authority Web Enrollment' of 'Certificate Enrollment Web Service'.

Als u de GEBRUIKERSINTERFACE van IIS Manager wilt openen, stelt u Windows in op Onderhandelen:Kerberos: 

Zie Microsoft Security Advisory ADV210003 voor meer informatie.