KB5005413: Ograniczanie ataków na przekazywanie NTLM w usługach certyfikatów Active Directory (AD CS)

Środki zaradcze podstawowe

Zalecamy włączenie funkcji GDYSZ i wyłączenie protokołu HTTP na serwerach CS usług AD. Otwórz Menedżera Internet Information Services usług (IIS) i wykonaj następujące czynności:

1. Włącz funkcję SSL dla rejestrowania w sieci Web urzędu certyfikatów. Wymagana jest bezpieczniejsza i zalecana opcja:

   

2. Włącz funkcję SSL dla usługi sieci Web rejestrowania certyfikatów. Wymagana jest bezpieczniejsza i zalecana opcja:
   
   
   
   Po włączeniu funkcji SEC w interfejsie użytkownika plik Web.config utworzony za pomocą roli CES w programie <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config powinien również zostać zaktualizowany przez dodanie do programu<extendedProtectionPolicy>zestawu z wartością WhenSupported (Zawsze) lub Always (Zawsze) w zależności od opcji rozszerzonej ochrony wybranej powyżej w interfejsie użytkownika usług IIS.

   Uwaga: Ustawienie Zawsze jest używane, gdy interfejs użytkownika jest ustawiony na Wartośćwymagana, co jest zalecaną i najbezpiecznszą opcją.

   Aby uzyskać więcej informacji na temat opcji dostępnych dla usługi extendedProtectionPolicy,zobacz<opcje> usługi <basichttpBinding>. Najczęściej używane ustawienia są następujące:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Włącz wymaganie SSL,co spowoduje włączenie tylko połączeń HTTPS.
   
   

Dodatkowe środki zaradcze

Oprócz podstawowych środków zaradczych zalecamy wyłączenie uwierzytelniania NTLM, jeśli to możliwe. Wymienione są następujące środki zaradcze, które są wyszczególnione w kolejności od bezpieczniejszej do mniej bezpiecznej:

• Wyłącz uwierzytelnianie NTLM na Windows domeny. Można to zrobić, korzystając z dokumentacji w tece Zabezpieczenia sieci: Ograniczanie uwierzytelniania NTLM: uwierzytelnianie NTLM w tej domenie.

• Wyłącz funkcję NTLM na dowolnych serwerach CS AD w domenie przy użyciu zabezpieczeń sieci zasad grupy: Ogranicz NTLM: przychodzący ruch NTLM. Aby skonfigurować ten obiekt zasad grupy, otwórz program zasady grupy i przejdź do konfiguracji komputera >Windows Ustawienia -> Security Ustawienia -> Zasady lokalne -> Opcje zabezpieczeń i ustaw zabezpieczenia sieci: Ogranicz NTLM: Przychodzący ruch NTLM, aby odrzucić wszystkie konta lub Odmów wszystkich kont domeny.  W razie potrzeby możesz w razie potrzeby dodać wyjątki, ustawiając ustawienie Zabezpieczenia sieci: Ogranicz NTLM: Dodawaniewyjątków serwera w tej domenie.

• Wyłącz funkcję NTLM dla usługi Internet Information Services (IIS) na serwerach CS USŁUG AD w domenie z uruchomionymi usługami "Rejestracja w sieci Web urzędu certyfikacji" lub "Usługa sieci Web rejestrowania certyfikatów".

Aby to zrobić, otwórz interfejs użytkownika Menedżera usług IIS, ustaw dla Windows wartość Wynegocjuj:Kerberos: 

Aby uzyskać więcej informacji, zobacz Porada firmy Microsoft ds. zabezpieczeń ADV210003