KB5005413: Reglarea atacurilor de retransmisie NTLM asupra serviciilor de certificate Active Directory (AD CS)

Atenuare principală

Vă recomandăm să activați ACTIVAT ȘI să activați HTTP pe serverele CS AD. Deschideți Managerul Internet Information Services (IIS) și faceți următoarele:

1. Activați ÎNSCRIEREA PENTRU PROGRAMUL DE CERTIFICARE pentru autoritatea de certificare web, Obligatoriu fiind opțiunea mai sigură și mai recomandată:

   

2. Activați PROGRAMUL WEB pentru înscrierea certificatelor, Obligatoriu fiind opțiunea mai sigură și mai recomandată:
   
   
   
   După ce activați XML în UI, fișierul Web.config creat de rolul CES la <%windir%>\systemdata\CES\<Nume CA>_CES_Kerberos\web.config<ar trebui să fie actualizat și prin adăugarea unui set extinsProtectionPolicy> cu o valoare WhenSupported sau Întotdeauna, în funcție de opțiunea Protecție extinsă selectată în interfața utilizator IIS de mai sus.

   Notă: Setarea Always este utilizată atunci când interfața utilizator este setată la Obligatoriu, care este opțiunea recomandată și cea mai sigură.

   Pentru mai multe informații despre opțiunile disponibile pentru extendedProtectionPolicy,consultați Transport<> <basicHttpBinding>. Setările cel mai probabil utilizate sunt următoarele:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Activați Solicitați SSL,care va activa doar conexiunile HTTPS.
   
   

Atenuare suplimentară

Pe lângă atenuarea principală, vă recomandăm să dezactivați autentificarea NTLM acolo unde este posibil. Următoarele riscuri sunt listate, de la mai sigure la mai puțin sigure:

• Dezactivați autentificarea NTLM pe controlerul Windows dvs. de domeniu. Acest lucru poate fi realizat urmând documentația din Securitate de rețea: Restricționarea autentificării NTLM: NTLM în acest domeniu.

• Dezactivați NTLM pe orice server CS AD din domeniul dvs. utilizând politica de grup Securitate rețea: Restricționare NTLM: Trafic NTLM de intrare. Pentru a configura acest GPO, deschideți Politică de grup și accesați Configurație computer -> Windows Setări -> Securitate Setări -> Politici locale -> Opțiuni de securitate și setați Securitate rețea: Restricționare NTLM: Trafic NTLM primit la Refuzarea tuturor conturilor sau Refuzarea tuturor conturilor de domeniu.  Dacă este necesar, puteți adăuga excepții după cum este necesar utilizând setarea Securitate de rețea: Restricționare NTLM:Adăugați excepții de server în acest domeniu.

• Dezactivați NTLM pentru Internet Information Services (IIS) pe serverele CS AD din domeniul dvs. care rulează serviciile "Certificat Authority Web Enrollment" sau "Certificate Enrollment Web Service".

Pentru a face acest lucru deschideți interfața cu utilizatorul IIS Manager, Windows autentificarea la Negociați:Kerberos: 

Pentru mai multe informații, consultați Consultantul Microsoft pentru securitate ADV210003.