KB5005413: увядание атак ретрансляции NTLM на службы сертификатов Active Directory (AD CS)

Основное уявление

Мы рекомендуем включить EPA и отключить протокол HTTP на серверах AD CS. Откройте диспетчер службы IIS IIS и сделайте следующее:

1. В этой службе можно включить веб-регистрацию EPA для службы сертификации (обязательное обеспечение безопасности и рекомендации).

   

2. В этой службе можно включить веб-службу регистрации сертификатов EPA( требуется более безопасный и рекомендуемый вариант:
   
   
   
   После включения EPA в пользовательском интерфейсе файл Web.config, созданный с помощью роли CES на сайте <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config, также следует обновить, добавив <extendedProtectionPolicy> со значением WhenSupported или Always в зависимости от параметра Extended Protection, выбранного в пользовательском интерфейсе IIS выше.

   Примечание: Параметр Всегда используется, если для пользовательского интерфейса установлено параметр Обязательно ,который является рекомендуемой и наиболее безопасной.

   Дополнительные сведения о параметрах, доступных для extendedProtectionPolicy,см. в<транспорта> <httpBinding>. Чаще всего используются такие параметры:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Включить Использовать SSL, который позволит включить только подключения HTTPS.
   
   

Дополнительное снижения последствий

Помимо основных последствий, мы рекомендуем по возможности отключить проверку подлинности NTLM. Ниже перечислены указанные ниже меры по обеспечению безопасности.

• Отключите проверку подлинности NTLM на контроллере Windows домена. Для этого следуя документации из статьи Безопасность сети: Ограничение проверки подлинности NTLM: NTLM в этом домене.

• Отключите NTLM на серверах AD CS в домене с помощью групповой политики Безопасность сети: Ограничение трафика NTLM: входящий трафик NTLM. Чтобы настроить этот групповой групповой политики, откройте групповую политику и перейдите в статью Конфигурация компьютера ->Windows Параметры -> Безопасность Параметры -> Локальные политики ->Параметры безопасности и настройка сетевой безопасности: Ограничение трафика NTLM: входящий трафик NTLM: Запретить все учетные записи или Запретить все учетные записи доменов.   При необходимости вы можете добавить исключения с помощью параметра Безопасность сети: Ограничить NTLM: добавлениесерверных исключений в этом домене .

• Отключите NTLM для службы IIS (IIS) на серверах AD CS в домене со службами веб-регистрации "Центр сертификации" или "Веб-служба регистрации сертификатов".

Для этого откройте пользовательский интерфейс диспетчера IIS, Windows проверку подлинности на Согласование:Kerberos: 

Дополнительные сведения см. в рекомендации майкрософт по безопасности ADV210003.