KB5005413: Ublaživanje NTLM relejskih napada na usluge Active Directory certifikata (AD CS)

Primarna mitigacija

Preporučujemo da omogućavate EPA i da ublažite HTTP na AD CS serverima. Otvorite upravljač Internet Information Services (IIS) i uradite sledeće:

1. Omogući EPA za veb unošenje certifikata, potrebno je da bude bezbednija i preporučena opcija:

   

2. Omogući EPA za veb uslugu unošenja certifikata, potrebno je da bude bezbednija i preporučena
   
   opcija:
   
   Nakon omogućavanja EPA u UI-ju, datoteku Web.config kreira uloga CES-<%windir%>\systemdata\CES\<CA Ime>_CES_Kerberos\web.config<treba ažurirati i tako što ćete dodati prošireniProtectionPolicy > skup sa vrednošću WhenSupported ili Always u zavisnosti od opcije Proširena zaštita koja je izabrana u gorenavedenom IIS UI-u.

   Napomena: Postavka Uvek se koristi kada je UI postavljen na obavezno ,što je preporučena i najsigurnija opcija.

   Više informacija o opcijama dostupnim za proširenuprotectionPolicypotražite u<za prenos> sistema <basicHttpBinding>. Najčešće korišćene postavke su sledeće:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Omogući Zahtevaj SSL, što će omogućiti samo HTTPS veze.
   
   

Dodatna mitigacija

Pored primarnih migracija, preporučujemo da onemogućite NTLM potvrdu identiteta tamo gde je to moguće. Sledeće migracije su navedene u redosledu od bezbednijih do manje bezbednih:

• Onemogućite NTLM potvrdu identiteta na Windows domena. To može da se postigne tako što će pratiti dokumentaciju iz bezbednosne mreže: Ograničavanje NTLM potvrde identiteta: NTLM potvrda identiteta u ovom domenu.

• Onemogućite NTLM na bilo kom AD CS serveru u domenu pomoću smernica grupe Bezbednost mreže: Ograniči NTLM: Dolazni NTLM saobraćaj. Da biste konfigurisali ovaj GPO, otvorite smernice grupe i idite na stavku Konfiguracija računara -> Windows Postavke -> Security Postavke -> Lokalne smernice -> Bezbednosne opcije i podesite bezbednost mreže: Ograničavanje NTLM-a: Dolazni NTLM saobraćaj za zabranu svih naloga ili Zabrani sve naloge domena .  Po potrebi možete da dodate izuzetke pomoću postavke Bezbednost mreže: Ograničavanje NTLM zaštite: Dodavanje izuzetaka servera u ovom domenu.

• Onemogućite NTLM za Internet Information Services (IIS) na AD CS serverima u domenu koji rade pod uslugama "Veb unošenje certifikata" ili "Veb usluga unošenja certifikata".

Da biste to otvorili IIS Manager UIS Manager, postavite Windows na Negotiate:Kerberos: 

Dodatne informacije potražite u članku ADV210003 za Microsoft savet za bezbednost