KB5005413: Active Directory Sertifika Hizmetleri'ne (AD CS) NTLM Geçişi Saldırılarını Azaltma

Birincil azaltma

EPA'yı etkinleştirmenizi ve AD CS sunucularında HTTP'yi devre dışı bırakmayı öneririz. Internet Information Services (IIS) Yöneticisi'ni açın ve şunları yapın:

1. Sertifika Yetkilisi Web Kaydı için EPA'yı etkinleştir, Bu seçenek için daha güvenli ve önerilen seçenek gerekir:

   

2. Sertifika Kaydı web hizmeti için EPA'yı etkinleştir, Önerilen ve daha güvenli seçenek
   
   olması gerekir:
   
   Kullanıcı arabiriminde EPA etkinleştirdikten sonra, Web.config <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config konumunda CES rolü tarafından oluşturulan C3_CES_Kerberos\web.configdosyası, yukarıdaki IIS kullanıcı arabiriminde belirtilen Genişletilmiş Koruma seçeneğine bağlı olarak bir değerle <genişletilmişProtectionPolicy> kümesi ekleniyorsa güncelleştirilecektir.

   Not: Kullanıcı arabirimi Gerekli olarak ayar her zaman ayarının kullanılması önerilirve en güvenli seçenektir.

   GenişletilmişProtectionPolicyseçenekleriyle ilgili daha fazla bilgi için bkz. temel<aktarım> <taşımahttpbinding>. En olası kullanılan ayarlar şunlardır:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Yalnızca HTTPS bağlantılarınıetkinleştirecek SSL gerektir seçeneğini etkinleştirin.
   
   

Ek azaltma

Birincil risk azaltmaya ek olarak, mümkün olduğunca NTLM kimlik doğrulamasını devre dışı bırakmanızı öneririz. Aşağıdaki azaltmalar, daha güvenliden daha az güvenliye doğru sıralandı:

• Bu etki alanı denetleyicisinde NTLM Kimlik Windows devre dışı bırak. Bu, Ağ güvenliği: Bu etki alanındaki NTLM: NTLM kimlikdoğrulamasını kısıtlama belgelerine göre gerçek kullanılabilir.

• Grup ilkesi Ağ güvenliği: NTLM'yi kısıtla: Gelen NTLMtrafiğini kullanarak etki alanınız içinde NTLM'yi devre dışı bırakma. Bu GPO'yi yapılandırmak için, Grup İlkesi'ne gidin ve Bilgisayar Yapılandırması ->Windows Ayarlar ->Güvenlik Ayarlar -> Yerel İlkeler -> Güvenlik Seçenekleri'ne gidin ve Ağ güvenliği: NTLM'yi Kısıtlama: Gelen NTLM trafiğini Tüm Hesapları Reddet veya Tüm etki alanı hesaplarını Reddet seçeneklerine gidin.  Gerekirse, Ağ güvenliği: NTLM'yi kısıtla:Bu etki alanına sunucu özel durumları ekle ayarını kullanarak gerekirse özel durumlar abilirsiniz.

• "Sertifika Yetkilisi Web Kaydı" Internet Information Services "Sertifika Kaydı Web Hizmeti" hizmetlerini çalıştıran etki alanınıza ilişkin AD CS Servers'da NTLM'yi (IIS) devre dışı bırak.

Bunun için IIS Yöneticisi kullanıcı arabirimini açın, kimlik Windows Numaralı kimlik doğrulamayı Negotiate:Kerberos olarak ayarlayın: 

Daha fazla bilgi için lütfen Microsoft Güvenlik Danışmanlığı ADV210003'ne bakın