KB5005413: Giảm thiểu tấn công chuyển tiếp NTLM trên Dịch vụ Chứng chỉ Active Directory (AD CS)

Giảm nhẹ chính

Chúng tôi khuyên bạn nên bật EPA và tắt HTTP trên máy chủ AD CS. Mở Trình quản Dịch vụ Thông tin Internet (IIS) và thực hiện như sau:

1. Bật EPA cho Đăng ký Web của Cơ quan Cấp chứng chỉ, Bắt buộc là tùy chọn bảo mật và được đề xuất hơn:

   

2. Bật EPA cho Dịch vụ Web Đăng ký Chứng chỉ, Bắt buộc là tùy chọn được đề xuất và bảo mật
   
   hơn:
   
   Sau khi bật EPA trong UI, tệp Web.config được tạo bởi vai trò CES tại <%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config cũng cần được cập nhật bằng cách thêm<extendedProtectionPolicy> với giá trị là WhenSupported hoặc Luôn luôn tùy thuộc vào tùy chọn Bảo vệ Mở rộng được chọn trong giao diện IIS phía trên.

   Lưu ý: Cài đặt Luôn luôn được sử dụng khi giao diện người dùng được đặt là Bắt buộc,đây là tùy chọn được đề xuất và bảo mật nhất.

   Để biết thêm thông tin về các tùy chọn sẵn dùng cho ExtendedProtectionPolicy,hãy xem<truyền> của <cơ bảnhttpbinding>. Các thiết đặt có khả năng được sử dụng nhiều nhất là như sau:

   <binding name="TransportWithHeaderClientAuth">
        <security mode="Transport">
            <transport clientCredentialType="Windows">
            <extendedProtectionPolicy policyEnforcement="Always" />
            </transport>
            <message clientCredentialType="None" establishSecurityContext="false" negotiateServiceCredential="false" />
        </security>
        <readerQuotas maxStringContentLength="131072" />
   </binding>
   

3. Bật Yêu cầu SSL,mà sẽ chỉ bật kết nối HTTPS.
   
   

Giảm nhẹ bổ sung

Ngoài các hạn chế chính, chúng tôi khuyên bạn nên vô hiệu hóa xác thực NTLM nếu có thể. Các hạn chế sau đây được liệt kê theo thứ tự từ bảo mật hơn đến ít bảo mật hơn:

• Tắt Xác thực NTLM trên bộ điều khiển Windows của bạn. Bạn có thể thực hiện điều này bằng cách làm theo hướng dẫn sử dụng trong bảo mật mạng: Hạn chế NTLM: Xác thực NTLM trong miền này.

• Vô hiệu hóa NTLM trên mọi Máy chủ AD CS trong miền của bạn bằng cách sử dụng bảo mật mạng của chính sách nhóm: Hạn chế NTLM: Lưu lượng NTLM đến. Để đặt cấu hình GPO này, hãy mở Chính sách Nhóm, rồi đi đến Cấu hình Máy tính ->Windows Cài đặt -> Security Cài đặt -> Local Policies -> Security Options và đặt Bảo mật Mạng: Restrict NTLM: Incoming NTLM traffic to Deny All Accounts or Deny All domain accounts.  Nếu cần, bạn có thể thêm ngoại lệ khi cần thiết bằng cách sử dụng thiết đặt Bảo mật mạng: Hạn chế NTLM:Thêm ngoại lệ máy chủ trong miền này.

• Vô hiệu hóa NTLM cho Dịch vụ Thông tin Internet (IIS) trên Máy chủ AD CS trong miền của bạn đang chạy các dịch vụ "Đăng ký Web Của Cơ quan Cấp chứng chỉ" hoặc "Dịch vụ Web Đăng ký Chứng chỉ".

Để làm như vậy, hãy mở Giao diện Người dùng Trình quản lý IIS, Windows xác thực thành Thương lượng:Kerberos: 

Để biết thêm thông tin, vui lòng xem AdV210003 Tư vấn Bảo mật của Microsoft