Реинкарнация NTLM-relay или как стать администратором домена за 1 минуту

[alexk24]

Каким образом можно защититься от этой атаки?
Установить Domain controller: LDAP server signing requirements в «Require signature»? Совместимость с чем в таком случае потеряется? Какие проблемы всплывут?

[Intercepter]

Да. Обязательная подпись пакетов решает все проблемы. Совместимость может потеряться с софтом, который удаленно работает с Active Directory и не умеет подписывать пакеты, но это маловероятно, т.к. большинство ldap клиентов работают через соответствующие API и для них момент авторизации и подписи происходит прозрачно.

[vladon]

Это поломает LDAP-запросы с Linux? Например, с OTRS или Redmine?

[Intercepter]

Столь специфичные вопросы лучше задать гуглу или саппорту озвученных систем.

[vladon]

В общем, проверил на тестовой машине. Да, Linux-клиенты обламываются.

[Intercepter]

Это печально.

[realscorp]

Вот спасибо, полезная информация.

[mayorovp]

А вообще выключить NTLM возможно?

[Intercepter]

Именно «вообще» нет, эта зараза сидит слишком глубоко во всей системе. Можно повысить максимальный уровень безопасности для интранета и отключить Integrated Windows Authentication.

[Lefty]

Возможо — technet.microsoft.com/en-us/library/jj852241%28v=ws.10%29.aspx
А еще можно совсем отказаться от паролей и перевести всех на smart card logon. Но такие меры скорее только на каких-то режимных обьектах применяются.

[Intercepter]

Я говорил об использовании ntlm на клиентах. Даже блокировку ntlm на домене нельзя назвать полным отключением.
Выше уже всплыли проблемы совместимости при включении обязательной подписи LDAP, а уж блокировка NTLM на сервере может вызвать еще больше проблем.

[KarasikovSergey]

Это ж до осени ждать такую красоту! Вычислить админа в сети зачастую не так уж сложно.

[Intercepter]

особенно если ты там работаешь :)

[KarasikovSergey]

У меня интерес пентестера, лишняя утилита для проникновения, да еще такая многообещающая — это просто подарок и значительное увеличение шанса на премию ;)

[dmbarsukov]

как минимум оповещение об изменение группы доменных админов должно приходить на почту. Проблема в том, что если Вас ломают — вы можете не успеть отреагировать.

[sandman]

LDAPS хорошо от mitm помогает