Data/Locales/checks/de/ADCertificateServicesChecks.json
|
{ "_family": "ADCertificateServicesChecks.json", "ADCS-001": { "name": { "value": "Bestandsaufnahme der CA-Server", "status": "machine-draft" }, "description": { "value": "Eine Bestandsaufnahme aller Zertifizierungsstellenserver in der Umgebung bildet die Grundlage für die Sicherheitsbewertung von AD CS. Dazu gehören Enterprise-CAs, eigenständige CAs, ihre Rollen (Stamm- vs. untergeordnete CA), Betriebssystemversionen und veröffentlichte Zertifikatvorlagen. Das Verständnis der PKI-Hierarchie ist entscheidend, um die Angriffsfläche zu identifizieren", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständige CA-Bestandsaufnahme dokumentiert mit CA-Typ, Rolle, Betriebssystemversion und veröffentlichten Vorlagen für jeden CA-Server", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle CA-Server auf, indem Sie den Container PKI Enrollment Services in AD abfragen (CN=Enrollment Services,CN=Public Key Services,CN=Services,CN=Configuration). Dokumentieren Sie für jede CA den Typ (Enterprise/eigenständig), die Rolle (Stamm/untergeordnet), den Hostnamen, die Betriebssystemversion und die veröffentlichten Zertifikatvorlagen. Stellen Sie sicher, dass alle CA-Server unterstützte Betriebssystemversionen ausführen und über aktuelle Patches verfügen.", "status": "machine-draft" } }, "ADCS-002": { "name": { "value": "ESC1 - Antragsteller liefert Subject Alternative Name", "status": "machine-draft" }, "description": { "value": "ESC1 tritt auf, wenn eine Zertifikatvorlage es dem Antragsteller erlaubt, im Zertifikatantrag einen Subject Alternative Name (SAN) anzugeben, über Client Authentication oder eine beliebige EKU verfügt, die eine Authentifizierung erlaubt, und die Registrierung durch Benutzer mit niedrigen Rechten zulässt. Ein Angreifer kann ein Zertifikat mit einem SAN für einen beliebigen Domänenbenutzer einschließlich Domain Admins anfordern und das Zertifikat dann verwenden, um sich als dieser Benutzer zu authentifizieren", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Zertifikatvorlagen mit CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT, die eine Registrierung mit niedrigen Rechten erlauben und Authentifizierungs-EKUs besitzen", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Vorlagen, bei denen msPKI-Certificate-Name-Flag das Flag CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT (0x1) enthält, die Vorlage über die EKU Client Authentication oder Smart Card Logon verfügt und die Registrierung für Nicht-Administratoren zulässig ist. Entfernen Sie das Flag CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT, beschränken Sie die Registrierungsberechtigungen auf privilegierte Gruppen oder entfernen Sie die Authentifizierungs-EKU. Falls die SAN-Angabe betrieblich erforderlich ist, richten Sie eine Genehmigung durch den CA-Manager ein.", "status": "machine-draft" } }, "ADCS-003": { "name": { "value": "ESC2 - Any Purpose Extended Key Usage", "status": "machine-draft" }, "description": { "value": "ESC2 tritt auf, wenn eine Zertifikatvorlage die EKU Any Purpose (OID 2.5.29.37.0) oder gar keine EKU angibt (entspricht der SubCA-Vorlage). Zertifikate mit der EKU Any Purpose können für beliebige Zwecke verwendet werden, einschließlich Clientauthentifizierung, Serverauthentifizierung und Codesignierung. In Verbindung mit vom Antragsteller kontrollierten SANs oder geringen Registrierungsanforderungen ermöglicht dies die Kompromittierung der Domäne", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Zertifikatvorlagen mit der EKU Any Purpose oder leerer EKU, die eine Registrierung mit niedrigen Rechten erlauben", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Vorlagen, bei denen pKIExtendedKeyUsage die OID Any Purpose (2.5.29.37.0) enthält oder leer ist und die Registrierung für Nicht-Administratoren zulässig ist. Ersetzen Sie die EKU Any Purpose durch spezifische erforderliche EKUs (z. B. nur Client Authentication). Bei einer SubCA-Vorlage beschränken Sie die Registrierung ausschließlich auf Enterprise Admins. Richten Sie für alle verbleibenden Vorlagen mit weitreichenden EKUs eine Genehmigung durch den CA-Manager ein.", "status": "machine-draft" } }, "ADCS-004": { "name": { "value": "ESC3 - Missbrauch der Registrierungsagent-Vorlage, Bedingung 1", "status": "machine-draft" }, "description": { "value": "ESC3 Bedingung 1 identifiziert Zertifikatvorlagen, die über die EKU Certificate Request Agent (OID 1.3.6.1.4.1.311.20.2.1) verfügen und die Registrierung durch Benutzer mit niedrigen Rechten erlauben. Ein Zertifikat als Registrierungsagent ermöglicht es seinem Inhaber, sich im Namen eines beliebigen Benutzers in anderen Vorlagen zu registrieren, möglicherweise auch in Vorlagen mit Authentifizierungs-EKUs, die normalerweise eine Genehmigung durch den CA-Manager erfordern", "status": "machine-draft" }, "recommendedValue": { "value": "Certificate-Request-Agent-Vorlagen ausschließlich auf autorisierte Registrierungsagenten beschränkt; nicht durch Benutzer mit niedrigen Rechten registrierbar", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Vorlagen mit der EKU Certificate Request Agent, die eine Registrierung durch nicht-administrative Benutzer erlauben. Beschränken Sie die Registrierungsberechtigungen dieser Vorlagen auf eine dedizierte Sicherheitsgruppe für Registrierungsagenten. Konfigurieren Sie Einschränkungen für Registrierungsagenten auf der CA, um festzulegen, für welche Vorlagen und Benutzer Registrierungsagenten registrieren dürfen. Überwachen Sie die Ausstellung von Certificate-Request-Agent-Zertifikaten.", "status": "machine-draft" } }, "ADCS-005": { "name": { "value": "ESC3 - Missbrauch der Registrierungsagent-Vorlage, Bedingung 2", "status": "machine-draft" }, "description": { "value": "ESC3 Bedingung 2 identifiziert Zertifikatvorlagen, die eine Registrierung im Namen anderer Benutzer akzeptieren (eine Signatur eines Registrierungsagenten erfordern) und über eine Authentifizierungs-EKU verfügen. In Verbindung mit ESC3 Bedingung 1 kann ein Angreifer, der ein Zertifikat als Registrierungsagent erlangt, Authentifizierungszertifikate im Namen eines beliebigen Benutzers registrieren, einschließlich Domain Admins", "status": "machine-draft" }, "recommendedValue": { "value": "Vorlagen, die Signaturen von Registrierungsagenten erfordern, über Einschränkungen für Registrierungsagenten auf der CA auf bestimmte Zielbenutzer beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Vorlagen, die eine autorisierte Signatur mit der Anwendungsrichtlinie Certificate Request Agent erfordern und über die EKU Client Authentication oder Smart Card Logon verfügen. Konfigurieren Sie Einschränkungen für Registrierungsagenten auf der CA, um festzulegen, für welche Vorlagen diese Registrierungsagenten registrieren dürfen und in wessen Namen sie registrieren dürfen. Dies wird in den CA-Eigenschaften unter den Einschränkungen für Registrierungsagenten konfiguriert.", "status": "machine-draft" } }, "ADCS-006": { "name": { "value": "ESC4 - Anfällige ACLs von Zertifikatvorlagen", "status": "machine-draft" }, "description": { "value": "ESC4 tritt auf, wenn Benutzer mit niedrigen Rechten über Schreibberechtigungen für Zertifikatvorlagenobjekte in AD verfügen, wodurch sie Vorlagenattribute ändern können, um eine ESC1-, ESC2- oder ESC3-Bedingung zu erzeugen. Ein Angreifer mit Schreibzugriff kann CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT hinzufügen, die EKU ändern, Registrierungsberechtigungen anpassen oder andere sicherheitsrelevante Attribute verändern, um eine zertifikatbasierte Rechteausweitung zu ermöglichen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Schreibberechtigungen für Zertifikatvorlagenobjekte für nicht-administrative Prinzipale", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie die ACLs aller Zertifikatvorlagenobjekte in CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration auf. Entfernen Sie WriteDACL-, WriteOwner-, WriteProperty- und GenericAll/GenericWrite-ACEs für nicht-administrative Prinzipale. Nur Enterprise Admins und benannte PKI-Administratoren sollten Schreibzugriff auf Vorlagenobjekte haben. Überwachen Sie ACL-Änderungen an Zertifikatvorlagenobjekten.", "status": "machine-draft" } }, "ADCS-007": { "name": { "value": "ESC4 - Anfällige Besitzverhältnisse von Zertifikatvorlagen", "status": "machine-draft" }, "description": { "value": "Wenn ein Zertifikatvorlagenobjekt einem nicht-administrativen Prinzipal gehört, kann dieser Prinzipal die DACL der Vorlage ändern, um sich selbst Schreibzugriff zu gewähren, und anschließend die Vorlage so ändern, dass ausnutzbare Bedingungen entstehen. Der Besitz von Vorlagen sollte auf Enterprise Admins oder die PKI-Administrationsgruppe der Domäne beschränkt sein", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Zertifikatvorlagenobjekte im Besitz von Enterprise Admins oder benannten PKI-Administratoren", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie das Feld Owner jedes Zertifikatvorlagenobjekts in CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration. Übertragen Sie den Besitz aller fehlerhaft zugeordneten Vorlagen mit Set-Acl oder der Registerkarte Sicherheit in adsiedit.msc an Enterprise Admins. Untersuchen Sie, wie Nicht-Administratorkonten zu Eigentümern wurden, um eine Wiederholung zu verhindern.", "status": "machine-draft" } }, "ADCS-008": { "name": { "value": "ESC5 - Anfällige ACLs von PKI-Objekten", "status": "machine-draft" }, "description": { "value": "ESC5 umfasst Schreibberechtigungen für weitere PKI-bezogene AD-Objekte über Zertifikatvorlagen hinaus, darunter das AD-Objekt des CA-Servers, das Objekt NTAuthCertificates, den Container Enrollment Services und den Container Certificate Templates. Schreibzugriff auf diese Objekte kann einem Angreifer erlauben, betrügerische CAs hinzuzufügen, Registrierungseinstellungen zu ändern oder schädliche Vorlagen zu veröffentlichen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Schreibberechtigungen für PKI-Containerobjekte für nicht-administrative Prinzipale; Schreibzugriff auf Enterprise Admins beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die ACLs aller Objekte unter CN=Public Key Services,CN=Services,CN=Configuration, einschließlich des Containers Enrollment Services, des AIA-Containers, des Objekts NTAuthCertificates und des Containers Certificate Templates. Entfernen Sie Schreibberechtigungen für nicht-administrative Prinzipale. Stellen Sie sicher, dass das CA-Computerobjekt in AD keine Schreibberechtigungen für weitreichende Gruppen besitzt. Überwachen Sie diese Objekte auf nicht autorisierte Änderungen.", "status": "machine-draft" } }, "ADCS-009": { "name": { "value": "ESC6 - EDITF_ATTRIBUTESUBJECTALTNAME2-Flag", "status": "machine-draft" }, "description": { "value": "Wenn das Flag EDITF_ATTRIBUTESUBJECTALTNAME2 auf einer CA aktiviert ist, kann jeder Zertifikatantrag unabhängig von der Vorlagenkonfiguration einen benutzerdefinierten Subject Alternative Name enthalten. Damit wird faktisch jede Vorlage auf der CA für Angriffe im Stil von ESC1 anfällig, bei denen ein Angreifer einen SAN für einen privilegierten Benutzer angibt", "status": "machine-draft" }, "recommendedValue": { "value": "Flag EDITF_ATTRIBUTESUBJECTALTNAME2 auf allen CA-Servern deaktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die CA-Konfiguration mit certutil -getreg policy\\EditFlags auf jedem CA-Server. Wenn das Flag EDITF_ATTRIBUTESUBJECTALTNAME2 (0x00040000) gesetzt ist, entfernen Sie es mit certutil -setreg policy\\EditFlags -EDITF_ATTRIBUTESUBJECTALTNAME2. Starten Sie den Dienst CertSvc nach der Änderung neu. Überprüfen Sie alle kürzlich ausgestellten Zertifikate auf unerwartete SANs, die auf eine frühere Ausnutzung hindeuten könnten.", "status": "machine-draft" } }, "ADCS-010": { "name": { "value": "ESC7 - Anfällige ACLs der CA", "status": "machine-draft" }, "description": { "value": "ESC7 tritt auf, wenn ein nicht-administrativer Prinzipal über die Berechtigungen ManageCA oder ManageCertificates auf der CA verfügt. ManageCA erlaubt das Ändern der CA-Konfiguration, einschließlich der Aktivierung von EDITF_ATTRIBUTESUBJECTALTNAME2 (wodurch eine ESC6-Bedingung entsteht). ManageCertificates erlaubt das Genehmigen ausstehender Zertifikatanträge und umgeht damit die Genehmigungsanforderungen des CA-Managers für sensible Vorlagen", "status": "machine-draft" }, "recommendedValue": { "value": "Berechtigungen ManageCA und ManageCertificates ausschließlich auf benannte CA-Administratoren beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die CA-Sicherheitsberechtigungen über certsrv.msc > Eigenschaften > Registerkarte Sicherheit oder certutil -getacl. Entfernen Sie ManageCA-Berechtigungen von nicht-administrativen Prinzipalen. Entfernen Sie ManageCertificates von jedem Prinzipal, der kein autorisierter Zertifikatmanager ist. Dokumentieren Sie alle Prinzipale mit CA-Verwaltungsberechtigungen. Setzen Sie eine Funktionstrennung zwischen CA-Administratoren und Zertifikatmanagern um.", "status": "machine-draft" } }, "ADCS-011": { "name": { "value": "ESC8 - NTLM-Relay zu HTTP-Endpunkten von AD CS", "status": "machine-draft" }, "description": { "value": "ESC8 nutzt die HTTP-Endpunkte der AD-CS-Webregistrierung (certsrv) und des Certificate Enrollment Service (CES) aus, die die NTLM-Authentifizierung akzeptieren. Ein Angreifer kann die Authentifizierung eines Domänencontrollers oder eines privilegierten Kontos erzwingen und die NTLM-Authentifizierung an den HTTP-Endpunkt der CA weiterleiten, um ein Zertifikat als weitergeleitete Identität anzufordern, was zur Kompromittierung der Domäne führt", "status": "machine-draft" }, "recommendedValue": { "value": "Keine HTTP-basierten Registrierungsendpunkte; falls erforderlich, HTTPS mit aktivierter Extended Protection for Authentication (EPA) erzwingen", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle CA-Webregistrierungsendpunkte mit Get-CertificateEnrollmentService und durch Prüfung der IIS-Bindungen. Deaktivieren Sie HTTP-basierte Registrierungsendpunkte und erzwingen Sie HTTPS. Aktivieren Sie Extended Protection for Authentication in IIS, um NTLM-Relay zu verhindern. Alternativ deaktivieren Sie die Webregistrierungsrolle vollständig und verwenden Sie ausschließlich die DCOM-basierte Registrierungsschnittstelle. Deaktivieren Sie die NTLM-Authentifizierung auf CA-Servern, wo möglich.", "status": "machine-draft" } }, "ADCS-012": { "name": { "value": "ESC9 - Keine Sicherheitserweiterung", "status": "machine-draft" }, "description": { "value": "ESC9 nutzt das Fehlen der Sicherheitserweiterung szOID_NTDS_CA_SECURITY_EXT in ausgestellten Zertifikaten aus. Ohne diese Erweiterung und wenn StrongCertificateBindingEnforcement nicht auf 2 gesetzt ist, kann ein Angreifer, der das UPN-Attribut eines Benutzers ändern kann (über GenericWrite auf dem Benutzerobjekt), ein Zertifikat anfordern, den UPN zurücksetzen und das Zertifikat verwenden, um sich als die geänderte Identität zu authentifizieren", "status": "machine-draft" }, "recommendedValue": { "value": "StrongCertificateBindingEnforcement auf allen Domänencontrollern auf 2 gesetzt; CT_FLAG_NO_SECURITY_EXTENSION nicht auf Authentifizierungsvorlagen gesetzt", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie auf Vorlagen mit CT_FLAG_NO_SECURITY_EXTENSION (0x80000) in msPKI-Enrollment-Flag. Entfernen Sie dieses Flag von allen authentifizierungsfähigen Vorlagen. Setzen Sie den Registrierungswert StrongCertificateBindingEnforcement auf allen Domänencontrollern unter HKLM\\SYSTEM\\CurrentControlSet\\Services\\Kdc auf 2, um eine starke Zertifikatzuordnung zu erzwingen. Testen Sie die zertifikatbasierte Authentifizierung nach der Aktivierung der Erzwingung.", "status": "machine-draft" } }, "ADCS-013": { "name": { "value": "ESC11 - RPC-Relay ohne Verschlüsselung", "status": "machine-draft" }, "description": { "value": "ESC11 zielt auf die RPC-Registrierungsschnittstelle von AD CS (ICertPassage) ab, wenn die CA keine Verschlüsselung der RPC-Verbindung erzwingt. Ähnlich wie ESC8 für HTTP kann ein Angreifer die NTLM-Authentifizierung an den unverschlüsselten RPC-Endpunkt weiterleiten, um Zertifikate als weitergeleitete Identität anzufordern. Dies betrifft die standardmäßige DCOM-basierte Registrierungsschnittstelle", "status": "machine-draft" }, "recommendedValue": { "value": "Flag IF_ENFORCEENCRYPTICERTREQUEST auf allen CA-Servern aktiviert, um RPC-Verschlüsselung zu erzwingen", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die Schnittstellen-Flags der CA mit certutil -getreg CA\\InterfaceFlags. Aktivieren Sie das Flag IF_ENFORCEENCRYPTICERTREQUEST mit certutil -setreg CA\\InterfaceFlags +IF_ENFORCEENCRYPTICERTREQUEST. Starten Sie den Dienst CertSvc neu. Stellen Sie sicher, dass die Zertifikatregistrierung von domänenverbundenen Clients nach der Aktivierung der Verschlüsselungserzwingung weiterhin ordnungsgemäß funktioniert.", "status": "machine-draft" } }, "ADCS-014": { "name": { "value": "ESC13 - Gruppenverknüpfung über Ausstellungsrichtlinien-OID", "status": "machine-draft" }, "description": { "value": "ESC13 nutzt die Verknüpfung zwischen den OIDs von Zertifikatausstellungsrichtlinien und AD-Sicherheitsgruppen über das Attribut msDS-OIDToGroupLink aus. Wenn eine Zertifikatvorlage über eine Ausstellungsrichtlinie verfügt, die einer Sicherheitsgruppe zugeordnet ist, erhält jeder, der sich in dieser Vorlage registriert, faktisch für die Dauer der zertifikatbasierten Authentifizierung die Mitgliedschaft in der verknüpften Gruppe", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Ausstellungsrichtlinien-OIDs mit privilegierten Sicherheitsgruppen verknüpft; msDS-OIDToGroupLink nur auf nicht sensiblen Gruppen", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie alle OID-Objekte in CN=OID,CN=Public Key Services,CN=Services,CN=Configuration nach dem Attribut msDS-OIDToGroupLink ab. Identifizieren Sie alle OIDs, die mit privilegierten Gruppen (Domain Admins, Enterprise Admins usw.) verknüpft sind. Entfernen Sie das Attribut msDS-OIDToGroupLink von OIDs, die mit sensiblen Gruppen verknüpft sind. Falls die Verknüpfung betrieblich erforderlich ist, beschränken Sie die Registrierung auf Vorlagen, die die Ausstellungsrichtlinie verwenden, ausschließlich auf autorisierte Prinzipale.", "status": "machine-draft" } }, "ADCS-015": { "name": { "value": "ESC15 - Anwendungsrichtlinien in Schema-v1-Vorlagen", "status": "machine-draft" }, "description": { "value": "ESC15 (auch bekannt als EKUwu) nutzt Zertifikatvorlagen der Schemaversion 1 aus, bei denen die Erweiterung Application Policies vom Antragsteller im Zertifikatantrag angegeben werden kann. Da Schema-v1-Vorlagen die Anwendungsrichtlinien der Vorlage nicht erzwingen, kann ein Angreifer dem ausgestellten Zertifikat unabhängig von der Vorlagenkonfiguration Client Authentication oder eine beliebige andere EKU hinzufügen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine veröffentlichten Schema-v1-Vorlagen, die eine Registrierung mit niedrigen Rechten erlauben; alle erforderlichen Vorlagen auf Schema v2 oder höher migrieren", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle Schema-v1-Vorlagen (msPKI-Template-Schema-Version = 1), die auf Enterprise-CAs veröffentlicht sind. Migrieren Sie Schema-v1-Vorlagen auf Schema v2 oder höher, indem Sie neue Vorlagen auf Basis der v1-Vorlage mit expliziter EKU-Erzwingung erstellen. Beschränken Sie die Registrierung auf alle verbleibenden v1-Vorlagen ausschließlich auf Administratorkonten. Heben Sie die Veröffentlichung von v1-Vorlagen auf, die nicht mehr benötigt werden.", "status": "machine-draft" } }, "ADCS-016": { "name": { "value": "ESC16 - Fehlkonfiguration des UPN-SAN", "status": "machine-draft" }, "description": { "value": "ESC16 nutzt eine Fehlkonfiguration aus, bei der StrongCertificateBindingEnforcement auf 1 (Kompatibilitätsmodus) gesetzt ist und Zertifikatvorlagen mit CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT oder CT_FLAG_SUBJECT_ALT_REQUIRE_UPN dem Antragsteller erlauben, den UPN im SAN festzulegen. Die schwache Zuordnung ermöglicht es, Zertifikate allein anhand des UPN und ohne die OID-Sicherheitserweiterung Benutzern zuzuordnen, was eine Identitätsvortäuschung ermöglicht", "status": "machine-draft" }, "recommendedValue": { "value": "StrongCertificateBindingEnforcement auf 2 gesetzt; keine Vorlagen, die einen vom Antragsteller angegebenen UPN-SAN mit Registrierung durch Benutzer mit niedrigen Rechten erlauben", "status": "machine-draft" }, "remediationSteps": { "value": "Setzen Sie StrongCertificateBindingEnforcement auf allen Domänencontrollern unter HKLM\\SYSTEM\\CurrentControlSet\\Services\\Kdc auf 2. Überprüfen Sie alle Vorlagen, die vom Antragsteller angegebene Antragsteller erlauben oder einen UPN im SAN erfordern. Beschränken Sie die Registrierung auf diese Vorlagen auf autorisierte Prinzipale. Testen Sie die zertifikatbasierte Authentifizierung nach dem Erzwingen der starken Zuordnung, um vor der vollständigen Einführung etwaige Inkompatibilitäten zu erkennen.", "status": "machine-draft" } }, "ADCS-017": { "name": { "value": "EKEUwu - Missbrauch der Extended Key Usage", "status": "machine-draft" }, "description": { "value": "Der EKEUwu-Angriff zielt auf Zertifikatvorlagen ab, bei denen das Feld Extended Key Usage vom Antragsteller über den Zertifikatantrag beeinflusst werden kann. Dies tritt bei bestimmten Vorlagenkonfigurationen auf, bei denen die EKU von der Vorlage nicht streng erzwungen wird, wodurch ein Angreifer Authentifizierungs-EKUs zu Zertifikaten hinzufügen kann, die nicht für Authentifizierungszwecke vorgesehen waren", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Zertifikatvorlagen erzwingen die EKU streng aus der Vorlagendefinition; keine vom Antragsteller kontrollierbaren EKUs", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Zertifikatvorlagen auf EKU-Erzwingung. Stellen Sie sicher, dass die Vorlagen Schema v2 oder höher entsprechen, wo die EKU-Erzwingung robuster ist. Entfernen Sie überflüssige Vorlagen, die EKUs nicht streng definieren und erzwingen. Testen Sie Zertifikatanträge, um zu überprüfen, ob die EKU des ausgestellten Zertifikats mit der Vorlagendefinition übereinstimmt. Setzen Sie CA-Ausstellungsrichtlinienmodule ein, die die EKU in Anträgen validieren.", "status": "machine-draft" } }, "ADCS-018": { "name": { "value": "Konfiguration der CA-Überwachung", "status": "machine-draft" }, "description": { "value": "Die Überwachung der AD-CS-Zertifizierungsstelle steuert, welche zertifikatbezogenen Ereignisse protokolliert werden, einschließlich Zertifikatanträgen, Ausstellung, Sperrung und CA-Konfigurationsänderungen. Ohne eine angemessene CA-Überwachung kann die Ausnutzung zertifikatbasierter Angriffsvektoren (ESC1-ESC16) weder erkannt noch untersucht werden, und die nicht autorisierte Ausstellung von Zertifikaten bleibt unbemerkt", "status": "machine-draft" }, "recommendedValue": { "value": "Alle CA-Überwachungskategorien aktiviert: Start/Stopp, Sicherung/Wiederherstellung, Zertifikat ausgestellt, Zertifikat gesperrt, Zertifikatantrag, CA-Sicherheit, CA-Konfigurationsänderung", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die CA-Überwachung über certsrv.msc > CA-Eigenschaften > Registerkarte Überwachung. Aktivieren Sie alle Überwachungskategorien: CA-Datenbank sichern und wiederherstellen, CA-Konfiguration ändern, CA-Sicherheitseinstellungen ändern, Zertifikatanträge ausstellen und verwalten, Zertifikate sperren und CRLs veröffentlichen, archivierte Schlüssel speichern und abrufen, AD CS starten und stoppen. Stellen Sie sicher, dass das Windows-Sicherheitsereignisprotokoll über ausreichende Größen- und Aufbewahrungseinstellungen verfügt.", "status": "machine-draft" } }, "ADCS-019": { "name": { "value": "Enumeration von Zertifikatvorlagen", "status": "machine-draft" }, "description": { "value": "Eine umfassende Enumeration aller Zertifikatvorlagen mit ihren sicherheitsrelevanten Attributen bildet die Grundlage für die Bewertung von ESC-Schwachstellen. Dazu gehören die Schemaversion der Vorlage, Registrierungsberechtigungen, EKU-Konfiguration, Namensflags, Registrierungsflags, die Anforderung autorisierter Signaturen und der Gültigkeitszeitraum. Diese Informationen fließen in alle ESC-spezifischen Prüfungen ein", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständige Vorlagenbestandsaufnahme mit dokumentierten Sicherheitsattributen; alle Vorlagen auf Registrierung nach dem Least-Privilege-Prinzip und angemessene EKU geprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Zertifikatvorlagen aus CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration mit certutil -template oder PowerShell auf. Dokumentieren Sie für jede Vorlage: Anzeigename, Schemaversion, Registrierungsberechtigungen, EKU, Namensflags (ENROLLEE_SUPPLIES_SUBJECT), Registrierungsflags, Anforderung autorisierter Signaturen, Gültigkeitszeitraum und Erneuerungszeitraum. Gleichen Sie die veröffentlichten Vorlagen auf jeder CA ab.", "status": "machine-draft" } } } |