Data/Locales/checks/it/ADNetworkChecks.json
|
{ "_family": "ADNetworkChecks.json", "ADNET-001": { "name": { "value": "Firma LDAP richiesta sui controller di dominio", "status": "machine-draft" }, "description": { "value": "Quando i controller di dominio non richiedono la firma LDAP, un aggressore in grado di intercettare o forzare il traffico LDAP (ad esempio tramite PetitPotam o qualsiasi attivazione di autenticazione NTLM) può inoltrare l'autenticazione NTLM al servizio LDAP di un DC e leggere o scrivere dati di directory come l'entità forzata. L'imposizione della firma LDAP chiude il sink di relay più comune su un controller di dominio.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Controllers Policy imposta 'Domain controller: LDAP server signing requirements' su 'Require signing' (LDAPServerIntegrity = 2)", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Controllers Policy: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > 'Domain controller: LDAP server signing requirements' = 'Require signing'. Verifica con: reg query HKLM\\System\\CurrentControlSet\\Services\\NTDS\\Parameters /v LDAPServerIntegrity (dovrebbe essere 2). Microsoft rafforza questo valore predefinito dal 2020 (ADV190023) e lo imporrà per impostazione predefinita nelle future versioni di Windows Server.", "status": "machine-draft" } }, "ADNET-002": { "name": { "value": "Channel binding LDAP imposto sui controller di dominio", "status": "machine-draft" }, "description": { "value": "Il channel binding LDAP lega un'autenticazione LDAPS al canale TLS sottostante. Senza di esso, un aggressore che ha intercettato una sessione LDAP protetta da TLS può comunque inoltrare l'autenticazione NTLM a LDAPS. Insieme alla firma LDAP, il channel binding elimina LDAP come bersaglio di relay.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Controllers Policy imposta 'Domain controller: LDAP server channel binding token requirements' su 'Always' (LdapEnforceChannelBinding = 2)", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Controllers Policy: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > 'Domain controller: LDAP server channel binding token requirements' = 'Always'. Registro: HKLM\\System\\CurrentControlSet\\Services\\NTDS\\Parameters\\LdapEnforceChannelBinding = 2. Originariamente introdotto per la CVE-2017-8563.", "status": "machine-draft" } }, "ADNET-003": { "name": { "value": "Firma SMB del server richiesta (criterio di dominio)", "status": "machine-draft" }, "description": { "value": "Senza la firma SMB richiesta lato server, un aggressore in grado di posizionarsi nel percorso di rete o di forzare l'autenticazione SMB può inoltrare NTLM a SMB ed eseguire azioni sui file come l'entità forzata. Questo è il classico sink di relay per strumenti come ntlmrelayx; l'imposizione della firma lato server lo chiude.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Policy abilita 'Microsoft network server: Digitally sign communications (always)' (RequireSecuritySignature su LanManServer = 1)", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Policy: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > 'Microsoft network server: Digitally sign communications (always)' = Enabled. Registro: HKLM\\System\\CurrentControlSet\\Services\\LanmanServer\\Parameters\\RequireSecuritySignature = 1. Windows 11 24H2 / Server 2025 abilitano questa impostazione per impostazione predefinita; le versioni di SO precedenti richiedono un criterio esplicito.", "status": "machine-draft" } }, "ADNET-004": { "name": { "value": "Firma SMB del client richiesta (criterio di dominio)", "status": "machine-draft" }, "description": { "value": "La firma SMB lato client è la metà del contratto che impedisce a una workstation di essere indotta ad autenticarsi presso un server SMB dannoso (in stile responder). Senza di essa, qualsiasi utente della rete che venga indotto a risolvere un nome ostile (avvelenamento LLMNR, WPAD, ecc.) rivela un hash NTLM che un aggressore può violare o inoltrare.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Policy abilita 'Microsoft network client: Digitally sign communications (always)' (RequireSecuritySignature su LanmanWorkstation = 1)", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Policy: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > 'Microsoft network client: Digitally sign communications (always)' = Enabled. Registro: HKLM\\System\\CurrentControlSet\\Services\\LanmanWorkstation\\Parameters\\RequireSecuritySignature = 1.", "status": "machine-draft" } }, "ADNET-005": { "name": { "value": "LLMNR disabilitato dal criterio di dominio", "status": "machine-draft" }, "description": { "value": "La Link-Local Multicast Name Resolution è un fallback basato su broadcast a cui può rispondere qualsiasi host del segmento locale. Responder.py e strumenti simili impersonano la risposta, raccolgono le challenge-response NTLMv2 e le violano offline o le inoltrano. Disabilitare LLMNR a livello di dominio è l'intervento di hardening delle workstation con l'impatto maggiore che puoi attuare per la postura contro il pentest interno.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Policy abilita 'Turn off multicast name resolution' (criterio DnsClient EnableMulticast = 0)", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Policy: Computer Configuration > Policies > Administrative Templates > Network > DNS Client > 'Turn off multicast name resolution' = Enabled. Registro: HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\DNSClient\\EnableMulticast = 0.", "status": "machine-draft" } }, "ADNET-006": { "name": { "value": "Configurazione di NetBIOS su TCP/IP esaminata", "status": "machine-draft" }, "description": { "value": "NetBIOS-NS è la seconda gamba degli attacchi di avvelenamento della risoluzione dei nomi dopo LLMNR. Disabilitarlo a livello di DHCP/interfaccia richiede una modifica della configurazione di rete che una GPO non è in grado di esprimere completamente; tuttavia, il valore NetbiosOptions in Tcpip\\Parameters\\Interfaces può essere impostato tramite l'opzione 1 dell'ambito DHCP o direttamente nel registro. Questo controllo segnala se ESISTE un qualsiasi artefatto di criterio a livello di dominio che lo affronti, in modo che l'auditor sappia se indagare a livello di DHCP o di imaging.", "status": "machine-draft" }, "recommendedValue": { "value": "Esiste un metodo a livello di dominio per disabilitare NetBIOS su TCP/IP sulle workstation (opzione DHCP 1 = 0x2, preferenza dei Criteri di gruppo o baseline di imaging)", "status": "machine-draft" }, "remediationSteps": { "value": "Disabilita NetBIOS su TCP/IP sull'intero parco macchine. Opzioni: (1) imposta l'opzione dell'ambito DHCP Microsoft Disable Netbios Option (opzione 1) su 0x2; (2) Group Policy Preferences > Windows Settings > Registry per applicare NetbiosOptions = 2 a ogni chiave Tcpip_<Interface>; (3) integralo nella baseline di imaging delle workstation. Questa impostazione è specifica dell'interfaccia e non è indirizzabile direttamente tramite le impostazioni di sicurezza GPO standard.", "status": "machine-draft" } }, "ADNET-007": { "name": { "value": "Postura di mitigazione di mitm6 su IPv6", "status": "machine-draft" }, "description": { "value": "mitm6 è l'equivalente IPv6 di Responder: un server DHCPv6 dannoso distribuisce un server DNS link-local, quindi avvelena le ricerche WPAD per raccogliere credenziali. Le aziende che non hanno distribuito IPv6 di solito non lo hanno nemmeno disabilitato, lasciando IPv6 link-local abilitato senza alcuna postura difensiva. La mitigazione consiste nel distribuire IPv6 correttamente con RA Guard / DHCPv6 Guard sullo switch, oppure nel disabilitare i componenti IPv6 tramite DisabledComponents = 0xFF.", "status": "machine-draft" }, "recommendedValue": { "value": "IPv6 è disabilitato a livello di dominio tramite DisabledComponents = 0xFF, OPPURE la rete ha RA Guard + DHCPv6 Guard distribuiti a livello di accesso (fuori banda, non rilevabile da AD)", "status": "machine-draft" }, "remediationSteps": { "value": "Se non usi IPv6: applica HKLM\\SYSTEM\\CurrentControlSet\\Services\\Tcpip6\\Parameters\\DisabledComponents = 0xFF (esadecimale) tramite GPO Registry a tutte le workstation e a tutti i server. Se usi IPv6: assicurati che gli switch di accesso impongano DHCPv6 Guard / RA Guard in modo che gli annunci DHCPv6 non autorizzati vengano scartati alla porta. Microsoft ha dichiarato esplicitamente che disabilitare completamente IPv6 non è consigliato per Windows, ma è accettabile per gli ambienti in cui IPv6 è inutilizzato.", "status": "machine-draft" } }, "ADNET-008": { "name": { "value": "Individuazione automatica WPAD disabilitata", "status": "machine-draft" }, "description": { "value": "Il Web Proxy Auto-Discovery risolve il nome 'wpad' tramite DNS, NetBIOS o LLMNR e si fida di qualsiasi configurazione proxy ricevuta in risposta. Un aggressore può avvelenare una qualsiasi di quelle risoluzioni e agire da proxy per il traffico web della vittima. Anche con LLMNR e NetBIOS disabilitati, il servizio WinHttpAutoProxySvc può comunque tentare il WPAD, quindi è consigliata una GPO di difesa in profondità che disabiliti del tutto il WPAD.", "status": "machine-draft" }, "recommendedValue": { "value": "Una GPO disabilita il WPAD tramite 'Turn off auto-proxy result caching' o impostando il tipo di avvio di WinHttpAutoProxySvc su 4 (disabilitato), oppure il server DNS ha una voce wpad nella GlobalQueryBlockList", "status": "machine-draft" }, "remediationSteps": { "value": "Tre controlli complementari: (1) aggiungi 'wpad' alla GlobalQueryBlockList del server DNS: dnscmd /Config /GlobalQueryBlockList wpad isatap; (2) disabilita il servizio WinHttpAutoProxySvc tramite il criterio GPO Services; (3) GPO Internet Explorer / Edge: 'Disable changing Automatic Configuration settings' e assicurati che nessun URL PAC venga configurato automaticamente. Il punto (1) è la correzione dall'impatto maggiore.", "status": "machine-draft" } }, "ADNET-009": { "name": { "value": "Servizio Print Spooler sui controller di dominio", "status": "machine-draft" }, "description": { "value": "Il servizio Print Spooler su un controller di dominio è l'endpoint RPC sfruttato dalla tecnica di coercizione PrinterBug (e da un lungo elenco di attacchi derivati, incluso l'originale PrintNightmare CVE-2021-1675). Combinato con qualsiasi sink di relay NTLM (ADCS Web, LDAP senza firma, SMB senza firma), offre a un aggressore non autenticato una primitiva per forzare l'account macchina del DC ad autenticarsi presso un bersaglio a sua scelta. Lo spooler è raramente necessario su un DC.", "status": "machine-draft" }, "recommendedValue": { "value": "Il servizio Print Spooler è disabilitato (tipo di avvio 4) nel Default Domain Controllers Policy", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Controllers Policy: Computer Configuration > Policies > Windows Settings > Security Settings > System Services > Print Spooler > 'Define this policy setting' = Disabled. Questo si propaga a ogni DC al successivo gpupdate. Verifica su ciascun DC: Get-Service Spooler dovrebbe mostrare Status=Stopped, StartType=Disabled. Se un DC esegue anche servizi di stampa (non dovrebbe), trova prima un altro host per quel ruolo.", "status": "machine-draft" } }, "ADNET-010": { "name": { "value": "Stato predefinito del servizio WebClient sulle workstation", "status": "machine-draft" }, "description": { "value": "Il servizio WebClient (redirector WebDAV) consente a un aggressore di forzare l'autenticazione HTTP da una workstation referenziando un percorso UNC che inizia con un nome host contenente una '@' (ad esempio \\\\attacker@80\\share). È l'analogo di PetitPotam per le workstation ed è la fonte di relay più comunemente usata per attaccare l'ADCS Web Enrollment (ESC8). WebClient si avvia su richiesta, ma dovrebbe essere impostato su disabilitato a livello di dominio per le workstation non mobili.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Policy disabilita il servizio WebClient (tipo di avvio 4) per tutte le workstation e i server membri che non richiedono WebDAV", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il Default Domain Policy: Computer Configuration > Policies > Windows Settings > Security Settings > System Services > WebClient > 'Define this policy setting' = Disabled. Se un sottoinsieme di host (ad esempio i client SharePoint) ha effettivamente bisogno di WebDAV, applica una GPO contrapposta solo a quelle OU. Monitora eventuali riattivazioni improvvise.", "status": "machine-draft" } } } |