Luca Galuppi : 12 Dicembre 2024 11:48
Gli attacchi di NTLM Relay non sono certo una novità nel panorama delle minacce informatiche. Questo metodo di compromissione dell’identità rappresenta da tempo uno dei principali vettori di attacco, sfruttando endpoint vulnerabili per eseguire azioni a nome della vittima. Con il recente lancio di Windows Server 2025, Microsoft ha deciso di affrontare la questione in modo deciso, introducendo mitigazioni automatiche per contrastare questi attacchi in Exchange Server, Active Directory Certificate Services (AD CS) e Lightweight Directory Access Protocol (LDAP).
Questo aggiornamento, annunciato ufficialmente tramite un post sul blog Microsoft, rappresenta un passo fondamentale per rafforzare le difese contro uno dei metodi di compromissione più persistenti dell’ecosistema IT moderno.
L’NTLM Relay Attack è un metodo utilizzato dai Threat Actors per compromettere credenziali e accedere a risorse aziendali. Gli attacchi NTLM Relay in genere prevedono due fasi:
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il risultato? L’attaccante ottiene l’accesso e agisce come la vittima, potenzialmente compromettendo interi domini. Gli attacchi relay possono avere conseguenze devastanti per la sicurezza aziendale se non vengono adottate contromisure robuste, come la protezione estesa per l’autenticazione (EPA).
Un esempio concreto: immaginate un attaccante che riesce a sfruttare un server LDAP mal configurato, usando le credenziali di un amministratore per accedere a risorse critiche. Con poche mosse, l’intero dominio potrebbe essere compromesso, mettendo a rischio dati sensibili e la continuità operativa dell’azienda.
Il colosso di Redmond, consapevole della natura persistente di questi attacchi, ha introdotto una serie di misure per contrastare il fenomeno con il lancio di Windows Server 2025. Le nuove funzionalità includono l’abilitazione automatica di protezioni avanzate come Extended Protection for Authentication (EPA) e Channel Binding, che mirano a rafforzare la sicurezza contro gli attacchi NTLM Relay. L’EPA rappresenta un metodo avanzato per proteggere l’autenticazione, limitando la possibilità di attacchi Relay attraverso misure più robuste. Il Channel Binding, invece, associa l’autenticazione a un canale specifico, riducendo il rischio di trasmissione non sicura delle credenziali.
Con Windows Server 2025, Microsoft ha adottato un approccio definito “Secure by Default”, che consente l’abilitazione automatica di queste protezioni senza che sia necessario alcun intervento manuale da parte degli amministratori. Questa scelta elimina uno dei principali fattori di rischio: la configurazione manuale, che in passato aveva lasciato numerose infrastrutture esposte ad attacchi. Le impostazioni di sicurezza, ora predefinite, aumentano significativamente la protezione senza richiedere configurazioni complesse o interventi aggiuntivi.
Oltre alle misure specifiche contro NTLM Relay, Microsoft sta anche accelerando la progressiva eliminazione di NTLM a favore di Kerberos, un protocollo più moderno e sicuro. Nel frattempo, l’azienda ha avviato la rimozione del supporto per NTLMv1 e sta pianificando di depredare gradualmente NTLMv2. L’obiettivo è spostarsi verso standard più moderni per una protezione più efficace e duratura delle infrastrutture aziendali.
Cosa significa per le Aziende?
L’introduzione automatica di protezioni rappresenta un cambiamento significativo, ma comporta anche nuove sfide per gli amministratori IT.
Principali azioni da intraprendere:
- Audit delle infrastrutture:
Prima di aggiornare, è fondamentale verificare la configurazione dei server e dei sistemi IT per individuare endpoint vulnerabili o impostazioni errate.- Test di compatibilità:
Non tutte le applicazioni potrebbero essere compatibili con le nuove misure di protezione (EPA e Kerberos). È importante eseguire test per verificare la compatibilità prima della loro implementazione.- Aggiornamento della documentazione interna:
Con l’introduzione di questi aggiornamenti automatici, è necessario aggiornare le procedure e la documentazione aziendale per riflettere le nuove impostazioni.- Prepararsi per la disattivazione graduale di NTLM:
La disattivazione di NTLM potrebbe causare problemi in ambienti legacy. È essenziale pianificare l’adozione graduale dei nuovi protocolli di autenticazione.
Le nuove misure di protezione introdotte da Microsoft con Windows Server 2025 rappresentano una rivoluzione nell’approccio alla protezione degli ambienti IT. Eliminando la complessità delle configurazioni manuali e adottando l’approccio “Secure by Default”, Microsoft punta a rafforzare la protezione contro gli attacchi NTLM Relay.
Gli amministratori IT non devono sottovalutare l’opportunità di sfruttare queste funzionalità, aggiornando le loro infrastrutture e avviando un’analisi dettagliata per garantire la compatibilità. Affrontando questa sfida, sarà possibile ridurre in modo significativo il rischio di esposizione ad una delle minacce più persistenti del panorama IT moderno.
Luca GaluppiSecondo un nuovo rapporto del gruppo per i diritti umani Amnesty International, pubblicato dopo quasi due anni di ricerche sulla situazione, la Cambogia resta un punto caldo sulla mappa mondiale della...
Hunters International, il gruppo responsabile di uno dei più grandi attacchi ransomware degli ultimi anni, ha annunciato ufficialmente la cessazione delle sue attività. In una dichiarazione ...
I ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
