Microsoft rafforza la sicurezza contro gli attacchi NTLM Relay: La rivoluzione della configurazione di Default

Luca Galuppi : 12 Dicembre 2024 11:48

Gli attacchi di NTLM Relay non sono certo una novità nel panorama delle minacce informatiche. Questo metodo di compromissione dell’identità rappresenta da tempo uno dei principali vettori di attacco, sfruttando endpoint vulnerabili per eseguire azioni a nome della vittima. Con il recente lancio di Windows Server 2025, Microsoft ha deciso di affrontare la questione in modo deciso, introducendo mitigazioni automatiche per contrastare questi attacchi in Exchange Server, Active Directory Certificate Services (AD CS) e Lightweight Directory Access Protocol (LDAP).

Questo aggiornamento, annunciato ufficialmente tramite un post sul blog Microsoft, rappresenta un passo fondamentale per rafforzare le difese contro uno dei metodi di compromissione più persistenti dell’ecosistema IT moderno.

Cos’è un NTLM Relay Attack?

L’NTLM Relay Attack è un metodo utilizzato dai Threat Actors per compromettere credenziali e accedere a risorse aziendali. Gli attacchi NTLM Relay in genere prevedono due fasi:

1. Indurre una vittima ad autenticarsi verso un endpoint controllato dall’attaccante.
2. Reinoltrare le credenziali della vittima verso un endpoint vulnerabile.

Il risultato? L’attaccante ottiene l’accesso e agisce come la vittima, potenzialmente compromettendo interi domini. Gli attacchi relay possono avere conseguenze devastanti per la sicurezza aziendale se non vengono adottate contromisure robuste, come la protezione estesa per l’autenticazione (EPA).

Un esempio concreto: immaginate un attaccante che riesce a sfruttare un server LDAP mal configurato, usando le credenziali di un amministratore per accedere a risorse critiche. Con poche mosse, l’intero dominio potrebbe essere compromesso, mettendo a rischio dati sensibili e la continuità operativa dell’azienda.

La risposta di Microsoft: Approccio Secure by Default

Il colosso di Redmond, consapevole della natura persistente di questi attacchi, ha introdotto una serie di misure per contrastare il fenomeno con il lancio di Windows Server 2025. Le nuove funzionalità includono l’abilitazione automatica di protezioni avanzate come Extended Protection for Authentication (EPA) e Channel Binding, che mirano a rafforzare la sicurezza contro gli attacchi NTLM Relay. L’EPA rappresenta un metodo avanzato per proteggere l’autenticazione, limitando la possibilità di attacchi Relay attraverso misure più robuste. Il Channel Binding, invece, associa l’autenticazione a un canale specifico, riducendo il rischio di trasmissione non sicura delle credenziali.

Con Windows Server 2025, Microsoft ha adottato un approccio definito “Secure by Default”, che consente l’abilitazione automatica di queste protezioni senza che sia necessario alcun intervento manuale da parte degli amministratori. Questa scelta elimina uno dei principali fattori di rischio: la configurazione manuale, che in passato aveva lasciato numerose infrastrutture esposte ad attacchi. Le impostazioni di sicurezza, ora predefinite, aumentano significativamente la protezione senza richiedere configurazioni complesse o interventi aggiuntivi.

Oltre alle misure specifiche contro NTLM Relay, Microsoft sta anche accelerando la progressiva eliminazione di NTLM a favore di Kerberos, un protocollo più moderno e sicuro. Nel frattempo, l’azienda ha avviato la rimozione del supporto per NTLMv1 e sta pianificando di depredare gradualmente NTLMv2. L’obiettivo è spostarsi verso standard più moderni per una protezione più efficace e duratura delle infrastrutture aziendali.

Cosa significa per le Aziende?

L’introduzione automatica di protezioni rappresenta un cambiamento significativo, ma comporta anche nuove sfide per gli amministratori IT.

Principali azioni da intraprendere:

1. Audit delle infrastrutture:
   Prima di aggiornare, è fondamentale verificare la configurazione dei server e dei sistemi IT per individuare endpoint vulnerabili o impostazioni errate.
2. Test di compatibilità:
   Non tutte le applicazioni potrebbero essere compatibili con le nuove misure di protezione (EPA e Kerberos). È importante eseguire test per verificare la compatibilità prima della loro implementazione.
3. Aggiornamento della documentazione interna:
   Con l’introduzione di questi aggiornamenti automatici, è necessario aggiornare le procedure e la documentazione aziendale per riflettere le nuove impostazioni.
4. Prepararsi per la disattivazione graduale di NTLM:
   La disattivazione di NTLM potrebbe causare problemi in ambienti legacy. È essenziale pianificare l’adozione graduale dei nuovi protocolli di autenticazione.

Conclusione

Le nuove misure di protezione introdotte da Microsoft con Windows Server 2025 rappresentano una rivoluzione nell’approccio alla protezione degli ambienti IT. Eliminando la complessità delle configurazioni manuali e adottando l’approccio “Secure by Default”, Microsoft punta a rafforzare la protezione contro gli attacchi NTLM Relay.

Gli amministratori IT non devono sottovalutare l’opportunità di sfruttare queste funzionalità, aggiornando le loro infrastrutture e avviando un’analisi dettagliata per garantire la compatibilità. Affrontando questa sfida, sarà possibile ridurre in modo significativo il rischio di esposizione ad una delle minacce più persistenti del panorama IT moderno.

Luca Galuppi
Appassionato di tecnologia da sempre. Lavoro nel campo dell’informatica da oltre 15 anni. Ho particolare esperienza in ambito Firewall e Networking e mi occupo quotidianamente di Network Design e Architetture IT. Attualmente ricopro il ruolo di Senior IT Engineer e PM per un’azienda di Consulenza e Servizi IT.

Lista degli articoli
Visita il sito web dell'autore